SRAA Full name: Security Risk Assessment and Audit: Hvad vurderer Hongkongs regering?

I Hongkong slipper du aldrig af sted med ét ord: SRAA. Fuldt navn Vurdering af sikkerhedsrisici og -støttePå kinesisk kaldes det "Sikkerhedsrisikovurdering og -revision" (også oversat til "Sikkerhedsrisikovurdering og -revision"). Det er ikke et produkt fra en producent, det er...Et obligatorisk sæt af sikkerhedskrav og revisionskrav fastsat af Hongkongs regeringAlle ministerier, afdelinger / kontorer (B / D) og statslige organer skal gennemføre dem og indsende uafhængige certificeringsrapporter.

Dette sæt af krav er baseret på Office of Digital Policy Office, DPO, tidligere OGCIO, Practice Guide for Security Risk Assessment & Audit (Nej. ISPG- SM01Ledsagedokumenterne omfatter også Baseline IT-sikkerhedspolitik [S17] og IT-sikkerhedsretningslinjer [G3]. Den seneste udgave udgivet i august 2026, v2.2En "SRAA Process and Delivery Baseline Check Sheet" blev tilføjet.

Dens normative referencer er også vejledende for positionering: ISO / IEC 27000, 27001, 70002, 27005, ISO 31000: 2018 risk management guidelines, og NISTIR 8286 (indarbejde cybersecurity i virksomhedens risikostyring (ERM)). Med andre ord:SRAA er en statslig ramme for lokalisering af internationale standarderDet ved jeg ikke.

Sondring mellem SRA og SA

Mange mennesker tager SRAA som én ting, men det er en kombination af to ting, der er helt forskellige:

• SikkerhedsrisikovurderingIdentifikation, analyse, vurdering af sikkerhedsrisici og identifikation af bortskaffelsesforanstaltninger for at reducere risiciene til et acceptabelt niveau. Perspektivet er:Risiko"Vurderingens omfang er ikke nødvendigvis forbundet med sikkerhedspolitikken.
• Sikkerhedsrevision (SA, sikkerhedsrevision)Revision versus sikkerhedspolitik / -standarderOverholdelse, kontrollere, at eksisterende beskyttelsesforanstaltninger gennemføres korrekt. Perspektivet er:Overholdelse"I modsætning til S17, G3 eller sektorens egen sikkerhedspolitik.

Tjenestemanden gav os en sammenlignende tabel, der gjorde forskellen helt klar:

• Pas på.: SRA er et risikoperspektiv; SA er et compliance perspektiv
• Fuldbyrdende partSRA 'er kan vurderes af selve afdelingen (selvevaluering) eller af tredjemand.SA skal foretages af en uafhængig tredjepart
• Vigtigste resultater: SRA overgivelseRisikoregister + risikohåndteringsforanstaltninger; SA overgivelseKontrolliste for overensstemmelse
• TimingNyt system i udviklingslivscyklussen (SDLC)StartGør SRA; allerede online-systemer udføres regelmæssigt i hele livscyklus, eller når der sker væsentlige ændringer i it-miljøet

Tre af de mest almindelige misforståelser.

ISPG-SM01, fra Version 2.0 (April 2024), har specifikt klarlagt et par vidt delte misforståelser, der skulle have været hørt i denne virksomhed:

• Misforståelse et: SRA og SA skal gøre det sammen, producere en "to-i-en" rapport.Forkert. Arten af de to er forskellig, og det samme gælder kravene fra den fuldbyrdende part (SA skal være en uafhængig tredjepart), som kan gøres separat.
• Misforståelse 2: En SRAA-aktivitet kan omfatte både risikoidentifikation og overensstemmelseskontrol i SDLC.Forkert. Der er tale om to forskellige former for arbejde.
• Misforståelse tre: SRAA er en lækage scanning eller penetration test.Den mest forkerte.Infiltrationstest er blot en del af den tekniske gap test i SRA.Ikke SRAA selv. Mange af de konsulentfirmaer har fejlbeskrevet deres service beskrivelser, siger, at "SRAs normalt omfatter penetration test".

Det er vigtigt at gøre det klart -- for hvis du skal bruge Oscillation Test til at forberede SRAA, det har været i retning af begyndelsen.

SRA Hvordan: Fire trin

Sikkerhedsrisikovurderingen på systemniveau er baseret på en firetrins hovedlinje og slutter med nedlæggelsen af systemrisikoregistret:

Risikoidentifikation Ja. Risikoanalyse Ja. Risikovurdering Ja. Bortskaffelse af risici

Definitionen af risici er enkel:Risiko = trussel x smuthul x indvirkningDet ved jeg ikke. Trusler kan komme fra individuelle, organisatoriske eller endda miljømæssige forhold, der fører til uautoriseret adgang, informationsdestruktion / ændring eller fornægtelse af tjenester; smuthuller er svagheder eller huller i sikkerhedssystemet, der kan udnyttes af trusler.

Risikoidentifikationsfasen dækker en lang række områder med 10 officielle poster: personalesikkerhed, forvaltning af aktiver, adgangskontrol, adgangskoder, fysisk og miljømæssig sikkerhed, driftssikkerhed, kommunikationssikkerhed, udvikling og vedligeholdelse af systemer, outsourcet sikkerhed og forretningskontinuitet IT-sikkerhed. Identifikationsprocessen er opdelt i to underprocesser:

• Anerkendelse af informationssystemer: alle informationssystemer inden for jurisdiktion, uanset finansieringskilde, fjernes og implementeresListe og værdiansættelse af aktiverDet ved jeg ikke. Der er tre kategorier af aktivværdi - fysisk værdi (udstyr / software / data / dokumentation / genanskaffelsesomkostninger for personalet), immateriel værdi (varer, servicekvalitet), informationsværdi (CIA III + dataklassificering).
• Genkendelse af risikoscenarier• Overvej risikokilder, årsager og begivenheder, trusler og muligheder, smuthuller og kapaciteter, ændringer i det interne og eksterne miljø, nye risikoindikatorer, arten og værdien af aktiver, konsekvenser og virkninger, videnbegrænsninger og informationssikkerhed, tidsfaktorer osv.

De oplysninger, der indsamles under identifikationen, er også specifikke: sikkerhedsbehov og -mål, systemer / netstrukturer og scaleop- kort, dokumentation for overensstemmelse med lokalernes fysiske miljø, åbne søgbare oplysninger, fysiske aktiver, operativsystemer og netstyringssystemer, databaser og dokumenter, applikationer og serverinformation, netværksprotokoller og -tjenester, adgangskontrolforanstaltninger, forskellige driftsprocesser, identifikationsmekanismer, lovgivningsmæssige kontraktkrav, politiske retningslinjer, systemklassificering.

herafSystemgennemgangFokus på: Systemfiler og logfiler, kørende processer, adgangskontrolfiler, brugerlister, konfigurationsindstillinger, patchniveauer, krypterings- eller autentificeringsværktøjer, web-pipe-værktøjer, logfiler eller indtrængningsdetektionsværktøjer - samtidig med at man holder øje med enhver usædvanlig aktivitet såsom et indtrængningsforsøg.

Gør det, når det er nødvendigt.Teknisk tomgangsprøvningGap scanning, infiltration test, konfiguration gennemgang, kilde scanning.NøglelokalerInden dette sker, skal vurderingsholdet være enig med afdelingen om omfanget, mulige virkninger, back / recovery proces; hvis Tier 2 og derover er involveret, skal der henvises til forretningsplanen (BCP) og katastrofegenopretningsplanen (DRP). Gap scanner dække netværk lag detektion / opdagelse, mainframe smuthul test, system / applikation (herunder Web) scanninger og kontrollere, at relevante sikkerhedsmeddelelser udstedt af GovCERT.HK er blevet fyldt eller kompenseret.

Hvordan beregnes risikoen: Niveau 3-matrix

RisikovurderingPåvirkningogMuligtVi må identificere dem.Eksisterende kontrollerOg vurdere deres effektivitet. Kontrol falder ind under tre kategorier: teknisk kontrol (firewalls, kryptering, ondsindet software, adgangskontrol), fysisk kontrol (CCTV, dørtønde, brandbeskyttelse, fysisk datadestruktion), ledelseskontrol (beredskabsplan, uddannelse af personale, databeskyttelsespolitik, katastrofeberedskabsplan).

Analysemetoderne er kvalitative og kvantitative og kan også anvendes i matrixmetoder. En praktisk formel er:

Risikoniveau = virkning x sandsynlighed x systemhierarki (Tier)

Hver tage værdi 3- høj / 2- m / medium / 1- lav, multiplicere område 1 til 27:18- 27 Høj risiko, 9- 17 middel risiko, 1- 8 lav risikoDet ved jeg ikke. Og...Forskellige Metodesystemer har deres egen risikomatrix.- Samme "medium sandsynlighed + høj effekt": Tier 1 tæller risiko, Tier 2, selv hvis det er høj risiko, Tier 3 er mere høj risiko. Jo højere systemhierarkiet er, jo mindre er der plads til fejl.

Regeringen gav også to teknikker:Baseret på tidligere begivenheder(henvisning til rapporter om sikkerhedshændelser, industrilitteratur, tjenesteudbyderes historiske lækager)Metode til estimering af trepunktspunktet(Three- Point Administration), som giver eksperter mulighed for at give de mest optimistiske O, mest sandsynligt M, og mest pessimistiske P-værdier, henholdsvis med en triangulering af gennemsnittet. Hvis P og O er for langt fra hinanden, M er mere pålidelig, M kan vægtes (f.eks. fire gange vægt).

SA Hvordan: Overholdelse

Sikkerhedskontroller følger en anden linje: kontrol af overholdelsen af S17 og ministerielle sikkerhedspolitikker gennem dokumentgennemgang, besøg på stedet, interviews på flere niveauer, paneldiskussioner, spørgeskemaer osv. RevisionsomfangSpecifik og forudgående aftale med revisorerSom eksempler kan nævnes Internet security, Intranet security, Tier 2 informationssystemer, mainframe security, netværksserver security (Web / mail server, osv.), netværkskomponenter og udstyr (firewalls, routere), room security, netværkstjenester (katalog tjenester, mail tjenester, fjernadgang), systemdokumentation og optegnelser.

For sektorbestemte eller ikke-specifikke revisioner er det almindelig praksis at revidere størrelsen og effektiviteten af ISM 'er som defineret i S17 eller de organisationsejede ISM' er (politikker / standarder / procedurer).

Levering og 10 fælles aktiviteter

Den officielle oversættelse af den regelmæssige aktivitet af hele SRAA i 10, dybest set en køreplan for integritet:

1. Åbningssession: Anerkendelse af dækning, mål, resultater
2. Projektplanlægning: aftalt leveringsplan og tidsplan
3. Gør dig klar til at tjekke.Bekræftelse af inspektionsformularer med afdelinger
4. Forbered tilbagetrækning / nyttiggørelse: tekniske prøvninger som f.eks. tomgangsscanning, gennemtrængningstest osv.
5. Identificering og værdiansættelse af aktiverIdentifikation og vurdering af aktiver inden for aftalte grænser
6. RisikovurderingRisikoanalyse Risikovurdering
7. Afgivelse af SRA-rapport, plan for risikobortskaffelse, systemrisikoregister
8. Rapportering til ledelsenResultater og resultater
9. SikkerhedskontrolRapport om revisionsresultater
10. Data- og resultatbeskyttelse, opfølgningsplaner, gennemgang af sikkerhedsforanstaltninger, levering af valideringsrapporter, rapportering om lukkede kredsløb

Du kan se,Levering er ikke en rapport.SRA side-til-side risikoregister og bortskaffelsesplan, SA side-til-side compliance checklister og revisionsrapporter og endelig valideringsrapporter til bekræftelse af revision resultater af hver opdagelse for lukning.

Hvem gør det? Hvad sker der?

Uafhængige tredjeparter er svære at forlange.- Sikkerhedskontrol skal udføres af en uafhængig tredjepart, og SRA-anbefalinger skal også rettes til en tredjepart. Officielt er konsulenternes / revisorernes opgaver klart defineret: de har de nødvendige færdigheder og ekspertise, de forstår virkningen af hvert værktøj,Før du udfører hack test, skal du indhente skriftlig tilladelse fra interesserede parter såsom ISP og politiet.Uanset om testen er vellykket eller ej, afspejler rapporten afdelingens sikkerhedspolitik og operationelle behov, identificerer betydelige risici eller manglende overensstemmelse, rapporterer straks og understøtter dokumentation på anmodning.

Databeskyttelse er et andet let overset punkt: Der indsamles store mængder af konfiguration og følsomme data under vurderingsprocessen.Behov for at arrangere krypteringsværktøjer og låsbare skabe på planlægningsstadiet; vurderingsværktøjer vil blive kontrolleret, kun drives af team eksperter og fjernes umiddelbart efter, at de er blevet udtømt; vurderingsrapporter, der ikke er bemyndiget til at besøge før ændring er selv en direkte trussel, så processen og den endelige rapport vil være strengt fortrolig; og efter afsluttet, vil alle oplysninger blive returneret ogTilbagekaldelse af midlertidig adgang for revisorerDet ved jeg ikke.

Tjenesterne er forberedt på: tilvejebringelse af dokumentation oplysninger såsom netkort, driftsmanualer, adgangskontrollister, sikkerhedspolitikker / standarder / retningslinjer / procedurer, levering af peer support såsom netværk, firewalls, systemstyring og tilrettelæggelse af besøg på stedet.

Det er det værd.

Der er en officiel erklæring:"Værdien af risikovurdering og revision er ikke i anbefalingerne selv, men i deres effektive gennemførelse". Ledelsen er ansvarlig for gennemførelsen, når henstillingen fremsættes; hvis beslutningen ikke gennemføres, skal den tilsvarende risiko antages og begrundes fuldt ud. Opfølgningen er struktureret omkring tre områder, der giver anledning til bekymring: tilpasningseffektivitet, kvalifikationer og aktualitet. Højrisikoelementer er fundet at blive ændret eller styrket så hurtigt som muligt og er klar til regression procedurer.

Hvad er referenceværdien for regionen uden for Hongkong?

Selv om SRAA er et produkt af Hongkongs regeringssystem, er dens skeletter almindelige:Risikovurdering "risiko", overholdelse af sikkerhedskontrol, både separat, leverbar og lukket sløjfe verifikationDet ved jeg ikke. Dette sæt af ideer og indenlandske ækvivalenter garantivurderinger, ISO / IEC 27001 certificeringer er åndeligt kompatible - først rydde aktiverne og derefter beregne risiciene (indvirkning x sandsynlighed x system klassificering), derefter allokere ressourcer på risiko og derunder, og endelig bruge en uafhængig revision til at bekræfte overholdelse.

Hvis din organisation er ved at oprette en sikkerhedsledelsesramme, er den iterative løkke af SRAA vurdering-disposal- audit- validering sæt er en meget nyttig skabelon. Især den der ".Risikoregister + bortskaffelsesplan + valideringsrapport"De tre sæt er langt mere solide end indgivelsen af kun én permeabilitetstestrapport.

Sikkerhed er ikke en vurdering, men et lukket kredsløb, der fortsat overlapper hinanden.