SRAA Full name: Security Risk Assessment and Audit: What is the Government of Hong Kong assessing?

في هونغ كونغ، لن تفلت بكلمة واحدة: الاسم الكامل تقييم المخاطر الأمنية والمعونةوفي الصين، يُسمى " تقييم المخاطر الأمنية ومراجعة الحسابات " (يُترجم أيضا إلى " تقييم المخاطر الأمنية ومراجعة الحسابات " ). إنه ليس منتجاً لصانع، إنه...A mandatory set of security assessment and audit requirements established by the Hong Kong Governmentوجميع الإدارات الحكومية والإدارات/المكاتب والوكالات الممولة من الحكومة مطالبة بتنفيذها وتقديم تقارير مستقلة عن التصديق.

وتستند هذه المجموعة من الاحتياجات إلى مكتب السياسات الرقمية، مكتب المدعي العام، مكتب المفتش العام سابقا، دليل الممارسة لتقييم المخاطر الأمنية (رقم). ISPG-SM01وتشمل الوثائق المرفقة أيضاً سياسة أمن تكنولوجيا المعلومات الأساسية [S17] والمبادئ التوجيهية لأمن تكنولوجيا المعلومات [G3]. آخر طبعة نشرت في آب/أغسطس 2026 v2.2وأضيفت " ورقة تفتيش خط الأساس " .

وتدل مراجعه المعيارية أيضا على تحديد الموقع: ISO/IEC 27000، 27001، 70002، 27005، ISO 31000:2018 المبادئ التوجيهية لإدارة المخاطر، و NISTIR 8286 (إدماج الأمن السيبراني في إدارة المخاطر في المؤسسة). بعبارة أخرىSRAA is a government-level framework for localizing international standardsلا أعلم

Distinguish between SRA and SA

الكثير من الناس يأخذون (سارا) كشيء واحد، لكنّه مزيج من شيئين مختلفين تماماً:

تقييم المخاطر الأمنية:: تحديد المخاطر المتعلقة بالسلامة وتحليلها وتحديد تدابير التخلص للحد من المخاطر إلى مستويات مقبولة. والمنظور هو:المخاطر" ولا يرتبط نطاق التقييم بالضرورة بالسياسة الأمنية.
مراجعة الحسابات الأمنية (SA, security audit)مراجعة الحسابات مقابل السياسات/المعايير الأمنيةمستوى الامتثالالتحقق من تنفيذ التدابير الوقائية القائمة تنفيذا صحيحا. والمنظور هو:الامتثال" على عكس S17، G3 أو سياسة القطاع الأمنية الخاصة.

لقد أعطانا المسؤول جدولاً مقارناً جعل الفرق واضحاً تماماً:

انتبه: SRA is a risk perspective; SA is a compliance perspective
الطرف المنفذ(أ) يمكن أن تقيّم الإدارة نفسها (التقييم الذاتي) أو من قبل أطراف ثالثة؛يجب أن يقوم به طرف ثالث مستقل
النواتج الرئيسية:سجل المخاطر وتدابير التخلص من المخاطر;SA surrenderقائمة مرجعية للامتثال
التوقيت: نظام جديد في دورة حياة التنميةابدأDo SRA; already online systems are regularly done throughout the life cycle, or when significant changes occur in the IT environment

ثلاثة من أكثر المفاهيم سوءا

ISPG-SM01, from Version 2.0 (April 2024), has specifically clarified a few widely shared misconceptions that should have been heard in this business:

خطأ واحد: يجب على وكالة الاستخبارات الخاصة ووكالة الأمن القومي القيام به معا، إنتاج تقرير "إثنان في واحد".خطأ وطبيعة الاثنين مختلفة، شأنها شأن اشتراطات الطرف المنفذ (لا بد أن يكون طرفاً ثالثاً مستقلاً)، وهو ما يمكن القيام به بصورة منفصلة.
Misunderstanding 2: A SRAA activity can cover both risk identification and compliance checks in SDLC.خطأ وهذان نوعان مختلفان من العمل.
سوء الفهم الثالث: (سرايا) هي فحص تسرب أو اختبار اختراقالأكثر خطأ.وتشكل اختبارات التسلل جزءاً فقط من اختبار الفجوة التقنية في تقييم المخاطر قبل الترحيل.ليس (سارا) نفسها وكثير من الشركات الاستشارية لم تبد أوصافها في مجال الخدمات، قائلا إن " الاتفاقات غير القانونية تشمل عادة اختبار الاختراق " .

من المهم توضيح هذا لأنه إذا كنت ستستخدم اختبار "أوسيلتيشن" لإعداد "سارا" فقد كان في اتجاه البداية

SRA How: Four Steps

ويستند تقييم المخاطر الأمنية على مستوى المنظومة إلى خط رئيسي من أربع خطوات وينتهي بتصميم سجل مخاطر النظام:

تحديد المخاطر نعم تحليل المخاطر نعم تقييم المخاطر نعم التخلص من المخاطر

وتعريف المخاطر صريح:الخطر = التهديد x الثغرة x التأثيرلا أعلم وقد تأتي التهديدات من ظروف فردية أو تنظيمية أو حتى بيئية، مما يؤدي إلى الحصول غير المأذون به على الخدمات أو تدميرها أو تغييرها أو إنكارها؛ وتشكل الثغرات نقاط ضعف أو ثغرات في النظام الأمني يمكن أن تستغلها التهديدات.

وتغطي مرحلة تحديد المخاطر طائفة واسعة من المجالات، تشمل 10 بنود رسمية هي: أمن الموارد البشرية، وإدارة الأصول، ومراقبة الدخول، وكلمات السر، والأمن المادي والبيئي، والأمن التشغيلي، وأمن الاتصالات، وتطوير وصيانة النظام، والأمن الخارجي، وضمان استمرارية تكنولوجيا المعلومات. وتنقسم عملية تحديد الهوية إلى عمليتين فرعيتين:

الاعتراف بنظام المعلومات: جميع نظم المعلومات داخل الولاية القضائية، بغض النظر عن مصدر الأموال، يتم إزالتها وتنفيذهاقائمة الأصول وتقييمهالا أعلم وهناك ثلاث فئات من قيمة الأصول - القيمة المادية (تكلفة المعدات/البرمجيات/البيانات/التوثيق/الاستبدال للموظفين)، والقيمة غير الملموسة (السلع، ونوعية الخدمة)، والقيمة الإعلامية (تصنيف التصنيف الثالث للبيانات).
الاعتراف بموقع المخاطر● النظر في مصادر المخاطر وأسبابها ومناسباتها، والتهديدات والفرص، والثغرات والقدرات، والتغيرات في البيئة الداخلية والخارجية، ومؤشرات المخاطر الناشئة، وطبيعة وقيمة الأصول، وعواقبها وآثارها، وقيود المعرفة وموثوقية المعلومات، والعوامل الزمنية، وما إلى ذلك.

كما أن المعلومات التي جُمعت خلال عملية تحديد الهوية محددة: الاحتياجات والأهداف الأمنية؛ وهياكل النظم/الشبكات وخرائط التوسع؛ والأدلة على الامتثال للبيئة المادية للغرف؛ والمعلومات القابلة للتفتيش المفتوحة؛ والأصول المادية؛ ونظم التشغيل ونظم إدارة الشبكات؛ وقواعد البيانات والوثائق؛ والتطبيقات والمعلومات المتعلقة بالخواديم؛ وبروتوكولات وخدمات الشبكة؛ وتدابير مراقبة الدخول؛ وعمليات التشغيل المختلفة؛ وآليات تحديد الهوية؛ ومتطلبات العقود التنظيمية؛ والمبادئ التوجيهية للسياسات؛ وتصنيف النظم.

of whichاستعراض النظامFocus on: System files and logs, running processes, access control files, user lists, formation settings, patch levels levels, encryption or authentication tools, web pipe tools, logs, or intrusion detection tools - while keeping an eye on any unusual activity such as an intrusion attempt.

افعلها عند الضرورةاختبار الثغرات التقنيةفحص الثغرات، اختبار التسلل، استعراض التشكيل، فحص المصدرالمباني الرئيسيةوقبل القيام بذلك، يجب على فريق التقييم أن يتفق مع الإدارة بشأن نطاق عملية التخلف/الاسترداد، وتأثيرها المحتمل؛ وإذا كان الأمر يتعلق بالإطار 2 وما فوقه، ينبغي الإشارة إلى خطة استمرارية تصريف الأعمال وخطة استعادة القدرة على العمل بعد الكوارث. وتغطي المسحات الأرضية الكشف عن طبقات الشبكة/الكشف عنها، واختبار الثغرات في الحاسوب الرئيسي، ومسح النظام/التطبيق (بما في ذلك الشبكة) والتحقق من أن الإعلانات الأمنية ذات الصلة الصادرة عن شركة GovCERT.

كيفية حساب المخاطر: مصفوفة المستوى 3

تحليل المخاطر لتقييمهاالأثرومحتمليجب أن نتعرف عليهمالضوابط القائمةوتقييم فعاليتهم وتنقسم الضوابط إلى ثلاث فئات هي: المراقبة التقنية (جداول إطلاق النار، والتشفير، والبرمجيات الخبيثة، ومراقبة الدخول)، والرقابة البدنية (CCTV, door-barrel, fire protection, physical data destruction)، والرقابة الإدارية (خطة الاستجابة للطوارئ، والتدريب على سلامة الموظفين، وسياسة خصوصية البيانات، وخطة التأهب للكوارث).

والأساليب التحليلية نوعية وكمية، ويمكن استخدامها أيضا في نهج المصفوفة. والصيغة العملية هي:

مستوى المخاطر = الأثر x الاحتمال x التسلسل الهرمي للنظام (المستوى)

ويحصل كل منها على القيمة 3-high/2-m/ medium / 1-low, multiply range 1 to 27:18-27 الخطر الشديد، 9-17 الخطر المتوسط، 1-8 المخاطر المنخفضةلا أعلم و...مختلفة نُظم النمور لديها مصفوفة المخاطر الخاصة بها-نفس "احتمالات المتوسطة" و "الدرجة الأولى" تُحسب المخاطرة، حتى لو كانت مخاطرة عالية، فالدرجة الثالثة أكثر خطورة كلما كان التسلسل الهرمي للنظم كلما قلّت مساحة الأخطاء

The government also gave two techniques:استنادا إلى الأحداث السابقة(الإحالة إلى تقارير الحوادث الأمنية، والآداب الصناعية، والتسرب التاريخي من جانب مقدمي الخدمات)؛طريقة التقدير من ثلاث نقاط(إدارة النقاط الثلاث) التي تسمح للخبراء بإعطاء أكثر القيم تفاؤلاً أو، على الأرجح ميم، وأكثرها شيوعاً، على التوالي، مع ثلاثية في المتوسط. وإذا كان P وO بعيدين جدا، فإن M أكثر موثوقية، يمكن وزن M (مثل الوزن أربع مرات).

SA How: Compliance

وتتبع عمليات مراجعة الحسابات الأمنية خطاً آخر: التحقق من الامتثال للسياسات المتعلقة بـ " S17 " وسياسات الأمن في الإدارات من خلال استعراض الوثائق، وزيارات الموقع، والمقابلات المتعددة المستويات، وحلقات النقاش، والاستبيانات، وما إلى ذلك. نطاق مراجعة الحساباتاتفاق محدد ومسبق مع مراجعي الحساباتوتشمل الأمثلة التي قدمت رسمياً أمن الإنترنت، وأمن الشبكة الداخلية، ونظم المعلومات من المستوى 2، وأمن الحاسوب الرئيسي، وأمن خواديم الشبكة (الخدمة الإلكترونية/البريدية، وما إلى ذلك)، ومكونات الشبكة ومعداتها (قواعد إطلاق النار، والموجهات)، وأمن الغرف، وخدمات الشبكات (خدمات الكاتالوج، وخدمات البريد، والوصول عن بعد)، ووثائق النظم والسجلات.

وفيما يتعلق بعمليات مراجعة الحسابات على المستوى القطاعي أو غير المحدد، من المألوف أن تدقق في حجم وفعالية تدابير الإدارة المتكاملة على النحو المحدد في الوثيقة S17 أو إطار الإدارة السليمة بيئياً الذي تملكه المنظمة (السياسات/المعايير/الإجراءات).

التنفيذ و 10 أنشطة مشتركة

:: الترجمة الرسمية للنشاط النظامي لرابطة جنوب السودان بكاملها إلى 10، وهي أساسا خريطة طريق للنزاهة:

الدورة الافتتاحية: الاعتراف بالتغطية والأهداف والنواتج
تخطيط المشاريعالجدول الزمني والجدول الزمني المتفق عليهما
استعدوا للفحص: إقرار استمارات التفتيش مع الإدارات
الاستعداد للتراجع/الاسترداد: Technical tests such as gap scanning, penetration testing, etc.
تحديد الأصول وتقييمها: تحديد وتقييم الأصول في حدود متفق عليها
تقييم المخاطرتحليل المخاطر
تقديم تقرير تقييم المخاطر قبل الترحيل، وخطة التخلص من المخاطر، وسجل المخاطر في النظام
الإبلاغ إلى الإدارةالنتائج والاستنتاجات
مراجعة الحسابات الأمنيةتقرير عن نتائج مراجعة الحسابات
حماية البيانات والنتائج، وخطط المتابعة، واستعراض الضمانات، وتقديم تقارير المصادقة، والإبلاغ المغلق

يمكنك أن ترىالتسليم ليس تقريراًThe SRA side-to-side risk register and disposal plan, SA side-to-side compliance lists and audit reports and, finally, validation reports to confirm the overhaul results of each discovery for closure.

من سيفعلها؟ ماذا سيحدث؟

ومن الصعب مطالبة الأطراف الثالثة المستقلة.- يجب على طرف ثالث مستقل أن يقوم بعمليات مراجعة الحسابات الأمنية، كما يجب توجيه توصيات التقييم الذاتي السريع إلى طرف ثالث. ورسميا، تحدد واجبات الخبراء الاستشاريين/المراجعين بوضوح: لديهم المهارات والخبرات اللازمة، فهموا أثر كل أداة،قبل إجراء اختبارات الإختراق، يجب أن تحصل على إذن مكتوب من الأطراف المهتمة مثل ISP والشرطة.سواء كان الإختبار ناجحاً أم لا، فإن التقرير يعكس سياسة الإدارة الأمنية واحتياجاتها التشغيلية، ويحدد مخاطر كبيرة أو عدم تطابق التقارير على الفور، ويدعم الأدلة عند الطلب.

وتشكل حماية البيانات نقطة أخرى يسهل إهمالها: فالكميات الكبيرة من البيانات التكوينية والحساسة يتم جمعها خلال عملية التقييم.الحاجة إلى ترتيب أدوات التشفير والخزائن المغلقة في مرحلة التخطيط' ' أن تكون أدوات التقييم خاضعة للرقابة، وتشغلها فقط خبراء الأفرقة، وتُحذف بعد استنفادها مباشرة؛ وتكون تقارير التقييم التي لا يؤذن لها بالزيارة قبل التعديل في حد ذاتها تهديدا مباشرا، بحيث تكون العملية والتقرير النهائي سرية تماما؛ وبعد استكمالها، تُعاد جميع المعلومات وتُعاد.سحب إمكانية الوصول المؤقتة الممنوحة لمراجعي الحساباتلا أعلم

وتستند هذه الخدمات إلى ما يلي: توفير معلومات عن الوثائق مثل خرائط الشبكات، والأدلة التشغيلية، وقوائم مراقبة الدخول، والسياسات/المعايير/المبادئ التوجيهية/الإجراءات الأمنية؛ وتقديم الدعم من جانب الأقران مثل الشبكات، وجداول الحماية، وإدارة النظم؛ وتنظيم زيارات الموقع.

المتابعة تستحق

هناك بيان رسمي:" إن قيمة تقييم المخاطر ومراجعة الحسابات ليست في التوصيات ذاتها، بل في تنفيذها الفعال " . والإدارة مسؤولة عن التنفيذ عندما تصدر التوصية؛ وإذا لم ينفذ القرار، يجب أن تُحتَمَل المخاطر المقابلة وأن تكون مبررة تماما. The follow-up is structured around three areas of concern: effectiveness, qualifications and timeliness of adaptation. ويُستنتج أن المواد العالية المخاطر قد عُدِّلت أو عُزِّزت في أقرب وقت ممكن وهي جاهزة لإجراءات التراجع.

ما هي القيمة المرجعية لمنطقة غير هونغ كونغ؟

وعلى الرغم من أن الرابطة هي نتاج لنظام الحكم في هونغ كونغ، فإن هياكلها الرئيسية شائعة:الامتثال لتقييم المخاطر " المخاطر " ، والمراجعة الأمنية " ، سواء كان ذلك منفصلا أو قابلا للتنفيذ أو منغلقالا أعلم وهذه المجموعة من الأفكار والتقييمات المتعلقة بالضمانات الداخلية، والمصادقة ISO/IEC 27001 متوافقة روحياً - أولاً توضح الأصول ثم تحسب المخاطر (تصنيف الأثر x الاحتمال x النظام)، ثم تُخصص الموارد المعرضة للخطر وما دونها، وتُستخدم أخيراً مراجعة مستقلة للتأكد من الامتثال.

وإذا كانت منظمتكم تضع إطارا لإدارة الأمن، فإن الحلقة المتواترة من مجموعة التحقق من صحة البيانات والبيانات الجاهزة من جانب الرابطة تمثل نموذجا مفيدا جدا. خاصة تلكسجل المخاطر + خطة التخلص + تقرير المصادقة" إن المجموعات الثلاث أقوى بكثير من تقديم تقرير واحد فقط عن اختبار القابلية للتأثر.

فالسلامة ليست تقييما، بل هي حلقة مغلقة لا تزال تتداخل.