.jpg)
O padrão de segurança da informação da APRA já cobre as APIs nas quais seus agentes operam. A maioria das instituições ainda não consegue comprovar isso.
Todas as instituições reguladas pela APRA na Austrália são obrigadas a cumprir a CPS 234. Este é o Padrão Prudencial para Segurança da Informação. Seja um banco, uma seguradora ou um fundo de pensão, todos se enquadram na CPS 234, assim como seus provedores terceirizados. Juntas, essas instituições detêm trilhões de dólares em ativos. A CPS 234 já existe há algum tempo e muitas equipes de InfoSec estão cientes dela.
O que mudou são as cargas de trabalho que essas instituições estão executando. Os agentes agora resumem, investigam e atualizam sistemas. Todas essas tarefas envolverão o uso de uma APIAPI. Isso não isenta os agentes da CPS 234. Mas significa que uma grande parte do que essas instituições fazem se enquadrará na CPS 234, e não é coincidência que a CPS 234 tenha sido projetada para cobrir isso.
Desde então, outros padrões da APRA entraram em vigor, continuando a expandir o caso de uso. A Gestão de Riscos Operacionais, CPS 230, entrou em vigor em 1º de julho de 2025. As expectativas em relação aos prestadores de serviços terceirizados aumentaram e continuarão a crescer à medida que mais sistemas se tornarem dependentes desses agentes e APIs.
As APIs estão cobertas pela CPS 234
Como mencionado acima, a CPS 234 espera que uma entidade regulada mantenha uma capacidade de segurança da informação que seja proporcional à escala e à natureza das ameaças aos ativos de informação. Os ativos de informação podem incluir software e hardware usados na empresa. Uma API se qualificaria como um ativo de informação. Os dados fluirão através de uma API, e cada vez mais por agentes em vez de usuários.
Existem muitos requisitos estabelecidos pela CPS 234 que se aplicam diretamente às APIs. Os ativos de informação devem ser classificados por criticidade e sensibilidade. Controles devem ser implementados e testados. Também é necessário ter um plano de resposta para incidentes de segurança da informação, e você precisa ser capaz de comprovar isso. Tudo isso depende de saber quais ativos de informação você possui.
Onde a maioria das instituições falha
Muitas instituições não conseguirão comprovar que possuem os controles certos para suas APIs. A CPS 234 exige que você demonstre que seus controles estão funcionando. Você precisará ser capaz de fornecer evidências disso aos seus auditores e, se necessário, à APRA. Aqui estão alguns motivos pelos quais isso é difícil de fazer para APIs.
Você pode não ter um inventário completo de suas APIs. Os desenvolvedores estão criando e expondo APIs em um ritmo mais rápido do que você consegue acompanhar. Isso significa que existem ativos de informação que você deveria estar classificando, mas dos quais nem tem conhecimento. Você pode ter documentação e revisões feitas antes de sua API entrar em operação, mas, uma vez em produção, ela pode se comportar de maneira muito diferente. Como aprendemos com o uso de agentes de IA, agora existem consumidores da sua API que podem não estar sob seu controle.
Sem saber quais APIs você possui, você não pode classificá-las. Você não pode garantir que possui controles em vigor que protegerão sua API se você não souber que ela existe. Você não pode comprovar que seus controles estão funcionando se não souber o que está acontecendo nessa API.
Veja como você pode atender ao requisito:
- Mantenha uma lista atualizada de todas as suas APIs e certifique-se de que tudo esteja classificado,
- Saiba quais agentes e serviços estão consumindo suas APIs e quais permissões eles possuem,
- Valide se seus controles estão realmente funcionando em produção e
- tenha um registro de todas as informações acessadas para que você possa comprovar que seus controles estão funcionando.
Essas etapas não são nada fora do comum. É apenas o que esperamos de todos os nossos ativos de informação. Não é diferente quando agentes de IA consomem esses ativos.
A CPS 234 se aplica às suas APIs e agentes.
Com os agentes de IA, abrimos uma nova camada na CPS 234 que precisa ser considerada. Se você quer garantir que está cumprindo os requisitos da CPS 234, precisa saber o que possui. A Salt pode ajudar você com isso. Ao descobrir todas as suas APIs e entender o que as está consumindo, você pode começar a fornecer evidências de que possui controles implementados e que eles estão funcionando. Isso não tornará você automaticamente compatível, mas pode ajudar com alguns dos desafios que você pode enfrentar ao tentar atender aos requisitos da CPS 234.
Se você quiser saber mais sobre a Salt e como podemos ajudar, por favor entre em contato conosco, agende uma demonstração, ou visite nosso site.