SRAA Buong pangalan: Security Risk Assessment and Audit: Ano ba ang Pamahalaan ng Hong Kong?

Sa Hong Kong, hindi ka kailanman makalalayo ng kahit isang salita: SRAA. Buong Pangalan Panganib at Tulong sa SeguridadSa Tsino, ito ay tinatawag na “Security cussing at auditić (na isinasalin din bilang “Security cusped at auditić). Hindi ito produkto ng isang tagagawa, ito ay...Isang sapilitang set ng mga kahilingan sa seguridad at audit na itinatag ng Pamahalaan ng Hong KongAng lahat ng mga kagawaran ng pamahalaan, kagawaran/offices (B/Ds) at mga ahensiya ng pamahalaan-founded ay hinihiling upang ipatupad ang mga ito at magsumite ng mga independiyenteng sertipikasyong ulat.

Ang set na ito ng mga kahilingan ay batay sa Office of Digital Policy Office, DPO, dating OGCIO, Practice Guide for Security Risk Assessment & Audit (Hindi. ISPG-SM01Kabilang din sa mga kalakip na dokumento ang Baseline IT Security Policy [S17] at IT Security Regences [G3]. Ang pinakabagong edisyon na inilathala noong Agosto 2026, 02.Isang Proseso ng “SRAA at Sangguniang Baseline ang idinagdag.

Ang mga sangguniang pang-administratibo nito ay nagpapahiwatig din ng pagpoposisyon: ISO/IEC 27000, 2701, 70002, 27005, ISO 31000:2018 mga panuntunan sa pangangasiwa ng panganib, at NISTIR 8286 (na nagreresulta sa cybersecurity sa pangangasiwa ng negosyo (ERM). Sa ibang salita,Ang SRAA ay isang balangkas ng pamahalaan-level para sa lokalisasyon ng mga pamantayang internasyonalHindi ko alam.

Pagkilala sa pagitan ng SARA at SA

Itinuturing ng maraming tao ang SRAA bilang isang bagay, subalit ito'y kombinasyon ng dalawang bagay na lubhang magkaiba:

• Panganib sa Katiwasayan (SRA)Ang pagkilala, pagsusuri, pagtatasa sa mga panganib sa kaligtasan at pagkilala sa mga hakbang sa pagtatapon upang mabawasan ang mga panganib sa katanggap - tanggap na mga antas. Ang pangmalas ay:Panganib“ Ang saklaw ng pagtatasa ay hindi kinakailangang nauugnay sa patakarang panseguridad.
• Seguridad Audit (SA, seguridad audit)Audit laban sa patakarang panseguridad/standardsHalaga ng Pagsunod, tiyakin na ang umiiral na pananggalang na mga hakbang ay wastong ipinatutupad. Ang pangmalas ay:KatapatanTaliwas sa S17, G3 o sa sariling patakarang panseguridad ng sektor.

Binigyan kami ng opisyal ng isang mesang may paghahambing na lubusang nagbigay - linaw sa pagkakaiba:

• Bantayan ito.: Ang SARA ay mapanganib; ang SA ay isang pangmalas sa pagsunod
• Paglipol sa PartidoAng mga RA ay maaaring suriin ng departamento mismo (sariling-asses) o ng ikatlong partido;Ang SA ay dapat gawin ng isang independiyenteng ikatlong partido
• Mga Pamimigay ng susi: Pagsuko ngRAItatala ang panganib + mga hakbang sa pagtatapon ng panganib; Pagsuko ngSATalaan ng mga Nilalaman
• Tamang Panahon: bagong sistema sa pag - unlad ng siklo ng buhay (SDLC)MagsimulaGawin ang SRA; regular nang ginagawa ang mga sistemang online sa buong siklo ng buhay, o kapag nagkaroon ng malalaking pagbabago sa kapaligirang IT

Tatlo sa pinakakaraniwang maling akala.

Ang ISPG-SM1, mula sa Version 2.0 (Abril 2024), ay espesipikong nagbigay linaw sa ilang malawakang ibinahaging maling akala na dapat sana'y narinig sa negosyong ito:

• Maling pagkakaunawa: kailangang gawin ito ng SRA at SA nang magkasama, gumawa ng isang "two-in-one" na ulat.Mali. Ang katangian ng dalawa ay magkaiba, gayon din ang mga kahilingan ng partidong nagpapatupad (AngSA ay dapat na isang independiyenteng ikatlong partido), na maaaring gawin nang magkahiwalay.
• Maling pagkaunawa 2: Ang gawain ng isang SRAA ay maaaring sumaklaw kapuwa sa panganib na makilala at sundin ang mga tseke sa SDLC.Mali. Ito ay dalawang magkaibang uri ng trabaho.
• Maling pagkaunawa sa tatlo: Ang SRAA ay isang tagas na scan o influential test.Ang pinakamalaking pagkakamali.Ang mga pagsubok sa infiltration ay bahagi lamang ng teknikal na gap test sa SRA.Hindi ang SRAA mismo. Marami sa mga kompaniyang sumasangguni ang hindi nag - alis ng kanilang mga paglalarawan sa paglilingkod, sinasabi na karaniwan nang kasali sa mga “SRA ang injury testić.

Mahalagang linawin ito - dahil kung gagamitin mo ang Oscillation Test upang ihanda ang SRAA, ito ay nasa direksiyon ng simula.

SRA Paano: Apat na Hakbang

Ang pagtasa ng panganib sa antas ng sistema ay batay sa isang apat-pakanlurang pangunahing linya at nagtatapos sa pagdeposito ng sistemang rehistro ng panganib:

Pagkilala sa Panganib Oo. Pagsusuri sa Panganib Oo. Pag - aalis ng Panganib Oo. Pagtapon ng Panganib

Ang katuturan ng panganib ay tuwiran:Panganib = banta x loophole x pagbanggaHindi ko alam. Ang mga banta ay maaaring magmula sa indibiduwal, pang-organisasyon o kahit na mga kondisyong pangkapaligiran, na humahantong sa hindi autorisadong access, pagkasira ng impormasyon/alterasyon o pagkakait ng mga serbisyo; ang mga butas ay mga kahinaan o puwang sa sistema ng seguridad na maaaring samantalahin ng mga banta.

Ang yugto ng panganib na pagkakakilanlan ay sumasaklaw sa isang malawak na saklaw ng mga lugar, na may 10 opisyal na mga bagay: seguridad ng tao, pangangasiwa ng asset, pangangasiwa ng access, mga password, pisikal at pangkapaligirang seguridad, seguridad sa operasyon, seguridad sa komunikasyon, pagkakamit at pagpapanatili ng sistema, kawalan ng seguridad sa pananalapi, at pagpapatuloy ng negosyo IT security. Ang proseso ng pagkakakilanlan ay nahahati sa dalawang sub-processes:

• Pagkilala sa sistema ng impormasyon: lahat ng sistema ng impormasyon na nasa loob ng hurisdiksiyon, anuman ang pinagmumulan ng pondo, ay inaalis at ipinatutupadTalaan ng mga NilalamanHindi ko alam. May tatlong kategorya ng asset value - pisikal na halaga (equipment/software/data/dokumentasyon/pagpapalit ng halaga ng mga tauhan), intanggwal na halaga (goods, kalidad ng serbisyo), halaga ng impormasyon (CIA III+ data classification).
• Pagkilala sa eksena ng panganib• Isaalang - alang ang pinagmumulan ng panganib, mga sanhi at pangyayari, mga banta at pagkakataon, mga butas at kakayahan, mga pagbabago sa panloob at panlabas na kapaligiran, lumilitaw na mga tagapagpahiwatig ng panganib, kalikasan at halaga ng mga ari - arian, mga kahihinatnan at epekto, mga limitasyon sa kaalaman at pagkamaaasahan ng impormasyon, mga salik sa panahon, atbp.

Ang impormasyong nakolekta sa panahon ng identidad ay espesipiko rin: mga pangangailangan at layunin ng seguridad; mga sistema/network istraktura at scale-up maps; katibayan ng pagsunod sa pisikal na kapaligiran ng mga silid; bukas na impormasyong mahahanap; mga pisikal na asset; mga operating system at network management systems; mga database at dokumento; mga application at server information; network protocols at serbisyo; mga access control ad; iba't ibang proseso ng pagpapatakbo; mga mekanismong pagkakakilanlan; mga regulatory contract required; mga panuntunan ng patakaran; sistema; klasipikasyon.

na ditoPagrerepaso ng sistemaItuon ang pansin sa: System files at logs, running processs, access control files, user list, configuration settings, concryption o realitation tools, web pipe tools, trosos, o panghihimasok sa mga kasangkapan - habang nakatutok ang mata sa anumang kakaibang aktibidad tulad ng isang improduksyon.

Gawin ito kung kinakailangan.Technical gap testGap scanning, inclusion test, configuration review, source scanning.Mga pangunahing pundasyonBago gawin ito, ang koponan ng pagtatasa ay dapat sumang-ayon sa departamento tungkol sa saklaw, posibleng epekto, back/recovery proseso; kung ang Tier 2 at itaas ay kasangkot, dapat na tukuyin ang Business Continuity Plan (BCP) at ang Disaster Recovery Plan (DRP). Ang Gap scan ay sumasaklaw sa network layer detection/tuklas, mainframe loophole testing, system/application (kasama ang Web) scan at kumpirma na ang mga kaugnay na mga patalastas sa seguridad na inilabas ng GovCERT.HK ay napunan o nai-publish.

Kung paano tatayahin ang panganib: Level 3

Pagsusuri sa panganib upang tantiyahinEpektoatPosibleKailangan nating makilala ang mga ito.Umiiral na mga kontrolAt suriin ang kanilang pagiging mabisa. Ang mga kontrol ay bumabagsak sa tatlong kategorya: ang teknikal na kontrol (firewalls, encryption, mapaminsalang software, access control), pisikal na kontrol (CCTV, hor-barrel, fire proteksyon, pisikal na pagkawasak ng datos), kontrol sa pangangasiwa (emergency reaction plan, pagsasanay sa kaligtasan ng mga tauhan, data privacy policy, plano ng sakuna).

Ang mga paraang analitiko ay qualitative at qualitative, at maaari ring gamitin sa mga paraang matrix. Ang isang praktikal na pormula ay:

antas ng panganib = pagbangga ng x probabilidad x system hirarkiya (Tier)

Bawat isa ay kumuha ng halaga na 3-high / 2-m/ medium / 1-low, nagpaparami ng 1 hanggang 27:18-27 Mataas na panganib, 9-17 katamtamang panganib, 1-8 mababang panganibHindi ko alam. At...Naiiba Ang mga sistema ng pagkain ay may kani - kaniyang mapanganib na matrix.– Same "medium probabilidad + mataas na pagbagsak": Ang Tier 1 ay tumataya sa panganib, Tier 2 kahit na ito ay mataas na panganib, ang Tier 3 ay mas mataas na panganib. Mientras mas mataas ang herarkiya ng mga sistema, mas maliit ang espasyo para sa mga pagkakamali.

Nagbigay rin ang pamahalaan ng dalawang pamamaraan:Batay sa nakaraang mga pangyayari(Kaayon ng mga ulat hinggil sa seguridad, panitikang pang-industriya, pangkasaysayang tagas ng mga tagapagsilbi);Tatlong-point na paraan ng pagtantiya(Freen-Point Administration) na nagpapahintulot sa mga dalubhasa na magbigay ng pinaka-optimikong O, pinakamalamang ay M, at pinaka-mapag-alinlangang P mga pagpapahalaga, ayon sa pagkakasunod, na may triangulasyon ng katamtaman. Kung ang P at O ay masyadong hiwalay, ang M ay mas maaasahan, ang M ay maaaring pabigatan (hal. apat na ulit na timbang).

SA PAANO: Kumpil

Ang mga audit sa seguridad ay sumusunod sa isa pang linya: pagsunod sa mga tseke laban sa mga patakarang panseguridad ng S17 at departamento sa pamamagitan ng mga review ng dokumento, mga pagdalaw sa site, mga panayam sa multilevel, mga talakayan sa panel, mga tanungan, atbp. Kailangan ang tamang saklawEspesipiko at patiunang kasunduan sa mga auditorAng mga halimbawang opisyal na ibinigay ay kinabibilangan ng seguridad ng Internet, seguridad ng Intranet, Tier 2 sistema ng impormasyon, seguridad ng mainframe, seguridad ng network server (Web/mail server, atbp.), network na mga bahagi at kagamitan (firewalls, mga route), mga serbisyo ng silid, network (catalogue services, mga serbisyo ng koreo, remote access), mga dokumentasyon ng sistema at mga rekord.

Para sa sektor-level o non-specific audits, ito ay karaniwang gawain sa audit ng sukat at bisa ng mga chism gaya ng pagpapakahulugan sa S17 o ang organisasyon-owned ISMOs framement (mga polisiya/standards/procedures).

Paghahatid at 10 karaniwang gawain

Ang opisyal na salin ng regular na gawain ng buong SRAA sa 10, pangunahin nang isang mapa ng katapatan:

1. Pagbubukas ng sesyon: Pagkilala sa saklaw, mga layunin, mga mababasa
2. Plano sa Proyekto: Sang - ayon sa iskedyul at iskedyul ng panganganak
3. Mag - ingat.: Kumpil ng mga uri ng pagsisiyasat na may mga departamento
4. Maghanda para sa pag-urong/recovery: teknikal na mga pagsubok gaya ng pag - scan sa puwang, pagsubok sa pagpasok, atbp.
5. Iset na Pagkilala at Pagpapahalaga: Pagkilala at pagtatasa ng mga ari - arian sa loob ng napagkasunduang mga hangganan
6. Pagtaya sa PanganibPanganib ng Pagsusuri sa Panganib
7. Ang paghahatid ng report ng SRA, ang plano sa pagtatapon ng panganib, ang sistema ng pagtatala ng panganib
8. Nag - uulat sa pangangasiwaMga Resulta at mga Natuklasan
9. Pag - aaral sa SeguridadUlat tungkol sa mga resulta ng audit
10. Data at mga resulta protek-up mga plano, pag-iingat review, paghahatid ng mga factuation report, saradong loop pag-uulat

Maaari mong makita,Ang paghahatid ay hindi isang ulat.Ang SRA side-to-side panganib register and exposure plan, SA side-to-side pagsunod sa mga listahan at audit reports at, sa wakas, ang professionalation reports upang patunayan ang mga hindi mababagong resulta ng bawat pagtuklas para sa pagsasara.

Sino ang gagawa nito? Ano ang gonna mangyari?

Mahirap hilingin ang ikatlong panig.— Ang mga audit sa seguridad ay dapat na pangasiwaan ng isang independiyenteng ikatlong partido at ang mga rekomendasyon ng SRA ay dapat ding iukol sa ikatlong partido. Opisyal, ang mga tungkulin ng mga kasangguni/auditotor ay malinaw na binibigyang kahulugan: mayroon silang kinakailangang kasanayan at kadalubhasaan, nauunawaan nila ang epekto ng bawat kasangkapan,Bago isagawa ang mga pagsubok sa hack, dapat kang kumuha ng nasusulat na pahintulot mula sa interesadong mga partido gaya ng ISP at pulisya.Matagumpay man o hindi ang pagsubok, sinasalamin ng ulat ang patakarang pangseguridad at mga pangangailangang pang-operasyonal ng departamento, kinikilala ang mga mahahalagang panganib o mga hindi-kombinasyon, mga ulat kaagad, at sumusuporta sa ebidensiya sa pangangailangan.

Ang proteksiyon ng impormasyon ay isa pang bagay na madaling kaligtaan: malaking halaga ng pagsasaayos at sensitibong impormasyon ang natitipon sa panahon ng pagtatasa.Kailangang magsaayos ng mga kasangkapan sa encryption at mga kabinet na maaaring ikandado sa panahon ng pagpaplano; ang mga kagamitan sa pagtatasa ay makokontrol, na pinatatakbo lamang ng mga eksperto sa koponan at agad na aalisin pagkatapos na maubos ang mga ito; ang pagtasa ng mga ulat na hindi awtorisadong dumalaw bago ang pagbabago ay isang tuwirang banta mismo, kaya ang proseso at ang pangwakas na ulat ay magiging lubusang kompidensiyal; at, pagkatapos na matapos, ang lahat ng impormasyon ay ibabalik at ang lahat ng impormasyon ay ibabalikAng pagkuha ng pansamantalang access na ipinagkaloob sa mga auditorHindi ko alam.

Ang mga serbisyo ay nakabase sa: paglalaan ng mga impormasyong dokumentasyon tulad ng mga mapa ng network, pagpapatakbo ng mga manwal, mga tala ng kontrol, mga patakarang panseguridad/standards/guidelines/procedures; paglalaan ng suporta ng mga kasama tulad ng mga network, firewall, pangangasiwa ng sistema; at organisasyon ng mga pagbisita sa site.

Ang sex-up ay sulit.

May opisyal na pangungusap:“ Ang halaga ng pagtasa ng panganib at auditioning ay hindi sa mga rekomendasyon mismo, kundi sa kanilang epektibong pagpapatupad. ” Ang pangangasiwa ay may pananagutan sa pagpapatupad kapag ginawa ang rekomendasyon; kung ang pasiya ay hindi isasagawa, ang katumbas na panganib ay dapat na isaalang - alang at lubusang bigyang - katuwiran. Ang sumusunod na-up ay naka-ayos sa paligid ng tatlong mga larangan ng pagkabahala: pagiging epektibo, kuwalipikasyon at pagiging nasa oras ng pakikibagay. Ang mga bagay na high-risk ay matatagpuang binabago o pinatitibay sa pagdaka at handa para sa mga pamamaraang regresyon.

Ano ang tinutukoy na halaga ng rehiyong hindi-Hong Kong?

Bagaman ang SRAA ay produkto ng sistema ng pamahalaan sa Hong Kong, ang mga kalansay nito ay karaniwan:Pagtaya sa panganib “irisk”, seguridad auditisensiya pagsunod, parehong magkahiwalay, mapagbigay at saradong beripikasyonHindi ko alam. Ang kalipunang ito ng mga ideya at panloob na katumbas na mga pagtasang warranty, ISO/IEC 27001 sertipikasyon ay espirituwal na tumutugma - una malinaw ang mga asset at pagkatapos ay tinantiya ang mga panganib (impektang x probabilidad x system classification), pagkatapos ay inilalaan ang mga yaman na nanganganib at nasa ibaba, at sa wakas ay gumagamit ng independiyenteng audit upang patunayan ang pagsunod.

Kung ang inyong organisasyon ay nagtatayo ng isang security governence frameion, ang merative loop ng SRAA pagtatasa-disposit-audit-validation set ay isang lubhang kapaki-pakinabang na template. Lalo na ang isang iyon."Irehistro ng panganib + set ng pagtatapon + tanggap na ulat“ Ang tatlong sets ay mas matatag kaysa ang pagsumite ng isa lamang permeable test report.

Ang kaligtasan ay hindi isang pagsusuri, kundi isang saradong silo na patuloy na nagsasanib.