Celý název SRAA: Hodnocení a audit bezpečnostního rizika: Co hodnotí vláda Hongkongu?

V Hong Kongu ti nikdy neprojde jediné slovo: SRAA. Celé jméno Posouzení bezpečnostního rizika a podporaV čínštině se nazývá "Hodnocení a audit bezpečnostního rizika" (také přeloženo jako "Hodnocení bezpečnostního rizika a audit"). Není to výrobek výrobce, je to...Povinný soubor požadavků na posuzování bezpečnosti a audit stanovený hongkongskou vládouVšechny orgány státní správy, úřady (B / D) a vládní agentury jsou povinny je provádět a předkládat nezávislé zprávy o osvědčování.

Tento soubor požadavků je založen na Úřadu pro digitální politiku, DPO, dříve OGCIO, Practice Guide for Security Risk Assessment & Audit (No. ISPG- SM01Doprovodné dokumenty rovněž zahrnují základní bezpečnostní politiku IT [S17] a pokyny pro bezpečnost IT [G3]. Poslední vydání zveřejněno v srpnu2026, v2.2Byl přidán "SRAA Process and Delivery Baseline Check List".

Jeho normativní reference jsou také orientační pro umístění: ISO / IEC 27000, 27001, 70002, 27005, ISO 31000: 2018 pokyny pro řízení rizik a NISTIR 8286 (začlenění kybernetické bezpečnosti do řízení rizik podniku (ERM)). Jinými slovy,SRAA je vládní rámec pro lokalizaci mezinárodních noremNevím.

Rozlišování mezi SRA a SA

Spousta lidí bere SRAA jako jednu věc, ale je to kombinace dvou věcí, které jsou zcela odlišné:

• Posouzení bezpečnostního rizika (SRA)Identifikace, analýza, posouzení bezpečnostních rizik a stanovení opatření k odstranění za účelem snížení rizik na přijatelnou úroveň. Perspektivní je:Riziko"Rozsah posouzení nemusí nutně souviset s bezpečnostní politikou.
• Bezpečnostní audit (SA, bezpečnostní audit)Audit versus bezpečnostní politika / normyÚroveň shodyověřovat, zda jsou stávající ochranná opatření správně uplatňována. Perspektivní je:Soulad"Na rozdíl od S17, G3 nebo vlastní bezpečnostní politiky sektoru.

Úředník nám dal srovnávací tabulku, která učinila rozdíl dokonale jasný:

• Pozor.: SRA je perspektiva rizika; SA je perspektiva souladu
• Vykonávající stranaSPA mohou být hodnoceny samotným oddělením (samohodnocení) nebo třetími stranami;SA musí být provedeno nezávislou třetí stranou
• Klíčové prvky: SRA kapitulaceRegistr rizik + opatření k odstranění rizik; Odevzdání SAKontrolní seznam shody
• Načasování: nový systém vývojového životního cyklu (SDLC)StartDo SRA; již online systémy jsou pravidelně prováděny během celého životního cyklu, nebo pokud dojde k významným změnám v IT prostředí

Tři z nejčastějších mylných představ.

ISPG-SM01, z verze 2.0 (duben 2024), specificky objasnil několik široce sdílených mylných koncepcí, které by měly být slyšet v tomto podnikání:

• Pochopení: SRA a SA to musí udělat společně, předložit zprávu "dva v jednom".Špatně. Povaha těchto dvou opatření je odlišná, stejně jako požadavky donucovací strany (SA musí být nezávislou třetí stranou), kterou lze provádět samostatně.
• Nesprávné porozumění 2: Aktivita SRAA může zahrnovat jak kontroly identifikace rizik, tak kontroly dodržování předpisů v SDLC.Špatně. To jsou dva různé druhy práce.
• SRAA je test úniku nebo průniku.Nejvíc špatně.Infiltrace zkoušky jsou jen součástí technické zkoušky mezery v SRA.Ne SRAA. Mnoho konzultačních firem chybně vypovědělo své servisní popisy, že "SRA obvykle zahrnují testování pronikání".

Je důležité, aby to bylo jasné, protože pokud chcete použít oscilační test k přípravě SRAA, bylo to ve směru začátku.

SRA Jak: Čtyři kroky

Posouzení bezpečnostního rizika na úrovni systému je založeno na čtyřkrokové hlavní čáře a končí depozicí registru systémových rizik:

Identifikace rizika Jo. Analýza rizik Jo. Hodnocení rizik Jo. Likvidace rizik

Definice rizika je jednoduchá:Riziko = hrozba x skulinka x nárazNevím. Hrozby mohou pocházet z individuálních, organizačních nebo dokonce environmentálních podmínek, což vede k neoprávněnému přístupu, zničení informací / změně nebo odepření služeb; mezery jsou nedostatky nebo mezery v bezpečnostním systému, které mohou být zneužity hrozbami.

Fáze identifikace rizik zahrnuje širokou škálu oblastí s 10 oficiálními položkami: bezpečnost lidských zdrojů, správa aktiv, kontrola přístupu, hesla, fyzická a environmentální bezpečnost, provozní bezpečnost, zabezpečení komunikace, rozvoj a údržba systémových zakázek, bezpečnost outsourcingu a bezpečnost IT pro kontinuitu podnikání. Identifikační proces je rozdělen na dva subprocesy:

• Rozpoznání informačního systému: všechny informační systémy v rámci jurisdikce, bez ohledu na zdroj finančních prostředků, jsou odstraněny a zavedenySeznam a ocenění aktivNevím. Existují tři kategorie hodnoty aktiv - fyzická hodnota (zařízení / software / data / dokumentace / náhradní náklady na zaměstnance), nehmotná hodnota (zboží, kvalita služeb), informační hodnota (klasifikace údajů CIA III +).
• Rozpoznání rizikové scény• Zvažte zdroje rizik, příčin a událostí, hrozby a příležitosti, mezery a schopnosti, změny ve vnitřním a vnějším prostředí, vznikající ukazatele rizik, povahu a hodnotu aktiv, důsledky a dopady, omezení znalostí a spolehlivost informací, časové faktory atd.

Informace shromážděné během identifikace jsou rovněž specifické: bezpečnostní potřeby a cíle; struktury systémů / sítí a mapy stupnic; důkazy o souladu s fyzickým prostředím místností; otevřené vyhledávací informace; fyzická aktiva; operační systémy a systémy řízení sítí; databáze a dokumenty; aplikace a informace o serverech; protokoly a služby sítě; opatření pro kontrolu přístupu; různé provozní procesy; identifikační mechanismy; požadavky na regulační smlouvy; obecné zásady politiky; klasifikace systému.

z tohoPřezkum systémuZaměřte se na: Systémové soubory a protokoly, běžící procesy, přístupové kontrolní soubory, uživatelské seznamy, nastavení konfigurace, úrovně náplastí, šifrovací nebo autentizační nástroje, nástroje na web trubkové trubky, protokoly nebo nástroje na detekci vniknutí - při pozorování jakékoli neobvyklé činnosti, jako je pokus o vniknutí.

Udělej to, až to bude nutné.Technické zkoušky mezerySkenování žaludku, testování infiltrace, kontrola konfigurace, skenování zdroje.Hlavní prostoryPřed tím, než tak učiní, musí hodnotící tým souhlasit s oddělením o rozsahu, možném dopadu, procesu zpětného získání / využití; pokud se jedná o stupeň 2 a vyšší, je třeba odkázat na plán kontinuity podnikání (BCP) a plán obnovy katastrof (DRP). Skenování gap zahrnuje detekci / objevení síťové vrstvy, testování mezery v systému, systém / aplikaci (včetně Webu), skenování a ověření, že příslušná bezpečnostní oznámení vydaná GovCERT.HK byla vyplněna nebo kompenzována.

Jak vypočítat riziko: Matrice úrovně 3

Analýza rizik k posouzeníDopadaMožnéMusíme je identifikovat.Stávající kontrolyA zhodnotit jejich účinnost. Kontroly spadají do tří kategorií: technická kontrola (firewally, šifrování, škodlivý software, kontrola přístupu), fyzická kontrola (CCTV, hlaveň dveří, požární ochrana, zničení fyzických dat), řízení (plán reakce na mimořádné události, školení zaměstnanců, politika ochrany osobních údajů, plán připravenosti na katastrofy).

Analytické metody jsou kvalitativní a kvantitativní a mohou být také použity v matričních přístupech. Praktický vzorec je:

Úroveň rizika = dopad x pravděpodobnost x hierarchie systému (Tier)

Každý má hodnotu 3-high / 2-m / medium / 1-low, vynásobte rozsah 1 až 27:18- 27 Vysoké riziko, 9- 17 střední riziko, 1- 8 nízké rizikoNevím. A...Různé Tier systémy mají vlastní rizikovou matici.- Stejná "střední pravděpodobnost + vysoký dopad": riziko 1, 2, i když je vysoké riziko, 3 je vyšší riziko. Čím vyšší hierarchie systémů, tím menší prostor pro chyby.

Vláda také dala dvě techniky:Na základě minulých událostí(Odkaz na zprávy o bezpečnostních incidentech, průmyslovou literaturu, historické úniky ze strany poskytovatelů služeb)Metoda odhadu tří bodů(Three- Point Administration), který umožňuje odborníkům poskytnout nejoptimističtější O, s největší pravděpodobností M, a nejvíce pesimistické P hodnoty, respektive s triangulací průměru. Pokud P a O jsou příliš daleko od sebe, M je spolehlivější, M může být vážen (např. čtyřnásobek hmotnosti).

SA Jak: Soulad

Bezpečnostní audity sledují jinou linii: kontroly dodržování předpisů podle S17 a resortních bezpečnostních politik prostřednictvím přezkoumání dokumentů, návštěv na místě, víceúrovňových rozhovorů, panelových diskusí, dotazníků atd. Rozsah auditu musíZvláštní a předchozí dohoda s auditoryMezi oficiální příklady patří internetová bezpečnost, Intranet zabezpečení, Tier 2 informační systémy, zabezpečení hlavního počítače, zabezpečení síťového serveru (Web / mail server, atd.), síťové komponenty a zařízení (firewally, routery), bezpečnost místností, síťové služby (katalogové služby, poštovní služby, vzdálený přístup), systémová dokumentace a záznamy.

U odvětvových nebo nespecifických auditů je běžnou praxí kontrolovat velikost a účinnost ISM definovaných v S17 nebo v rámci ISM ve vlastnictví organizace (politiky / normy / postupy).

Dodávka a 10 společných činností

Oficiální překlad pravidelné činnosti celé SRAA do 10, v podstatě cestovní mapa integrity:

1. Zahájení: Uznání pokrytí, cílů, výsledků
2. Projektové plánování: Dohodnutý harmonogram a harmonogram dodání
3. Připravte se na kontrolu.: Potvrzení inspekčních formulářů s útvary
4. Připravte se na ústup / obnovu: technické zkoušky, jako je skenování mezery, testování průniku atd.
5. Identifikace a oceňování aktiv: Identifikace a hodnocení aktiv v rámci dohodnutých limitů
6. Hodnocení rizikAnalýza rizik Hodnocení rizik
7. Předání zprávy SRA, plánu odstraňování rizik, registru systémových rizik
8. Podávání zpráv vedeníVýsledky a zjištění
9. Bezpečnostní auditZpráva o výsledcích auditu
10. Ochrana údajů a výsledků, navazující plány, přezkum záruk, předávání zpráv o ověření, podávání zpráv o uzavřeném okruhu

Vidíte,Doručení není zpráva.Plán pro registr rizik a likvidaci ze strany SRA, kontrolní seznamy a zprávy o auditu ze strany SA a zprávy o ověření s cílem potvrdit výsledky přepracování každého objevu pro uzavření.

Kdo to udělá? Co se stane?

Nezávislé třetí strany je těžké požadovat.- Bezpečnostní audity musí provádět nezávislá třetí strana a doporučení SRA musí být rovněž určena třetí straně. Oficiálně jsou jasně definovány povinnosti poradců / auditorů: mají potřebné dovednosti a odborné znalosti, chápou dopad každého nástroje,Před provedením hack testů, musíte získat písemné povolení od zúčastněných stran, jako je ISP a policie.Zda je test úspěšný či nikoli, zpráva odráží bezpečnostní politiku a operační potřeby oddělení, identifikuje významná rizika nebo neshody, okamžitě podává zprávy a podporuje důkazy na vyžádání.

Ochrana údajů je dalším snadno opomíjeným bodem: velké množství konfigurací a citlivých údajů se shromažďuje během procesu hodnocení.Potřeba zajistit šifrovací nástroje a uzamykatelné skříně ve fázi plánování; vyhodnocovací nástroje budou kontrolovány, provozovány pouze odborníky týmu a odstraněny bezprostředně po jejich vyčerpání; hodnotící zprávy, které nejsou oprávněny k návštěvě před úpravou, jsou samy o sobě přímou hrozbou, takže proces a závěrečná zpráva budou přísně důvěrné a po dokončení budou všechny informace vráceny aZrušení dočasného přístupu uděleného auditorůmNevím.

Služby se připravují na: poskytování dokumentačních informací, jako jsou mapy sítí, provozní příručky, seznamy řízení přístupu, bezpečnostní politiky / normy / pokyny / postupy; poskytování vzájemné podpory, jako jsou sítě, firewally, řízení systému; a organizace návštěv na místě.

Za to to stojí.

Existuje oficiální prohlášení:"Hodnota hodnocení rizik a auditu není v samotných doporučeních, ale v jejich účinném provádění." Řízení odpovídá za provádění doporučení; není-li rozhodnutí provedeno, je třeba přijmout a plně zdůvodnit odpovídající riziko. Následný postup je strukturován přibližně na tři oblasti, které se týkají: účinnost, kvalifikace a včasnost přizpůsobení. Zjistí se, že vysoce rizikové položky jsou co nejdříve upraveny nebo posíleny a jsou připraveny na regresní postupy.

Jaká je referenční hodnota pro oblast mimo Hongkong?

Přestože SRAA je produktem hongkongského systému vlády, jeho kostry jsou běžné:Soulad s posouzením rizik "riziko", "bezpečnostní audit", jak oddělené, dodávané a uzavřené ověření smyčkyNevím. Tento soubor nápadů a hodnocení záruky ekvivalentu vnitrozemské dopravy, certifikace ISO / IEC 27001 jsou duchovně kompatibilní - nejprve očistit aktiva a pak vypočítat rizika (impact x pravděpodobnost x systémová klasifikace), poté přidělit zdroje ohrožené a níže a nakonec použít nezávislý audit k potvrzení shody.

Pokud vaše organizace vytváří bezpečnostní rámec, iterativní smyčka souboru SRAA Assessment- dispocal- audit- validation je velmi užitečná šablona. Hlavně tenhle. "Registr rizik + plán likvidace + zpráva o ověření"Tyto tři sady jsou mnohem pevnější než předložení pouze jednoho zkušebního protokolu propustnosti.

Bezpečnost není hodnocení, ale uzavřená smyčka, která se stále překrývá.