SRAA Nom complet : Évaluation et vérification des risques en matière de sécurité : Qu'évalue le gouvernement de Hong Kong?

À Hong Kong, vous ne vous en tirerez jamais avec un seul mot : SRAA. Nom complet Évaluation des risques pour la sécurité et aideEn chinois, elle s'appelle « Évaluation et audit des risques de sécurité » (également traduit par « Évaluation et audit des risques de sécurité »). Ce n'est pas un produit d'un fabricant, c'est...Un ensemble obligatoire d ' exigences en matière d ' évaluation et d ' audit de la sécurité établies par le Gouvernement de Hong KongTous les ministères, ministères/bureaux (B/D) et organismes financés par le gouvernement sont tenus de les mettre en oeuvre et de présenter des rapports de certification indépendants.

Cet ensemble d'exigences est fondé sur le Bureau de la politique numérique, DPO, anciennement OGCIO, Guide pratique pour l'évaluation et la vérification des risques en matière de sécurité (No. ISPP-SM01Les documents joints comprennent également la Politique de base sur la sécurité des TI [S17] et les Lignes directrices sur la sécurité des TI [G3]. La dernière édition publiée en août 2026, v2.2Une feuille de vérification du processus et de la livraison de l'AESA a été ajoutée.

Ses références normatives sont également indicatives du positionnement: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 lignes directrices sur la gestion des risques, et NISTIR 8286 (intégration de la cybersécurité dans la gestion des risques d'entreprise). En d'autres termes,SRAA est un cadre gouvernemental pour la localisation des normes internationalesJe ne sais pas.

Distinguer entre SRA et SA

Beaucoup de gens prennent SRAA comme une chose, mais c'est une combinaison de deux choses qui sont complètement différentes:

• Évaluation des risques pour la sécuritéIdentification, analyse, évaluation des risques pour la sécurité et identification des mesures d'élimination pour réduire les risques à des niveaux acceptables. La perspective est la suivante :RisqueLa portée de l'évaluation n'est pas nécessairement liée à la politique de sécurité.
• Vérification de sécurité (SA, audit de sécurité)Politique/normes de vérification et de sécuritéNiveau de conformité, vérifier que les mesures de protection existantes sont correctement mises en œuvre. La perspective est la suivante :ConformitéContrairement à S17, G3 ou à la propre politique de sécurité du secteur.

Le fonctionnaire nous a donné un tableau comparatif qui a parfaitement fait la différence:

• Regarde.: SRA est une perspective de risque; SA est une perspective de conformité
• Partie exécutanteLes ARS peuvent être évalués par le ministère lui-même (autoévaluation) ou par des tiers;SA doit être effectuée par un tiers indépendant
• Principaux produitsLa reddition de SRARegistre des risques + mesures d'élimination des risques;SA remiseListe de contrôle de conformité
• Calendrier: nouveau système dans le cycle de vie du développement (SDLC)DémarrerDo SRA; les systèmes déjà en ligne sont effectués régulièrement tout au long du cycle de vie, ou lorsque des changements importants se produisent dans l'environnement informatique

Trois des idées fausses les plus courantes.

ISPG-SM01, de la version 2.0 (avril 2024), a spécifiquement clarifié quelques idées fausses largement partagées qui auraient dû être entendues dans cette affaire:

• Une mauvaise compréhension : l'ARS et l'AS doivent le faire ensemble, produire un rapport « deux en un ».Faux. La nature des deux est différente, tout comme les exigences de la partie exécutante (SA doit être un tiers indépendant), qui peut être fait séparément.
• Mauvaise compréhension 2 : Une activité SRAA peut couvrir à la fois l'identification des risques et les vérifications de conformité dans SDLC.Faux. Ce sont deux types de travail différents.
• Mauvaise compréhension de trois : SRAA est un test de fuite ou de pénétration.Le plus faux.Les essais d'infiltration ne sont qu'une partie de l'essai d'écart technique dans le SRA.Pas SRAA elle-même. Beaucoup de cabinets-conseils ont mal écrit leurs descriptions de services, disant que les ASR incluent habituellement des tests de pénétration.

Il est important de le faire clairement -- parce que si vous allez utiliser le test d'oscillation pour préparer la SRAA, il a été dans la direction du début.

SRA Comment: Quatre étapes

L'évaluation des risques pour la sécurité au niveau du système repose sur une ligne principale en quatre étapes et se termine par le dépôt du registre des risques du système:

Identification des risques Oui. Analyse des risques Oui. Évaluation des risques Oui. Élimination des risques

La définition du risque est simple:Risque = menace x échappatoire x impactJe ne sais pas. Les menaces peuvent provenir de conditions individuelles, organisationnelles ou même environnementales, entraînant un accès non autorisé, la destruction ou l'altération de l'information ou le déni de services; les lacunes sont des faiblesses ou des lacunes du système de sécurité qui peuvent être exploitées par des menaces.

La phase d'identification des risques couvre un large éventail de domaines, avec 10 éléments officiels : sécurité des ressources humaines, gestion des biens, contrôle d'accès, mots de passe, sécurité physique et environnementale, sécurité opérationnelle, sécurité des communications, développement et maintenance des achats de systèmes, sécurité externalisée et continuité des opérations. Le processus d'identification est divisé en deux sous-processus:

• Reconnaissance du système d ' information: tous les systèmes d'information relevant de la juridiction, quelle que soit la source de financement, sont supprimés et mis en œuvreListe et évaluation des actifsJe ne sais pas. Il existe trois catégories de valeur de l'actif : la valeur matérielle (équipement/logiciel/données/documentation/coût de remplacement du personnel), la valeur intangible (biens, qualité du service), la valeur de l'information (classification des données de l'ACIA III+).
• Reconnaissance de la scène de risque• Examiner les sources de risque, les causes et les événements, les menaces et les possibilités, les lacunes et les capacités, l'évolution de l'environnement interne et externe, les indicateurs de risque émergents, la nature et la valeur des actifs, les conséquences et les impacts, les limites des connaissances et la fiabilité de l'information, les facteurs de temps, etc.

Les informations recueillies au cours de l'identification sont également spécifiques : besoins et objectifs en matière de sécurité; structures des systèmes/réseaux et cartes d'échelle; preuve du respect de l'environnement physique des salles; informations consultables librement; biens matériels; systèmes d'exploitation et systèmes de gestion de réseau; bases de données et documents; informations sur les applications et les serveurs; protocoles et services de réseau; mesures de contrôle d'accès; divers processus d'exploitation; mécanismes d'identification; exigences en matière de contrats réglementaires; lignes directrices; classification des systèmes.

DontExamen du systèmeConcentrez-vous sur : les fichiers et les journaux système, les processus d'exécution, les fichiers de contrôle d'accès, les listes d'utilisateurs, les paramètres de configuration, les niveaux de patch, les outils de chiffrement ou d'authentification, les outils de pipe web, les journaux ou les outils de détection d'intrusion - tout en gardant un œil sur toute activité inhabituelle comme une tentative d'intrusion.

Faites-le si nécessaire.Essais d ' écart techniqueAnalyse des lacunes, tests d'infiltration, examen de la configuration, balayage des sources.Principaux locauxAvant de le faire, l'équipe d'évaluation doit être d'accord avec le ministère sur la portée, l'incidence possible, le processus de récupération/retour; si les niveaux 2 et supérieurs sont en cause, il faut se reporter au Plan de continuité des activités (PCA) et au Plan de reprise après sinistre (PRD). Les analyses des lacunes couvrent la détection/découverte des couches réseau, les tests des failles de l'ordinateur central, les analyses système/application (y compris Web) et vérifient que les annonces de sécurité pertinentes émises par GovCERT.HK ont été remplies ou compensées.

Comment calculer le risque : matrice de niveau 3

Analyse des risques à évaluerImpactetPossibleNous devons les identifier.Contrôles existantsEt évaluez leur efficacité. Les contrôles se répartissent en trois catégories : contrôle technique (pare-feu, cryptage, logiciels malveillants, contrôle d'accès), contrôle physique (CCTV, porte-barre, protection contre l'incendie, destruction des données physiques), contrôle de gestion (plan d'intervention d'urgence, formation à la sécurité du personnel, politique de confidentialité des données, plan de préparation aux catastrophes).

Les méthodes analytiques sont qualitatives et quantitatives et peuvent également être utilisées dans les approches matricielles. Une formule pratique est :

Niveau de risque = impact x probabilité x hiérarchie du système (Tier)

Chacun prend une valeur 3-élevée / 2-m/ moyenne / 1-doux, multiplier la plage 1 à 27:18-27 Risque élevé, 9-17 risque moyen, 1-8 risque faibleJe ne sais pas. Et...Différent Les systèmes de niveau ont leur propre matrice de risque.– Même « probabilité moyenne + impact élevé » : le niveau 1 compte le risque, le niveau 2 même si le risque est élevé, le niveau 3 est plus élevé. Plus la hiérarchie des systèmes est élevée, plus l'espace pour les erreurs est petit.

Le gouvernement a également donné deux techniques :D'après les événements passés(Référence aux rapports d'incidents de sécurité, à la documentation de l'industrie, aux fuites historiques des fournisseurs de services);Méthode d'estimation en trois points(Three-Point Administration) qui permet aux experts de donner respectivement les valeurs O, M et P les plus optimistes, avec une triangulation de la moyenne. Si P et O sont trop éloignés, M est plus fiable, M peut être pondéré (par exemple quatre fois le poids).

SA Comment: Conformité

Les vérifications de sécurité suivent une autre ligne : vérification de la conformité à la norme S17 et aux politiques de sécurité ministérielles par l'examen de documents, des visites sur place, des entrevues à plusieurs niveaux, des discussions de groupe, des questionnaires, etc. La portée de l'audit doitAccord spécifique et préalable avec les auditeursParmi les exemples officiellement donnés figurent la sécurité Internet, la sécurité Intranet, les systèmes d'information de niveau 2, la sécurité de l'ordinateur central, la sécurité du serveur réseau (serveur Web/mail, etc.), les composants et le matériel du réseau (pare-feu, routeurs), la sécurité des locaux, les services de réseau (services de catalogue, services de courrier, accès à distance), la documentation et les dossiers du système.

Pour les vérifications sectorielles ou non spécifiques, il est courant de vérifier la taille et l'efficacité des MSI tels que définis dans la norme S17 ou dans le cadre des MSI appartenant à l'organisation (politiques, normes et procédures).

Exécution et 10 activités communes

La traduction officielle de l'activité régulière de l'ensemble du SRAA en 10, essentiellement une feuille de route de l'intégrité:

1. Séance d ' ouverture: Reconnaissance de la couverture, objectifs, produits livrables
2. Planification des projets: Calendrier et calendrier de livraison convenus
3. Préparez-vous à vérifier.: Confirmation des formulaires d'inspection avec les services
4. Préparez-vous à une retraite/récupération: essais techniques tels que balayage des écarts, essais de pénétration, etc.
5. Identification et évaluation des actifsIdentification et évaluation des actifs dans les limites convenues
6. Évaluation des risquesIdentification des risques Analyse des risques Évaluation des risques
7. Livraison du rapport d'évaluation des risques, plan d'élimination des risques, registre des risques du système
8. Rapports à la directionRésultats et conclusions
9. Audit de sécuritéRapport sur les résultats des audits
10. Protection des données et des résultats, plans de suivi, examen des garanties, présentation de rapports de validation, rapports en boucle fermée

Vous pouvez voir,La livraison n'est pas un rapport.Le registre des risques et le plan d'élimination côte à côte de la SRA, les listes de contrôle de conformité et les rapports de vérification de l'AS et, enfin, les rapports de validation pour confirmer les résultats de la révision de chaque découverte en vue de la clôture.

Qui va le faire ? Qu'est-ce qui va se passer ?

Des tiers indépendants sont difficiles à exiger.— Les audits de sécurité doivent être effectués par un tiers indépendant et les recommandations de l'ARS doivent également être adressées à un tiers. Officiellement, les fonctions des consultants/auditeurs sont clairement définies : ils possèdent les compétences et l'expertise nécessaires, ils comprennent l'impact de chaque outil,Avant d'effectuer des tests de piratage, vous devez obtenir une autorisation écrite de parties intéressées telles que le FSI et la police.Que le test soit réussi ou non, le rapport reflète la politique de sécurité et les besoins opérationnels du Département, identifie les risques importants ou les non-conformités, rend compte immédiatement et appuie les preuves sur demande.

La protection des données est un autre point facilement négligé : de grandes quantités de configuration et de données sensibles sont collectées pendant le processus d'évaluation.Nécessité de prévoir des outils de chiffrement et des armoires verrouillables au stade de la planification; les outils d'évaluation seront contrôlés, exploités uniquement par des experts de l'équipe et retirés immédiatement après qu'ils ont été épuisés; les rapports d'évaluation qui ne sont pas autorisés à se rendre avant la modification sont eux-mêmes une menace directe, de sorte que le processus et le rapport final seront strictement confidentiels; et, après achèvement, toutes les informations seront retournées etRetrait de l'accès temporaire accordé aux auditeursJe ne sais pas.

Les services sont fondés sur les principes suivants : fourniture d'informations documentaires telles que cartes de réseau, manuels d'exploitation, listes de contrôle d'accès, politiques/normes/lignes directrices/procédures de sécurité; fourniture d'un soutien par les pairs tels que réseaux, pare-feu, gestion du système; organisation de visites sur place.

Le suivi en vaut la peine.

Il y a une déclaration officielle :La valeur de l'évaluation des risques et de l'audit n'est pas dans les recommandations elles-mêmes, mais dans leur mise en œuvre effective. La direction est responsable de la mise en œuvre lorsque la recommandation est faite; si la décision n'est pas mise en œuvre, le risque correspondant doit être assumé et pleinement justifié. Le suivi est structuré autour de trois domaines de préoccupation : l'efficacité, les qualifications et la rapidité de l'adaptation. Les éléments à haut risque sont modifiés ou renforcés le plus tôt possible et sont prêts pour les procédures de régression.

Quelle est la valeur de référence pour la région non de Hong Kong?

Bien que la SRAA soit le produit du système de gouvernement de Hong Kong, ses squelettes sont communs :Évaluation des risques : risque : audit de sécurité : conformité, vérification séparée, livrable et en boucle ferméeJe ne sais pas. Cet ensemble d'idées et d'évaluations de garantie des équivalents intérieurs, certifications ISO/IEC 27001 sont spirituellement compatibles - d'abord effacer les actifs et ensuite calculer les risques (impact x probabilité x classification du système), puis allouer les ressources à risque et au-dessous, et enfin utiliser un audit indépendant pour confirmer la conformité.

Si votre organisation met en place un cadre de gouvernance de la sécurité, la boucle itérative de l'ensemble d'évaluation-élimination-audit-validation SRAA est un modèle très utile. Surtout celui-là."Registre des risques + plan d'élimination + rapport de validationLes trois ensembles sont beaucoup plus solides que la présentation d'un seul rapport d'essai de perméabilité.

La sécurité n'est pas une évaluation, mais une boucle fermée qui continue de se chevaucher.