SRAA Full name: Security Risk Assessment and Audit: What is the Government of Hong Kong assessing?

En Hong Kong, nunca saldrás con una palabra: SRAA. Nombre completo Evaluación y Ayuda del Riesgo de SeguridadEn chino se denomina “Evaluación y auditoría del riesgo de seguridad” (también traducido como “Evaluación y auditoría del riesgo de seguridad”). No es un producto de un fabricante, es...Un conjunto obligatorio de requisitos de evaluación y auditoría de la seguridad establecidos por el Gobierno de Hong KongTodos los departamentos, departamentos/oficinas gubernamentales (B/Ds) y organismos financiados por el Gobierno tienen que aplicarlos y presentar informes de certificación independientes.

Este conjunto de requisitos se basa en la Oficina de Políticas Digitales, DPO, anteriormente OGCIO, Guía de Prácticas para la Evaluación del Riesgo de Seguridad (No. ISPG-SM01Los documentos que acompañan también incluyen la Política de Seguridad de la TI Baseline [S17] y las Directrices de Seguridad de la TI [G3]. La última edición publicada en agosto de 2026, v2.2Se agregó una “Sola de control de Procesos y Entregas”

Sus referencias normativas son también indicativas de posicionamiento: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 directrices de gestión de riesgos, y NISTIR 8286 (incorporando la ciberseguridad en la gestión de riesgos institucionales (ERM)). En otras palabras,SRAA es un marco gubernamental para la localización de normas internacionalesNo lo sé.

Distinguiendo entre SRA y SA

Mucha gente toma SRAA como una cosa, pero es una combinación de dos cosas que son completamente diferentes:

• Evaluación del riesgo de seguridad (SRA)Determinación, análisis, evaluación de los riesgos de seguridad e identificación de las medidas de eliminación para reducir los riesgos a niveles aceptables. La perspectiva es:Riesgo“El alcance de la evaluación no está necesariamente vinculado a la política de seguridad.
• Auditoría de seguridad (SA, auditoría de seguridad)Auditoría frente a las políticas y normas de seguridadNivel de cumplimiento, verifique que se apliquen correctamente las medidas de protección existentes. La perspectiva es:Cumplimiento“En contraste con S17, G3 o la propia política de seguridad del sector.

El funcionario nos dio una tabla comparativa que hizo la diferencia perfectamente clara:

• Cuidado.: SRA es una perspectiva de riesgo; SA es una perspectiva de cumplimiento
• Partido ejecutanteLas evaluaciones de los resultados pueden ser evaluadas por el propio departamento (autoevaluación) o por terceros;SA debe ser hecho por un tercero independiente
• Principales entregablesSRA se rindeRegistro de riesgos + medidas de eliminación de riesgos; ASA rendiciónLista de verificación del cumplimiento
• Horas: nuevo sistema en ciclo de vida del desarrollo (SDLC)ComienzoDo SRA; ya los sistemas en línea se hacen regularmente durante todo el ciclo de vida, o cuando se producen cambios significativos en el entorno de TI

Tres de las ideas erróneas más comunes.

ISPG-SM01, de la versión 2.0 (abril 2024), ha aclarado específicamente algunas ideas erróneas ampliamente compartidas que deberían haber sido escuchadas en este negocio:

• Malentendido: el SRA y el SA deben hacerlo juntos, producir un informe "dos en uno".Incorrecto. La naturaleza de los dos es diferente, al igual que los requisitos de la parte ejecutante (SA debe ser un tercero independiente), que se puede hacer por separado.
• Error 2: La actividad de A SRAA puede abarcar tanto la identificación de riesgos como los controles de cumplimiento en SDLC.Incorrecto. Estos son dos tipos diferentes de trabajo.
• Malentendido tres: SRAA es una exploración de fugas o prueba de penetración.El más equivocado.Las pruebas de infiltración son sólo parte de la prueba de brecha técnica en el SRA.No SRAA en sí. Muchas de las firmas de consultoría han perdido sus descripciones de sus servicios, diciendo que “SRAs generalmente incluyen pruebas de penetración”.

Es importante aclarar esto, porque si vas a usar el Test de Oscilación para preparar el SRAA, ha estado en la dirección del principio.

SRA Cómo: Cuatro pasos

La evaluación del riesgo de seguridad a nivel del sistema se basa en una línea principal de cuatro pasos y termina con la deposición del registro de riesgos del sistema:

Identificación de riesgos Sí. Análisis de riesgos Sí. Evaluación del riesgo Sí. Riesgo de eliminación

La definición de riesgo es directa:Riesgo = amenaza x vacío x impactoNo lo sé. Las amenazas pueden provenir de condiciones individuales, organizativas o incluso ambientales, que conducen al acceso no autorizado, la destrucción de la información o la eliminación o denegación de servicios; las lagunas son deficiencias o lagunas en el sistema de seguridad que pueden explotarse mediante amenazas.

La fase de identificación de riesgos abarca una amplia gama de esferas, con 10 elementos oficiales: seguridad de los recursos humanos, gestión de activos, control de acceso, contraseñas, seguridad física y ambiental, seguridad operacional, seguridad de las comunicaciones, desarrollo y mantenimiento de adquisiciones del sistema, seguridad subcontratada y continuidad de las operaciones de seguridad informática. El proceso de identificación se divide en dos subprocesos:

• Reconocimiento del sistema de información: se eliminan y aplican todos los sistemas de información dentro de la jurisdicción, independientemente de la fuente de fondosLista y valoración de activosNo lo sé. Existen tres categorías de valor de activos - valor físico (equipment/software/data/documentación/reemplazamiento del personal), valor intangible (bienes, calidad de servicio), valor de información (clase de datos de la CIA III+).
• Reconocimiento de la escena del riesgo• Considerar fuentes de riesgo, causas y eventos, amenazas y oportunidades, lagunas y capacidades, cambios en el entorno interno y externo, nuevos indicadores de riesgo, naturaleza y valor de activos, consecuencias e impactos, limitaciones de conocimiento y fiabilidad de la información, factores de tiempo, etc.

La información recopilada durante la identificación también es específica: necesidades y objetivos de seguridad; estructuras de sistemas/redes y mapas de escala; evidencia del cumplimiento del entorno físico de las habitaciones; información de búsqueda abierta; activos físicos; sistemas operativos y sistemas de gestión de redes; bases de datos y documentos; aplicaciones e información de servidores; protocolos y servicios de red; medidas de control de acceso; diversos procesos operativos; mecanismos de identificación; requisitos de contratos reglamentarios; directrices normativas; clasificación de sistema.

de los cualesExamen del sistemaEnfóquese en: archivos y registros del sistema, procesos de ejecución, archivos de control de acceso, listas de usuarios, configuraciones, niveles de parche, herramientas de encriptación o autenticación, herramientas de tuberías web, registros o herramientas de detección de intrusión, manteniendo un ojo en cualquier actividad inusual como un intento de intrusión.

Hazlo cuando sea necesario.Pruebas técnicas de brechaGap escaneado, pruebas de infiltración, revisión de configuración, análisis de fuentes.Locales claveAntes de hacerlo, el equipo de evaluación debe estar de acuerdo con el departamento sobre el alcance, el posible impacto, el proceso de recuperación y recuperación; si el nivel 2 y más arriba está involucrado, debe hacerse referencia al Plan de continuidad de las operaciones (BCP) y al Plan de recuperación de desastres (DRP). Los escaneos cubren la detección/descubrimiento de capas de red, pruebas de vacío de mainframe, análisis de sistema/application (incluyendo Web) y verificar que los anuncios de seguridad pertinentes publicados por GovCERT.HK han sido rellenados o compensados.

Cómo calcular el riesgo: Matriz Nivel 3

Análisis de riesgos para evaluarImpactoyPosibleTenemos que identificarlos.Controles existentesY evaluar su eficacia. Los controles entran en tres categorías: control técnico (barriles de fuego, cifrado, software malicioso, control de acceso), control físico (CCTV, barrera de puerta, protección contra incendios, destrucción de datos físicos), control de gestión (plan de respuesta a emergencias, capacitación en seguridad del personal, política de privacidad de datos, plan de preparación para desastres).

Los métodos analíticos son cualitativos y cuantitativos, y también pueden utilizarse en métodos de matriz. Una fórmula práctica es:

Nivel de riesgo = impacto x probabilidad x jerarquía del sistema (Tier)

Cada toma valor 3-alto / 2-m/ medio / 1-bajo, multiplicar rango 1 a 27:18-27 Alto riesgo, 9-17 riesgo medio, 1-8 bajo riesgoNo lo sé. Y...Diferente Los sistemas Tier tienen su propia matriz de riesgo.– Mismo "probabilidad media + alto impacto": Nivel 1 cuenta el riesgo, Nivel 2 incluso si es alto riesgo, Tier 3 es más alto riesgo. Cuanto mayor es la jerarquía de sistemas, menor es el espacio para errores.

El gobierno también dio dos técnicas:Basado en acontecimientos pasados(Reference to security incident reports, industry literature, historical leaks by service providers);Método de estimación de tres puntos(Tree-Point Administration) que permite a los expertos dar el O más optimista, probablemente M, y la mayoría de los valores P pesimistas, respectivamente, con una triangulación del promedio. Si P y O están demasiado lejos, M es más confiable, M puede ser ponderado (por ejemplo, cuatro veces peso).

SA How: Compliance

Las auditorías de seguridad siguen otra línea: controles de cumplimiento contra S17 y políticas de seguridad departamentales mediante exámenes de documentos, visitas al sitio, entrevistas multinivel, mesas redondas, cuestionarios, etc. Alcance de auditoríaAcuerdo específico y previo con auditoresEjemplos oficialmente dados incluyen seguridad en Internet, seguridad intranet, sistemas de información Tier 2, seguridad mainframe, seguridad del servidor de red (servidor web/mail, etc.), componentes de red y equipo ( cortafuegos, routers), seguridad de la habitación, servicios de red (servicios de catálogo, servicios de correo, acceso remoto), documentación del sistema y registros.

En el caso de las auditorías sectoriales o no específicas, es práctica común auditar el tamaño y la eficacia de los ISM definidos en S17 o en el marco de ISM de propiedad de la organización (políticas, normas y procedimientos).

Entrega y 10 actividades comunes

La traducción oficial de la actividad regular de todo el SRAA en 10, básicamente una hoja de ruta de integridad:

1. Período de sesiones de apertura: Reconocimiento de cobertura, objetivos, entregables
2. Planificación de proyectos: Calendario y horario de entrega convenidos
3. Prepárate para comprobarlo.: Confirmación de formularios de inspección con departamentos
4. Prepárate para retiro/recuperación: pruebas técnicas como escaneo de brechas, pruebas de penetración, etc.
5. Identificación y valoración de activos: Identificación y evaluación de activos dentro de los límites acordados
6. Evaluación del riesgoAnálisis de riesgos Evaluación de riesgos
7. Entrega del informe SRA, plan de eliminación de riesgos, registro de riesgos del sistema
8. Presentación de informes a la administraciónResultados y conclusiones
9. Auditoría de seguridadInforme sobre los resultados de las auditorías
10. Protección de datos y resultados, planes de seguimiento, examen de las salvaguardias, presentación de informes de validación, presentación de informes de ciclo cerrado

Puedes ver,La entrega no es un informe.The SRA side-to-side risk register and disposal plan, SA side-to-side compliance checklists and audit reports and, finally, validation reports to confirm the overhaul results of each discovery for closure.

¿Quién lo hará? ¿Qué va a pasar?

Los terceros independientes son difíciles de exigir.- Las auditorías de seguridad deben ser realizadas por un tercero independiente y las recomendaciones del SRA también deben ser dirigidas a un tercero. Oficialmente, se definen claramente los deberes de los consultores/audidores: tienen las habilidades y los conocimientos necesarios, entienden el impacto de cada herramienta,Antes de realizar pruebas de hackeo, debe obtener autorización escrita de partes interesadas como ISP y la policía.Ya sea que la prueba tenga éxito, el informe refleja las necesidades operacionales y de política de seguridad del departamento, identifica riesgos significativos o no conformidades, informa inmediatamente y apoya pruebas a la demanda.

La protección de datos es otro punto fácilmente descuidado: se recogen grandes cantidades de configuración y datos confidenciales durante el proceso de evaluación.Necesidad de organizar herramientas de encriptación y armarios en la etapa de planificación; los instrumentos de evaluación serán controlados, operados únicamente por expertos en equipo y eliminados inmediatamente después de que hayan sido agotados; los informes de evaluación que no estén autorizados a visitar antes de la modificación son por sí mismos una amenaza directa, por lo que el proceso y el informe final serán estrictamente confidenciales; y, después de la finalización, toda la información será devuelta y devueltaRetiro de acceso temporal concedido a los auditoresNo lo sé.

Los servicios se basan en: el suministro de información sobre la documentación, como mapas de red, manuales de funcionamiento, listas de control de acceso, políticas de seguridad/estándares/directrices/procedimientos; el suministro de apoyo entre pares, como redes, cortafuegos, gestión del sistema; y la organización de visitas al sitio.

El seguimiento vale la pena.

Existe una declaración oficial:“El valor de la evaluación y auditoría de los riesgos no está en las propias recomendaciones, sino en su aplicación efectiva”. La administración es responsable de la aplicación cuando se hace la recomendación; si la decisión no se aplica, debe asumirse y justificarse plenamente el riesgo correspondiente. The follow-up is structured around three areas of concern: effectiveness, qualifications and timeliness of adaptation. Los artículos de alto riesgo se encuentran modificados o reforzados lo antes posible y están listos para procedimientos de regresión.

¿Cuál es el valor de referencia para la región no-Hong Kong?

Aunque SRAA es un producto del sistema de gobierno de Hong Kong, sus esqueletos son comunes:Evaluación del riesgo " riesgo " , auditoría de seguridad " , verificación separada, ejecutable y cerrada del bucleNo lo sé. Este conjunto de ideas y evaluaciones de garantía de equivalentes interiores, certificaciones ISO/IEC 27001 son espiritualmente compatibles - primero despejar los activos y luego calcular los riesgos (impacto x probabilidad x clasificación del sistema), luego asignar los recursos en riesgo y abajo, y finalmente utilizar una auditoría independiente para confirmar el cumplimiento.

Si su organización está estableciendo un marco de gobernanza de seguridad, el bucle iterativo del conjunto de evaluación-disposal-audit-validación SRAA es una plantilla muy útil. Especialmente esa".Registro de riesgos + plan de eliminación + informe de validación“Los tres conjuntos son mucho más sólidos que la presentación de sólo un informe de prueba de permeabilidad.

La seguridad no es una evaluación, sino un bucle cerrado que sigue superponiendo.