Vollständiger Name: Security Risk Assessment and Audit: Was bewertet die Regierung von Hongkong?

In Hongkong werden Sie nie mit einem Wort davonkommen: SRAA. Vollständiger Name Bewertung von Sicherheitsrisiken und HilfeAuf Chinesisch heißt es „Security risk assessment and audit“ (auch übersetzt als „Security risk assessment and audit“). Es ist kein Produkt eines Herstellers, es ist ...Eine verbindliche Reihe von Sicherheitsbewertungs- und Auditanforderungen, die von der Regierung Hongkongs festgelegt wurdenAlle Regierungsabteilungen, Abteilungen / Büros (B / Ds) und staatlich finanzierte Agenturen sind verpflichtet, sie umzusetzen und unabhängige Zertifizierungsberichte einzureichen.

Dieser Satz von Anforderungen basiert auf dem Office of Digital Policy Office, DPO, ehemals OGCIO, Practice Guide for Security Risk Assessment & Audit (Nr. ISPG-SM01Die Begleitdokumente enthalten auch Baseline IT Security Policy [S17] und IT Security Guidelines [G3]. Die letzte Ausgabe, veröffentlicht im August 2026, v2.2Ein „SRAA Process and Delivery Baseline Check Sheet wurde hinzugefügt.

Seine normativen Referenzen sind auch bezeichnend für die Positionierung: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 Risikomanagement-Richtlinien und NISTIR 8286 (Integration von Cybersicherheit in das Enterprise Risk Management (ERM)). Mit anderen Worten:SRAA ist ein Rahmen auf Regierungsebene zur Lokalisierung internationaler StandardsIch weiß es nicht.

Unterscheidung zwischen SRA und SA

Viele Leute nehmen SRAA als eine Sache, aber es ist eine Kombination von zwei Dingen, die völlig unterschiedlich sind:

• Sicherheitsrisikobewertung (SRA)Ermittlung, Analyse, Bewertung von Sicherheitsrisiken und Ermittlung von Entsorgungsmaßnahmen zur Verringerung der Risiken auf ein vertretbares Maß. Die Perspektive ist:Risiko„Der Umfang der Bewertung ist nicht unbedingt mit der Sicherheitspolitik verknüpft.
• Security Audit (SA, Security Audit)Audit versus Sicherheitspolitik/StandardsGrad der Einhaltung, überprüfen, ob bestehende Schutzmaßnahmen korrekt umgesetzt werden. Die Perspektive ist:Einhaltung der Vorschriften„Im Gegensatz zu S17, G3 oder der eigenen Sicherheitspolitik der Branche.

Der Beamte gab uns eine Vergleichstabelle, die den Unterschied vollkommen klar machte:

• Sehen Sie es sich an.SRA ist eine Risikoperspektive; SA ist eine Compliance-Perspektive
• VollstreckerSRA können von der Abteilung selbst (Selbsteinschätzung) oder von Dritten bewertet werden;SA muss von einem unabhängigen Dritten durchgeführt werden
• Wesentliche Ergebnisse:SRA-ÜbergabeRisikoregister + Risikoentsorgung;SA-ÜbergabeKonformitätsprüfliste
• Zeitplan: neues System im Entwicklungslebenszyklus (SDLC)BeginnDo SRA; bereits Online-Systeme werden regelmäßig während des gesamten Lebenszyklus durchgeführt oder wenn signifikante Veränderungen in der IT-Umgebung auftreten

Drei der häufigsten Missverständnisse.

ISPG-SM01 von Version 2.0 (April 2024) hat speziell einige weit verbreitete Missverständnisse geklärt, die in diesem Geschäft hätten gehört werden sollen:

• Eines missverstehen: Die SRA und die SA müssen es gemeinsam tun, einen "Two-in-One"-Bericht erstellen.Falsch. Die Art der beiden ist unterschiedlich, ebenso wie die Anforderungen der Vollstreckungspartei (SA muss ein unabhängiger Dritter sein), was separat erfolgen kann.
• Missverständnis 2: Eine SRAA-Aktivität kann sowohl Risikoerkennung als auch Compliance-Prüfungen in SDLC abdecken.Falsch. Dies sind zwei verschiedene Arten von Arbeit.
• Missverständnis drei: SRAA ist ein Leckscan oder Penetrationstest.Am falschsten.Infiltrationstests sind nur ein Teil des technischen Lückentests in der SRA.Nicht SRAA selbst. Viele der Beratungsunternehmen haben ihre Servicebeschreibungen falsch geschrieben und gesagt, dass "SRAs normalerweise Penetrationstests enthalten".

Es ist wichtig, dies klarzustellen - denn wenn Sie den Oszillationstest verwenden, um SRAA vorzubereiten, war es in Richtung des Anfangs.

SRA How: Vier Schritte

Die Sicherheitsrisikobewertung auf Systemebene basiert auf einer vierstufigen Hauptlinie und endet mit der Hinterlegung des Systemrisikoregisters:

Risikoidentifizierung Ja. Risikoanalyse Ja. Risikobewertung Ja. Risikobeseitigung

Die Definition von Risiko ist einfach:Risiko = Bedrohung x Schlupfloch x AuswirkungIch weiß es nicht. Bedrohungen können von individuellen, organisatorischen oder sogar umweltbedingten Bedingungen ausgehen, die zu unbefugtem Zugriff, Zerstörung/Veränderung von Informationen oder Verweigerung von Diensten führen; Schlupflöcher sind Schwächen oder Lücken im Sicherheitssystem, die durch Bedrohungen ausgenutzt werden können.

Die Risikoidentifikationsphase umfasst eine breite Palette von Bereichen mit 10 offiziellen Punkten: Personalsicherheit, Asset Management, Zugangskontrolle, Passwörter, physische und Umweltsicherheit, Betriebssicherheit, Kommunikationssicherheit, Entwicklung und Wartung des Systembeschaffungssystems, ausgelagerte Sicherheit und IT-Sicherheit für Geschäftskontinuität. Der Identifikationsprozess ist in zwei Teilprozesse unterteilt:

• Erkennung von InformationssystemenAlle Informationssysteme innerhalb der Gerichtsbarkeit, unabhängig von der Quelle der Mittel, werden entfernt und implementiertListe und Bewertung der VermögenswerteIch weiß es nicht. Es gibt drei Kategorien von Asset Value - physischer Wert (Geräte / Software / Daten / Dokumentation / Ersatzkosten des Personals), immaterieller Wert (Waren, Servicequalität), Informationswert (CIA III + Datenklassifizierung).
• Anerkennung des Risikos• Berücksichtigen Sie Risikoquellen, Ursachen und Ereignisse, Bedrohungen und Chancen, Schlupflöcher und Fähigkeiten, Veränderungen im internen und externen Umfeld, aufkommende Risikoindikatoren, Art und Wert der Vermögenswerte, Konsequenzen und Auswirkungen, Wissensbeschränkungen und Zuverlässigkeit von Informationen, Zeitfaktoren usw.

Die während der Identifizierung gesammelten Informationen sind ebenfalls spezifisch: Sicherheitsbedürfnisse und -ziele; Systeme/Netzwerkstrukturen und Scale-up-Karten; Nachweis der Einhaltung der physischen Umgebung der Räume; offene durchsuchbare Informationen; physische Assets; Betriebssysteme und Netzwerkmanagementsysteme; Datenbanken und Dokumente; Anwendungen und Serverinformationen; Netzwerkprotokolle und -dienste; Zugangskontrollmaßnahmen; verschiedene Betriebsprozesse; Identifizierungsmechanismen; regulatorische Vertragsanforderungen; Richtlinien; Systemklassifizierung.

davonSystemüberprüfungKonzentrieren Sie sich auf: Systemdateien und -protokolle, laufende Prozesse, Zugriffskontrolldateien, Benutzerlisten, Konfigurationseinstellungen, Patch-Ebenen, Verschlüsselungs- oder Authentifizierungstools, Webpipe-Tools, Protokolle oder Intrusion Detection-Tools - während Sie ungewöhnliche Aktivitäten wie einen Intrusionsversuch im Auge behalten.

Tun Sie es, wenn es nötig ist.Technische LückenprüfungGap-Scan, Infiltrationstest, Konfigurationsprüfung, Quellscan.Wichtige RäumlichkeitenZuvor muss sich das Bewertungsteam mit der Abteilung über den Umfang, die möglichen Auswirkungen, den Rückgewinnungsprozess einigen; Wenn Tier 2 und höher beteiligt sind, sollte auf den Business Continuity Plan (BCP) und den Disaster Recovery Plan (DRP) verwiesen werden. Gap-Scans umfassen Netzwerk-Layer-Erkennung/-Entdeckung, Mainframe-Schlupfloch-Tests, System-/Anwendungs-Scans (einschließlich Web) und verifizieren, dass relevante Sicherheitsankündigungen von GovCERT.HK ausgefüllt oder kompensiert wurden.

So berechnen Sie das Risiko: Level 3-Matrix

Risikoanalyse zur BewertungAuswirkungenundMöglichWir müssen sie identifizieren.Bestehende KontrollenUnd bewerten Sie ihre Wirksamkeit. Die Kontrollen lassen sich in drei Kategorien einteilen: technische Kontrolle (Firewalls, Verschlüsselung, Schadsoftware, Zugangskontrolle), physische Kontrolle (CCTV, Türfass, Brandschutz, physische Datenvernichtung), Managementkontrolle (Notfallreaktionsplan, Sicherheitsschulung des Personals, Datenschutzerklärung, Katastrophenvorsorgeplan).

Die Analysemethoden sind qualitativ und quantitativ und können auch in Matrixansätzen eingesetzt werden. Eine praktische Formel ist:

Risikograd = Auswirkung x Wahrscheinlichkeit x Systemhierarchie (Stufe)

Jeder Take-Wert 3-high / 2-m / medium / 1-low, Multiplikationsbereich 1 bis 27:18-27 Hohes Risiko, 9-17 mittleres Risiko, 1-8 niedriges RisikoIch weiß es nicht. Und...unterschiedlich Tier-Systeme haben ihre eigene Risikomatrix.- Gleiche "mittlere Wahrscheinlichkeit + hohe Auswirkungen": Tier 1 zählt das Risiko, Tier 2 auch wenn es ein hohes Risiko ist, Tier 3 ist ein höheres Risiko. Je höher die Hierarchie der Systeme, desto kleiner der Raum für Fehler.

Die Regierung gab auch zwei Techniken:Basierend auf vergangenen Ereignissen(Verweis auf Berichte über Sicherheitsvorfälle, Branchenliteratur, historische Lecks von Dienstleistern);Dreipunkt-Schätzmethode(Drei-Punkt-Administration), die es Experten ermöglicht, die optimistischsten O-, wahrscheinlichsten M- und pessimistischsten P-Werte mit einer Triangulation des Durchschnitts anzugeben. Wenn P und O zu weit voneinander entfernt sind, ist M zuverlässiger, M kann gewichtet werden (z. B. viermal Gewicht).

SA Wie: Compliance

Sicherheits-Audits folgen einer anderen Linie: Compliance-Prüfungen mit S17- und Abteilungssicherheitsrichtlinien durch Dokumentenprüfungen, Standortbesuche, Interviews auf mehreren Ebenen, Podiumsdiskussionen, Fragebögen usw. Prüfumfang mussSpezifische und vorherige Vereinbarung mit AbschlussprüfernZu den offiziell genannten Beispielen gehören Internetsicherheit, Intranetsicherheit, Tier-2-Informationssysteme, Mainframe-Sicherheit, Netzwerkserver-Sicherheit (Web/Mail-Server usw.), Netzwerkkomponenten und -geräte (Firewalls, Router), Raumsicherheit, Netzwerkdienste (Katalogdienste, Postdienste, Fernzugriff), Systemdokumentation und -aufzeichnungen.

Bei branchenspezifischen oder unspezifischen Audits ist es üblich, die Größe und Wirksamkeit von ISMs gemäß S17 oder des unternehmenseigenen ISMs-Rahmens (Richtlinien/Standards/Verfahren) zu überprüfen.

Lieferung und 10 gemeinsame Aktivitäten

Die offizielle Übersetzung der regulären Aktivitäten der gesamten SRAA in 10, im Grunde eine Roadmap der Integrität:

1. Eröffnungssitzung: Anerkennung von Abdeckung, Zielen, Leistungen
2. Projektplanung: Vereinbarter Lieferplan und Zeitplan
3. Machen Sie sich bereit zu überprüfen.: Bestätigung der Inspektionsformulare mit den Abteilungen
4. Vorbereitung auf Rückzug / Erholung: technische Tests wie Gap Scanning, Penetrationstests usw.
5. Identifikation und Bewertung von Vermögenswerten: Identifikation und Bewertung von Vermögenswerten innerhalb der vereinbarten Grenzen
6. RisikobewertungRisikoermittlung Risikoanalyse Risikobeurteilung
7. Übermittlung des SRA-Berichts, Risikobeseitigungsplan, Systemrisikoregister
8. Berichterstattung an das ManagementErgebnisse und Feststellungen
9. SicherheitsüberprüfungBericht über die Prüfergebnisse
10. Schutz von Daten und Ergebnissen, Folgepläne, Überprüfung der Sicherheitsvorkehrungen, Übermittlung von Validierungsberichten, Berichterstattung im geschlossenen Regelkreis

Sie können sehen,Die Lieferung ist kein Bericht.Das SRA-Side-to-Side-Risikoregister und der Entsorgungsplan, die SA-Side-to-Side-Compliance-Checklisten und Auditberichte sowie schließlich Validierungsberichte zur Bestätigung der Überholungsergebnisse jeder Entdeckung zur Schließung.

Wer wird es tun? Was wird passieren?

Unabhängige Dritte sind schwer zu verlangen.- Sicherheitsaudits müssen von einem unabhängigen Dritten durchgeführt werden und SRA-Empfehlungen müssen auch an einen Dritten gerichtet werden. Offiziell sind die Aufgaben der Berater/Auditoren klar definiert: Sie verfügen über die notwendigen Fähigkeiten und Fachkenntnisse, sie verstehen die Auswirkungen jedes Instruments;Bevor Sie Hack-Tests durchführen, müssen Sie eine schriftliche Genehmigung von interessierten Parteien wie ISP und der Polizei einholen.Ob der Test erfolgreich ist oder nicht, der Bericht spiegelt die Sicherheitspolitik und die betrieblichen Anforderungen der Abteilung wider, identifiziert erhebliche Risiken oder Nichtkonformitäten, berichtet sofort und unterstützt die Evidenz auf Anfrage.

Datenschutz ist ein weiterer leicht zu vernachlässigender Punkt: Große Mengen an Konfiguration und sensible Daten werden während des Bewertungsprozesses gesammelt.Müssen Verschlüsselungswerkzeuge und abschließbare Schränke in der Planungsphase arrangieren; Bewertungstools werden kontrolliert, nur von Teamexperten betrieben und sofort nach ihrer Erschöpfung entfernt; Bewertungsberichte, die vor der Änderung nicht besucht werden dürfen, stellen selbst eine direkte Bedrohung dar, so dass der Prozess und der Abschlussbericht streng vertraulich sind; und nach Abschluss werden alle Informationen zurückgegeben undEntzug des vorübergehenden Zugangs für AuditorenIch weiß es nicht.

Die Dienste basieren auf: Bereitstellung von Dokumentationsinformationen wie Netzwerkkarten, Betriebshandbüchern, Zugriffskontrolllisten, Sicherheitsrichtlinien / Standards / Richtlinien / Verfahren; Bereitstellung von Peer-Support wie Netzwerke, Firewalls, Systemmanagement; und Organisation von Site Visits.

Follow-up lohnt sich.

Es gibt eine offizielle Erklärung:"Der Wert von Risikobewertung und Auditing liegt nicht in den Empfehlungen selbst, sondern in ihrer effektiven Umsetzung." Das Management ist für die Umsetzung verantwortlich, wenn die Empfehlung gemacht wird; Wenn die Entscheidung nicht umgesetzt wird, muss das entsprechende Risiko übernommen und vollständig begründet werden. Das Follow-up ist in drei Bereiche unterteilt: Wirksamkeit, Qualifikation und Aktualität der Anpassung. Produkte mit hohem Risiko werden so schnell wie möglich modifiziert oder verstärkt und sind bereit für Regressionsverfahren.

Was ist der Referenzwert für die Nicht-Hongkong-Region?

Obwohl SRAA ein Produkt des Hongkonger Regierungssystems ist, sind seine Skelette üblich:Risikobewertung "Risiko", Sicherheitsaudit-Compliance, sowohl getrennte, lieferbare als auch geschlossene ÜberprüfungIch weiß es nicht. Diese Reihe von Ideen und Inland-Äquivalenten Garantiebewertungen, ISO / IEC 27001-Zertifizierungen sind spirituell kompatibel - zuerst die Vermögenswerte löschen und dann die Risiken berechnen (Auswirkungen x Wahrscheinlichkeit x Systemklassifizierung), dann die gefährdeten Ressourcen und unten zuweisen und schließlich ein unabhängiges Audit verwenden, um die Einhaltung zu bestätigen.

Wenn Ihre Organisation ein Security Governance Framework einrichtet, ist die iterative Schleife des SRAA Assessment-Disposal-Audit-Validierungssatzes eine sehr nützliche Vorlage. Vor allem diese eine.Risikoregister + Entsorgungsplan + Validierungsbericht„Die drei Sets sind viel solider als die Einreichung von nur einem Permeabilitätstestbericht.

Sicherheit ist keine Bewertung, sondern ein geschlossener Kreislauf, der sich weiterhin überschneidet.