SRAA Koko nimi: Turvallisuusriskien arviointi ja tarkastus: Mitä Hongkongin hallitus arvioi?

Hong Kongissa et pääse pälkähästä yhdellä sanalla: SRAA. Koko nimi Turvallisuusriskien arviointi ja tukiKiinaksi sitä kutsutaan "Turvallisuusriskien arviointi ja tarkastus" (käännetään myös nimellä "Turvallisuusriskien arviointi ja tarkastus." Se ei ole valmistajan tuote, vaan...Hongkongin hallituksen asettamat pakolliset turvallisuusarviointi- ja tarkastusvaatimuksetKaikkien viranomaisten, osastojen/toimistojen (B/D) ja valtion rahoittamien virastojen on pantava ne täytäntöön ja toimitettava riippumattomat sertifiointiraportit.

Nämä vaatimukset perustuvat digitaalipolitiikan toimistoon, TVH:hon, aiemmin OGCIO:hon, turvallisuusriskien arviointia ja tilintarkastusta koskevaan käytännön oppaaseen (nro. ISPG-SM01Saateasiakirjat sisältävät myös perustason tietoturvaperiaatteet [S17] ja tietoturvaa koskevat ohjeet [G3]. Viimeisin laitos julkaistu elokuussa 2026, v2,2Lisättiin prosessi- ja toimitustaulukko.

Sen normatiiviset viitetiedot viittaavat myös paikannukseen: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 riskinhallintaohjeet ja NISTIR 8286 (kyberturvallisuuden sisällyttäminen yritysriskien hallintaan). Toisin sanoenSRAA on valtion tason kehys kansainvälisten standardien lokalisointia vartenEn tiedä.

SRA:n ja SA:n erottaminen toisistaan

Monet ihmiset ottavat SRAA yhtenä asiana, mutta se on yhdistelmä kahta asiaa, jotka ovat täysin erilaisia:

• Turvallisuusriskien arviointiTurvallisuusriskien tunnistaminen, analysointi, arviointi ja hävittämistoimenpiteiden tunnistaminen riskien vähentämiseksi hyväksyttävälle tasolle. Näkymä on:RiskiArvioinnin soveltamisala ei välttämättä liity turvallisuuspolitiikkaan.
• Turvallisuustarkastus (SA, turvatarkastus)Tarkastus vastaan turvallisuuspolitiikka/standarditVaatimustenmukaisuuden taso, tarkistettava, että voimassa olevat suojatoimenpiteet pannaan asianmukaisesti täytäntöön. Näkymä on:NoudattaminenToisin kuin S17, G3 tai alan oma turvallisuuspolitiikka.

Virkailija antoi meille vertailevan taulukon, joka teki eron täysin selväksi:

• Varo.: SRA on riskinäkökulma; SA on vaatimustenmukaisuusnäkökulma
• Toteuttava osapuoliYksiköt voivat itse (itsearviointi) tai kolmannet osapuolet voivat arvioida kestävän kehityksen strategiat.SA:n tekee riippumaton kolmas osapuoli
• Tärkeimmät tulokset:SRA antautuminenRiskirekisteri + riskinhallintatoimenpiteet;SA antautuminenVaatimustenmukaisuuden tarkistuslista
• Ajoitus: uusi järjestelmä kehityksen elinkaaren (SDLC)AlkuTee SRA; jo online-järjestelmiä tehdään säännöllisesti koko elinkaaren ajan tai kun IT-ympäristössä tapahtuu merkittäviä muutoksia

Kolme yleisintä väärinkäsitystä.

ISPG-SM01, versio 2.0 (huhtikuu 2024), on erityisesti selventänyt muutamia laajalti yhteisiä väärinkäsityksiä, jotka olisi pitänyt kuulla tällä alalla:

• Yksi on virheellinen: SRA:n ja SA:n on tehtävä se yhdessä, laadittava "kaksi yhtä vastaan" -raportti.Väärin. Näiden kahden luonne on erilainen, samoin kuin täytäntöönpanosta vastaavan osapuolen (SA:n on oltava riippumaton kolmas osapuoli) vaatimukset, jotka voidaan tehdä erikseen.
• Väärä käsitys 2: SRAA-toiminta voi kattaa sekä riskien tunnistamisen että vaatimustenmukaisuuden valvonnan SDLC:ssä.Väärin. Nämä ovat kahdenlaisia töitä.
• Virhe 3: SRAA on vuoto- tai läpäisytesti.Väärin.Soluttautumistestit ovat vain osa teknisen aukon testiä SRA:ssa.Ei itse SRAA. Monet konsulttiyritykset ovat muotoilleet väärin palvelukuvauksensa ja todenneet, että ...

On tärkeää tehdä tämä selväksi - koska jos aiot käyttää Oscillation Test valmistella SRAA, se on ollut suuntaan alussa.

SRA How: Neljä askelta

Järjestelmän turvallisuusriskien arviointi perustuu nelivaiheiseen päälinjaan ja päättyy järjestelmän riskirekisterin laskemiseen:

Riskien tunnistaminen Niin. Riskianalyysi Niin. Riskinarviointi Niin. Riskien hävittäminen

Riskin määritelmä on yksinkertainen:Riski = uhka x porsaanreikä x vaikutusEn tiedä. Uhkaukset voivat johtua yksittäisistä, organisaatiollisista tai jopa ympäristöolosuhteista, jotka johtavat luvattomaan pääsyyn, tiedon tuhoamiseen/muuttamiseen tai palvelujen kieltämiseen; porsaanreiät ovat turvajärjestelmän heikkouksia tai aukkoja, joita uhkat voivat hyödyntää.

Riskintunnistusvaihe kattaa laajan joukon aloja, joissa on 10 virallista kohdetta: henkilöstöturvallisuus, omaisuudenhoito, kulunvalvonta, salasanat, fyysinen ja ympäristöturvallisuus, käyttöturvallisuus, viestintäturvallisuus, järjestelmähankintojen kehittäminen ja ylläpito, ulkoistettu turvallisuus ja liiketoiminnan jatkuvuus Tietotekniikka. Tunnistamisprosessi jakautuu kahteen osaprosessiin:

• Tietojärjestelmän tunnustaminen: kaikki lainkäyttövaltaan kuuluvat tietojärjestelmät poistetaan ja pannaan täytäntöön rahoituslähteestä riippumattaVarojen luettelo ja arvostaminenEn tiedä. Omaisuusarvon kolme luokkaa ovat fyysinen arvo (laitteet/ohjelmistot/data/dokumentointi/henkilöstökustannukset), aineeton arvo (tavarat, palvelun laatu), tietoarvo (CIA III+ -tietoluokitus).
• Riskien arviointi• Tarkastellaan riskin, syiden ja tapahtumien, uhkien ja mahdollisuuksien, porsaanreikien ja valmiuksien lähteitä, sisäisen ja ulkoisen ympäristön muutoksia, kehittymässä olevia riskiindikaattoreita, varojen luonnetta ja arvoa, seurauksia ja vaikutuksia, tietorajoitteita ja tiedon luotettavuutta, aikatekijöitä jne.

Tunnistamisen aikana kerätyt tiedot ovat myös erityisiä: turvallisuustarpeet ja -tavoitteet; järjestelmät/verkkorakenteet ja mittakaavakartat; todisteet huoneiden fyysisen ympäristön noudattamisesta; avoimet hakukelpoiset tiedot; fyysiset resurssit; käyttöjärjestelmät ja verkonhallintajärjestelmät; tietokannat ja asiakirjat; sovellukset ja palvelintiedot; verkkoprotokollat ja -palvelut; kulunvalvontatoimenpiteet; erilaiset toimintaprosessit; tunnistusmekanismit; sääntelysopimusvaatimukset; järjestelmän luokittelu.

jostaJärjestelmän uudelleentarkasteluPainopiste: Järjestelmätiedostot ja lokit, juoksuprosessit, kulunhallintatiedostot, käyttäjäluettelot, asetusasetukset, paikkatasot, salaus- tai tunnistustyökalut, verkkoputken työkalut, lokit tai tunkeutumisen ilmaisimet - pitäen silmällä mitä tahansa epätavallista toimintaa, kuten tunkeutumisyritystä.

Tee se tarvittaessa.Teknisen aukon testausKapteeni, soluttautumistestaus, asetustarkistus, lähdeskannaus.Keskeiset tilatEnnen sitä arviointiryhmän on sovittava yksikön kanssa soveltamisalan, mahdollisten vaikutusten, takaisin-/takaisin-/takaisin-/takaisin-/takaisin-ottoprosessin laajuudesta; jos kyseessä on yli kaksi tasoa, olisi viitattava liiketoimintasuunnitelmaan ja katastrofien elvytyssuunnitelmaan. Gap-skannaukset kattavat verkkokerroksen havaitsemisen/löydön, keskusyksikön porsaanreikien testauksen, järjestelmän/sovelluksen (mukaan lukien Web) skannaukset ja varmistavat, että GovCERT.HK:n antamat asiaankuuluvat turvallisuusilmoitukset on täytetty tai korvattu.

Riskin laskeminen: Taso 3 -matriisi

RiskianalyysiVaikutussekäMahdollisetMeidän on tunnistettava heidät.Nykyiset tarkastuksetJa arvioi niiden tehokkuus. Valvonta jakautuu kolmeen luokkaan: tekninen valvonta (palomuurit, salaus, haittaohjelmat, kulunvalvonta), fyysinen valvonta (CCTV, ovien barrel, palontorjunta, fyysinen tietojen tuhoaminen), johdon valvonta (hätäsuunnitelma, henkilöstön turvallisuuskoulutus, tietosuojapolitiikka, katastrofivalmiussuunnitelma).

Analyysimenetelmät ovat kvalitatiivisia ja kvantitatiivisia, ja niitä voidaan käyttää myös matriisimenetelmissä. Käytännön kaava on:

Riskitaso = vaikutus x todennäköisyys x järjestelmähierarkia (Tier)

Jokainen ottoarvo 3- korkea / 2- m/ keskikokoinen / 1- matala, kertolaskualue 1-27:18-27 Suuri riski, 9-17 keskiriski, 1-8 pieni riskiEn tiedä. Ja...Erilainen Tier-järjestelmillä on oma riskimatriisinsa.Mitä korkeampi järjestelmien hierarkia, sitä pienempi on virheiden tila.

Hallitus antoi myös kaksi menetelmää:Menneiden tapahtumien perusteella(viittaus tietoturvapoikkeamaraportteihin, alan kirjallisuuteen, palveluntarjoajien aiempiin vuotoihin);Kolmen pisteen arviointimenetelmä(Kolme-Point Administration), jonka avulla asiantuntijat voivat antaa kaikkein optimistisimmat O, todennäköisimmin M, ja pessimistisimmät P-arvot, kolmion keskiarvo. Jos P ja O ovat liian kaukana toisistaan, M on luotettavampi, M voidaan painottaa (esim. neljä kertaa paino).

SA Miten:

Turvatarkastukset seuraavat toista linjaa: vaatimustenmukaisuuden tarkastukset S17:n ja osastojen turvallisuuspolitiikan osalta asiakirjojen tarkastelujen, vierailujen, monitasohaastattelujen, paneelikeskustelujen, kyselyjen jne. avulla. Tarkastuksen laajuusErityis- ja ennakkosopimus tilintarkastajien kanssaVirallisesti annettuja esimerkkejä ovat muun muassa Internet-turvallisuus, intranet-turvallisuus, Tier 2 -tietojärjestelmät, keskusyksikön turvallisuus, verkkopalvelinten turvallisuus (verkko/postipalvelin jne.), verkon komponentit ja laitteet (palomuurit, reitittimet), huoneiden turvallisuus, verkkopalvelut (katalogipalvelut, postipalvelut, etäyhteydet), järjestelmän dokumentaatio ja tietueet.

Alakohtaisissa tai muissa kuin erityisissä tarkastuksissa on yleinen käytäntö tarkastaa S17:ssä määriteltyjen ISM:ien koko ja tehokkuus tai organisaation omistama ISM-kehys (politiikat/standardit/menettelyt).

Toimitus ja 10 yhteistä toimintaa

Koko SRAA:n säännöllisen toiminnan virallinen käännös 10:ksi, pohjimmiltaan eheyden tiekartta:

1. Avausistunto: Kattavuus, tavoitteet, tulokset
2. Hankkeen suunnittelu: Hyväksytty toimitusaikataulu ja aikataulu
3. Valmistautukaa tarkastamaan.: Tarkastuslomakkeiden vahvistaminen yksiköiden kanssa
4. Valmistaudu vetäytymiseen/hyödyntämiseen: tekniset testit, kuten aukkojen skannaus, läpäisytestit jne.
5. Omaisuuden yksilöiminen ja arvostaminen: Varojen tunnistaminen ja arviointi sovituissa rajoissa
6. RiskinarviointiRiskien tunnistaminen Riskianalyysi Riskin arviointi
7. SRA-raportin, riskinhallintasuunnitelman ja järjestelmäriskirekisterin toimittaminen
8. Raportointi johdolleTulokset ja havainnot
9. TurvallisuustarkastusTarkastustuloksia koskeva kertomus
10. Tietojen ja tulosten suojaaminen, seurantasuunnitelmat, ydinmateriaalivalvonnan uudelleentarkastelu, validointiraporttien toimittaminen, suljetun kierron raportointi

Näettekö?Toimitus ei ole raportti.SRA:n riskirekisteri ja hävittämissuunnitelma, SA:n vaatimustenmukaisuuden tarkistuslistat ja tarkastusraportit sekä validointiraportit, joilla vahvistetaan kunkin löydön korjaustulokset päättämistä varten.

Kuka tekee sen? Mitä tapahtuu?

Riippumattomia kolmansia osapuolia on vaikea vaatia.Konsulttien/tilintarkastajien tehtävät määritellään virallisesti selkeästi: heillä on tarvittavat taidot ja asiantuntemus, he ymmärtävät kunkin välineen vaikutukset.Ennen hakata testejä, sinun täytyy saada kirjallinen lupa asianomaisilta osapuolilta kuten ISP ja poliisi.Onko testi onnistunut vai ei, raportti heijastaa yksikön turvallisuuspolitiikkaa ja operatiivisia tarpeita, tunnistaa merkittäviä riskejä tai vaatimustenvastaisuuksia, raportoida välittömästi ja tukee näyttöä kysyntään.

Tietosuoja on toinen helposti laiminlyöty kohta: arviointiprosessin aikana kerätään suuria määriä konfiguraatiota ja arkaluonteisia tietoja.Tarve järjestää salaustyökalut ja lukittavat kaapit suunnitteluvaiheessa; arviointivälineitä valvotaan, niitä käytetään vain tiimien asiantuntijoiden toimesta ja ne poistetaan välittömästi sen jälkeen, kun ne on käytetty.Tilintarkastajille myönnetyn tilapäisen pääsyn peruuttaminenEn tiedä.

Palvelut perustuvat seuraaviin seikkoihin: asiakirjatietojen, kuten verkkokarttojen, käyttöoppaiden, kulunvalvontaluetteloiden, turvapolitiikkojen, standardien, ohjeiden ja menettelyjen toimittaminen, vertaistuen, kuten verkkojen, palomuurien, järjestelmänhallinnan ja paikan päällä tehtävien vierailujen järjestäminen.

Seuranta on sen arvoista.

On olemassa virallinen lausunto:Riskinarvioinnin ja tilintarkastuksen arvo ei sisälly suosituksiin vaan niiden tehokkaaseen täytäntöönpanoon. Jos päätöstä ei panna täytäntöön, vastaava riski on otettava huomioon ja perusteltava täysin. Seuranta perustuu kolmeen huolenaiheeseen: vaikuttavuuteen, pätevyyteen ja sopeutumisen ajankohtaisuuteen. Riskikohteita muutetaan tai vahvistetaan mahdollisimman pian, ja ne ovat valmiita regressiomenettelyihin.

Mikä on muun kuin Hongkongin alueen viitearvo?

Vaikka SRAA on Hongkongin hallintojärjestelmän tuote, sen luurangot ovat yleisiä:Riskinarviointi . Riskinarviointi, turvallisuusauditointi.En tiedä. Nämä ideat ja vastaavat sisämaan takuun arvioinnit, ISO/IEC 27001 -sertifioinnit ovat hengellisesti yhteensopivia - ensin tyhjennä varat ja sitten laske riskit (vaikutus x todennäköisyys x järjestelmäluokitus), sen jälkeen jaa riskille alttiit varat ja sen jälkeen ja lopuksi käytä riippumatonta tarkastusta vaatimusten noudattamisen varmistamiseksi.

Jos organisaatiosi on luomassa turvallisuusjohtamista koskevaa kehystä, SRAA:n arviointi-arviointi-auditointi-validointisarjan iteratiivinen silmukka on erittäin hyödyllinen malli. Varsinkin tuo."Riskirekisteri + huolehtimissuunnitelma + validointiraportti“The three sets are much more solid than the submission of only one permeability test report.

Turvallisuus ei ole arviointi vaan suljettu silmukka, joka on edelleen päällekkäin.