SRAA Пълно име: Оценка на риска за сигурността и одит: Какво оценява правителството на Хонконг?

В Хонг Конг никога няма да ти се размине с една дума: СРАА. Пълно име Оценка на риска за сигурността и помощНа китайски се нарича оценка на риска и одит (също преведена като оценка на риска и одит). Не е продукт на производител, а...задължителни изисквания за оценка и одит на сигурността, установени от правителството на ХонконгОт всички държавни отдели, отдели/офиси (Б/Д) и правителствени агенции се изисква да ги прилагат и представят независими доклади за сертифициране.

Този набор от изисквания се основава на Службата за цифрови политики, DPO, преди OGCIO, Practice Guide for Security Risk Assessment & Audit (No. ISPG-SM01Придружаващите документи включват също така основната политика за информационна сигурност [S17] и насоките за информационна сигурност [G3]. Последното издание, публикувано през август 2026 г. v2.2Добавено е и процес на SRAA и доставка на едро.

Нейните нормативни препратки също са показателни за позициониране: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 насоки за управление на риска и NISTIR 8286 (внедряване на киберсигурността в управлението на риска на предприятията (ERM)). С други думи,СРАА е правителствена рамка за локализиране на международните стандартиНе знам.

Характеристики между SRA и SA

Много хора приемат SRAA като едно нещо, но това е комбинация от две неща, които са напълно различни:

• Оценка на риска за сигурността (SRA)Идентификация, анализ, оценка на рисковете за безопасността и определяне на мерките за унищожаване с цел намаляване на рисковете до приемливи равнища. Перспективата е:РискВ обхвата на оценката не е задължително свързана с политиката за сигурност.
• Одит на сигурността (SA, одит на сигурността)Одит срещу политика/стандарти за сигурностНиво на съответствие, проверяват дали съществуващите защитни мерки са приложени правилно. Перспективата е:СъответствиеЗа разлика от S17, G3 или собствената политика за сигурност на сектора.

Длъжностното лице ни даде сравнителна таблица, която направи разликата напълно ясна:

• Внимавай.: SRA е рискова перспектива; SA е перспектива за съответствие
• Изпълняваща странаСРА могат да бъдат оценени от самия отдел (самооценка) или от трети страни;SA трябва да бъде извършена от независима трета страна
• Ключови резултати:SRA капитулацияРегистър на риска + мерки за отстраняване на риска;SA капитулацияКонтролен списък за съответствие
• Момент: нова система в жизнения цикъл на развитието (SDLC)НачалоDo SRA; вече онлайн системи се извършват редовно през целия жизнен цикъл, или когато се наблюдават значителни промени в ИТ средата

Три от най-честите погрешни схващания.

ISPG-SM01, от версия 2.0 (април 2024 г.), изрично изясни няколко широко разпространени погрешни схващания, които трябваше да бъдат чути в този бизнес:

• Недоразумение едно: СРА и СА трябва да го направят заедно, да представят доклад "две в едно."Грешка. Естеството на двете е различно, както и изискванията на прилагащата страна (SA трябва да бъде независима трета страна), която може да се извърши отделно.
• Недоразумение 2: Дейността на SRAA може да обхваща както проверките за идентификация и съответствие на риска в SDLC.Wrong. These are two different types of work.
• Недоразумение три: SRAA е теч сканиране или тест за проникване.Най-голямата грешка.Тестовете за проникване са само част от техническия тест за пропуски в СРА.Не самата СРАА. Много от консултантските фирми погрешно са изписали описанията на услугите си, като са казали, че готварските служби обикновено включват опровержение.

Важно е да изясним това - защото ако ще използвате теста за осцилиране, за да подготвите SRAA, той е бил в посоката на началото.

Четири стъпки

Оценката на риска за сигурността на нивото на системата се основава на четиристепенна основна линия и завършва с отлагане на регистъра на риска на системата:

Идентификация на риска Да. Анализ на риска Да. Оценка на риска Да. Изхвърляне на риска

Определението за риск е ясно:Риск = заплаха x вратичка х ударI don't know. Threats may come from individual, organizational or even environmental conditions, leading to unauthorized access, information destruction/alteration or denial of services; loopholes are weaknesses or gaps in the security system that can be exploited by threats.

Фазата на идентифициране на риска обхваща широк спектър от области с 10 официални елемента: сигурност на човешките ресурси, управление на активи, контрол на достъпа, пароли, физическа и екологична сигурност, оперативна сигурност, сигурност на комуникациите, разработване и поддръжка на системи за възлагане на обществени поръчки, външна сигурност и информационна сигурност за непрекъснатост на дейността. Процесът на идентификация е разделен на два подпроцеса:

• Признаване на информационна система: всички информационни системи в рамките на юрисдикцията, независимо от източника на средства, се отстраняват и прилагатСписък и оценка на активитеI don't know. There are three categories of asset value - physical value (equipment/software/data/documentation/replacement cost of personnel), intangible value (goods, quality of service), information value (CIA III+ data classification).
• Признаване на рисковата сцена• Consider sources of risk, causes and events, threats and opportunities, loopholes and capabilities, changes in the internal and external environment, emerging risk indicators, nature and value of assets, consequences and impacts, knowledge limitations and reliability of information, time factors, etc.

Информацията, събрана по време на идентификацията, също е специфична: нужди и цели за сигурност; системи/мрежови структури и карти за мащабиране; доказателства за съответствие с физическата среда на стаите; открита информация за търсене; физически активи; операционни системи и системи за управление на мрежата; бази данни и документи; приложения и сървърна информация; мрежови протоколи и услуги; мерки за контрол на достъпа; различни оперативни процеси; механизми за идентифициране; изисквания за нормативни договори; насоки за политиката; класификация на системата.

от коитоПреглед на систематаСъсредоточете се върху: Системни файлове и трупи, работещи процеси, контрол на достъпа файлове, потребителски списъци, настройки на конфигурацията, нива на кръпка, криптиране или автентикация инструменти, уеб тръба инструменти, трупи, или инструменти за откриване на проникване - като същевременно държи под око всяка необичайна дейност като опит за проникване.

Направи го, когато е необходимо.Изпитване за техническа празнинаГап сканиране, тестване на проникване, преглед на конфигурацията, сканиране на източника.Ключови помещенияПреди да направи това, екипът за оценка трябва да се съгласи с отдела относно обхвата, възможното въздействие, процеса на връщане/връщане; ако става въпрос за подреждане 2 и по-горе, следва да се направи препратка към бизнес плана за непрекъснатост (BCP) и плана за възстановяване при бедствия (DRP). Сканирането на гап обхваща откриване/откриване на мрежовия слой, тестване на главния компютър на вратичка, система/приложение (включително уеб) сканирания и проверява дали съответните съобщения за сигурност, издадени от GovCERT.HK, са били попълнени или компенсирани.

Как да изчислим риска: матрица на ниво 3

Анализ на риска за оценкаВъздействиекакто иВъзможноТрябва да ги идентифицираме.Съществуващи проверкиAnd assess their effectiveness. Controls fall into three categories: technical control (firewalls, encryption, malicious software, access control), physical control (CCTV, door-barrel, fire protection, physical data destruction), management control (emergency response plan, staff safety training, data privacy policy, disaster preparedness plan).

Аналитичните методи са качествени и количествени и могат да бъдат използвани и в подходите на матрицата. Практическата формула е:

Ниво на риска = въздействие x вероятност x йерархия на системата (Tier)

Всеки приема стойност 3- висока / 2- m/ средна / 1- ниска, умножаване диапазон 1 до 27:18-27 Висок риск, 9-17 среден риск, 1-8 нисък рискI don't know. And...Different Tier systems have their own risk matrix.Същото "минимална вероятност + голямо въздействие": риск от отписване от първи ред, втори ред, дори и да е висок риск, трети ред е по-висок риск. Колкото по-висока е йерархията на системите, толкова по-малка е пространството за грешки.

Правителството също даде две техники:Въз основа на минали събития(Позоваване на доклади за инциденти по сигурността, индустриална литература, исторически течове от доставчиците на услуги);Three-point estimation method(Three-Point Administration), което позволява на експертите да дадат най-оптимистичните O, най-вероятно M, и най-песимистичните P стойности, съответно, с триангулация на средната стойност. Ако P и O са твърде далеч един от друг, M е по-надежден, M може да се претегля (напр. четири пъти тегло).

SA How: Compliance

Security audits follow another line: compliance checks against S17 and departmental security policies through document reviews, site visits, multilevel interviews, panel discussions, questionnaires, etc. Audit scope mustSpecific and prior agreement with auditorsExamples officially given include Internet security, Intranet security, Tier 2 information systems, mainframe security, network server security (Web/mail server, etc.), network components and equipment (firewalls, routers), room security, network services (catalogue services, mail services, remote access), system documentation and records.

For sector-level or non-specific audits, it is common practice to audit the size and effectiveness of ISMs as defined in S17 or the organization-owned ISMs framework (policies/standards/procedures).

Доставка и 10 общи дейности

Официалният превод на редовната дейност на цялата СРАА на 10, основно пътна карта на целостта:

1. Откриване на сесията: Recognition of coverage, objectives, deliverables
2. Планиране на проекта: Agreed delivery schedule and schedule
3. Пригответе се за проверка.: Confirmation of inspection forms with departments
4. Подгответе се за отстъпление/връщане: technical tests such as gap scanning, penetration testing, etc.
5. Asset identification and valuation: Identification and assessment of assets within agreed limits
6. Оценка на рискаRisk identification Risk analysis Risk evaluation
7. Доставка на доклад на SRA, план за отстраняване на риска, регистър на системния риск
8. Докладване пред ръководствотоРезултати и констатации
9. Одит на сигурносттаДоклад за резултатите от одита
10. Data and results protection, follow-up plans, safeguards review, delivery of validation reports, closed loop reporting

Можеш да видиш,Доставка не е доклад.The SRA side-to-side risk register and disposal plan, SA side-to-side compliance checklists and audit reports and, finally, validation reports to confirm the overhaul results of each discovery for closure.

Who's gonna do it? What's gonna happen?

Трудно се изискват независими трети лица.— Security audits must be conducted by an independent third party and SRA recommendations must also be addressed to a third party. Officially, the duties of consultants/auditors are clearly defined: they have the necessary skills and expertise, they understand the impact of each tool,Before conducting hack tests, you must obtain written authorization from interested parties such as ISP and the police.Whether or not the test is successful, the report reflects the department ' s security policy and operational needs, identifies significant risks or non-conformities, reports immediately, and supports evidence on demand.

Data protection is another easily neglected point: large amounts of configuration and sensitive data are collected during the assessment process.Need to arrange for encryption tools and lockable cabinets at the planning stage; assessment tools will be controlled, operated only by team experts and removed immediately after they have been exhausted; assessment reports that are not authorized to visit prior to modification are themselves a direct threat, so the process and the final report will be strictly confidential; and, after completion, all information will be returned andОттегляне на временен достъп, предоставен на одиториНе знам.

The services are premised on: provision of documentation information such as network maps, operating manuals, access control lists, security policies/standards/guidelines/procedures; provision of peer support such as networks, firewalls, system management; and organization of site visits.

Проследяването си заслужава.

There is an official statement:“The value of risk assessment and auditing is not in the recommendations themselves, but in their effective implementation.” Management is responsible for implementation when the recommendation is made; if the decision is not implemented, the corresponding risk must be assumed and fully justified. The follow-up is structured around three areas of concern: effectiveness, qualifications and timeliness of adaptation. High-risk items are found to be modified or reinforced as soon as possible and are ready for regression procedures.

What is the reference value for the non-Hong Kong region?

Although SRAA is a product of the Hong Kong system of government, its skeletons are common:Оценка на риска по отношение на риска, проверка на сигурността, както отделно, така и в затворен цикълI don't know. This set of ideas and inland equivalents warranty assessments, ISO/IEC 27001 certifications are spiritually compatible - first clear the assets and then calculate the risks (impact x probability x system classification), then allocate the resources at risk and below, and finally use an independent audit to confirm compliance.

If your organization is setting up a security governance framework, the iterative loop of the SRAA assessment-disposal-audit-validation set is a very useful template. Especially that one."Risk register + disposal plan + validation report“The three sets are much more solid than the submission of only one permeability test report.

Safety is not an evaluation, but a closed loop that continues to overlap.