एसआरएए पूर्ण नाम: सुरक्षा जोखिम आकलन और लेखा परीक्षा: हांगकांग सरकार का आकलन क्या है?

हांगकांग में, आप कभी भी एक शब्द से नहीं निकलेंगे: एसआरएए। पूर्ण नाम सुरक्षा जोखिम आकलन और सहायताचीनी में, इसे "सुरक्षा जोखिम मूल्यांकन और लेखा परीक्षा" कहा जाता है ("सुरक्षा जोखिम मूल्यांकन और लेखा परीक्षा")। यह एक निर्माता का उत्पाद नहीं है, यह है ...हांगकांग सरकार द्वारा स्थापित सुरक्षा मूल्यांकन और लेखा परीक्षा आवश्यकताओं का अनिवार्य सेटसभी सरकारी विभागों, विभागों / कार्यालयों (B/Ds) और सरकारी वित्त पोषित एजेंसियों को उन्हें लागू करने और स्वतंत्र प्रमाणन रिपोर्ट जमा करने की आवश्यकता है।

यह आवश्यकताओं का सेट डिजिटल पॉलिसी कार्यालय, डीपीओ, पूर्व में ओजीसीआईओ, सुरक्षा जोखिम आकलन और लेखा परीक्षा के लिए अभ्यास गाइड (No) के कार्यालय पर आधारित है। ISPG-SM01साथ में दस्तावेजों में बेसलाइन आईटी सुरक्षा नीति [S17] और आईटी सुरक्षा दिशानिर्देश [G3] भी शामिल हैं। नवीनतम संस्करण अगस्त 2026 में प्रकाशित, v2.2एक "SRAA प्रक्रिया और डिलिवरी बेसलाइन चेक शीट" जोड़ा गया था।

इसके मानक संदर्भ भी स्थिति के संकेत हैं: आईएसओ / आईईसी 27000, 27001, 70002, 27005, आईएसओ 31000: 2018 जोखिम प्रबंधन दिशानिर्देश, और NISTIR 8286 (Incorporating Cybersecurity in Enterprise जोखिम प्रबंधन (ERM)). दूसरे शब्दों में,एसआरएए अंतरराष्ट्रीय मानकों को स्थानीय बनाने के लिए एक सरकारी स्तर का ढांचा हैमुझे नहीं पता।

SRA और SA के बीच भेदभाव

बहुत से लोग SRAA को एक चीज के रूप में लेते हैं, लेकिन यह दो चीजों का संयोजन है जो पूरी तरह से अलग हैं:

सुरक्षा जोखिम आकलन (SRA)स्वीकार्य स्तरों के जोखिम को कम करने के लिए सुरक्षा जोखिमों की पहचान, विश्लेषण, मूल्यांकन और निपटान उपायों की पहचान। परिप्रेक्ष्य है:जोखिम"निर्धारण का दायरा अनिवार्य रूप से सुरक्षा नीति से जुड़ा नहीं है।
सुरक्षा लेखा परीक्षा (एसए, सुरक्षा लेखा परीक्षा)लेखा परीक्षा बनाम सुरक्षा नीति / मानकअनुपालन का स्तर, सत्यापित करें कि मौजूदा सुरक्षात्मक उपायों को सही ढंग से लागू किया गया है। परिप्रेक्ष्य है:अनुपालन"S17, G3 या क्षेत्र की अपनी सुरक्षा नीति के विपरीत।

आधिकारिक ने हमें एक तुलनात्मक तालिका दी जिसने अंतर को पूरी तरह साफ़ कर दिया:

इसे देखें।SRA एक जोखिम परिप्रेक्ष्य है; SA एक अनुपालन परिप्रेक्ष्य है
पार्टीSRAs का आकलन विभाग (स्वयं आकलन) या तीसरे पक्ष द्वारा किया जा सकता है;एसए एक स्वतंत्र तीसरे पक्ष द्वारा किया जाना चाहिए
मुख्य प्रसवSRA समर्पणजोखिम पंजीकरण + जोखिम निपटान उपायSorry; Sorry.अनुपालन चेकलिस्ट
समय: विकास जीवन चक्र में नई प्रणाली (एसडीएलसी)प्रारंभ करनाक्या SRA; पहले से ही ऑनलाइन सिस्टम नियमित रूप से पूरे जीवन चक्र में किए जाते हैं, या जब आईटी वातावरण में महत्वपूर्ण परिवर्तन होते हैं

सबसे आम गलत धारणाओं में से तीन।

ISPG-SM01, संस्करण 2.0 (अप्रैल 2024) से, विशेष रूप से कुछ व्यापक रूप से साझा गलत धारणाओं को स्पष्ट किया गया है जिसे इस व्यवसाय में सुना जाना चाहिए:

गलतफहमी एक: SRA और SA इसे एक साथ करना चाहिए, एक "दो-इन-वन" रिपोर्ट तैयार करना चाहिए।रोंग दोनों की प्रकृति अलग है, जैसा कि प्रवर्तन पार्टी (एसए एक स्वतंत्र तीसरे पक्ष होना चाहिए) की आवश्यकता है, जिसे अलग से किया जा सकता है।
Misunderstanding 2: A SRAA गतिविधि SDLC में जोखिम पहचान और अनुपालन जांच दोनों को कवर कर सकती है।रोंग ये दो अलग-अलग प्रकार के काम हैं।
Misunderstanding तीन: SRAA एक लीक स्कैन या पैठ परीक्षण है।गलत.घुसपैठ परीक्षण SRA में तकनीकी अंतराल परीक्षण का सिर्फ हिस्सा हैं।स्वयं SRAA नहीं। कई परामर्श फर्मों ने अपने सेवा विवरणों को याद किया है, यह कहते हुए कि "SRAs में आमतौर पर प्रवेश परीक्षण शामिल होता है।

यह स्पष्ट करने के लिए महत्वपूर्ण है - क्योंकि यदि आप SRAA तैयार करने के लिए ऑसिलेशन टेस्ट का उपयोग करने जा रहे हैं, तो यह शुरुआत की दिशा में रहा है।

SRA कैसे: चार कदम

सिस्टम स्तर पर सुरक्षा जोखिम मूल्यांकन चार चरण की मुख्य लाइन पर आधारित है और सिस्टम जोखिम रजिस्टर की जमाव के साथ समाप्त होता है:

जोखिम पहचान हाँ। जोखिम विश्लेषण हाँ। जोखिम मूल्यांकन हाँ। जोखिम निपटान

जोखिम की परिभाषा सीधा है:जोखिम = खतरे x लूपहोल x प्रभावमुझे नहीं पता। थ्रेट व्यक्तिगत, संगठनात्मक या यहां तक कि पर्यावरणीय परिस्थितियों से आ सकते हैं, जिससे अनधिकृत पहुँच, सूचना विनाश/पर्यावरण या सेवाओं का डैनियल हो सकता है; लूपहोल सुरक्षा प्रणाली में कमजोरी या अंतराल होते हैं जिन्हें खतरों से शोषण किया जा सकता है।

जोखिम पहचान चरण में क्षेत्रों की एक विस्तृत श्रृंखला शामिल है, जिसमें 10 आधिकारिक आइटम शामिल हैं: मानव संसाधन सुरक्षा, परिसंपत्ति प्रबंधन, अभिगम नियंत्रण, पासवर्ड, भौतिक और पर्यावरण सुरक्षा, परिचालन सुरक्षा, संचार सुरक्षा, सिस्टम खरीद विकास और रखरखाव, आउटसोर्स सुरक्षा और व्यापार निरंतरता आईटी सुरक्षा। पहचान प्रक्रिया को दो उप-प्रक्रियाओं में विभाजित किया गया है:

सूचना प्रणाली मान्यता: क्षेत्राधिकार के भीतर सभी सूचना प्रणाली, धन के स्रोत के बावजूद, हटाया और कार्यान्वित किया जाता है।संपत्ति की सूची और मूल्यांकनमुझे नहीं पता। परिसंपत्ति मूल्य की तीन श्रेणियां हैं - भौतिक मूल्य (उपकरण / सॉफ्टवेयर / डेटा / दस्तावेज / कर्मियों की प्रतिस्थापन लागत), अमूर्त मूल्य (अच्छा, सेवा की गुणवत्ता), सूचना मूल्य (CIA III + डेटा वर्गीकरण)।
जोखिम दृश्य मान्यता• जोखिम, कारणों और घटनाओं, खतरों और अवसरों, पाशहोल और क्षमताओं के स्रोतों पर विचार करें, आंतरिक और बाहरी वातावरण में परिवर्तन, उभरते जोखिम संकेतक, परिसंपत्तियों की प्रकृति और मूल्य, परिणाम और प्रभाव, ज्ञान सीमाओं और सूचना की विश्वसनीयता, समय कारकों आदि।

पहचान के दौरान एकत्र की गई जानकारी भी विशिष्ट है: सुरक्षा आवश्यकताओं और उद्देश्यों; सिस्टम/नेटवर्क संरचनाएं और स्केल-अप मानचित्र; कमरे के भौतिक वातावरण के अनुपालन का सबूत; खुली खोज योग्य जानकारी; भौतिक संपत्ति; ऑपरेटिंग सिस्टम और नेटवर्क प्रबंधन प्रणाली; डेटाबेस और दस्तावेज़; अनुप्रयोग और सर्वर जानकारी; नेटवर्क प्रोटोकॉल और सेवाएं; अभिगम नियंत्रण उपाय; विभिन्न ऑपरेटिंग प्रक्रियाएं; पहचान तंत्र; नियामक अनुबंध आवश्यकताओं; नीति दिशानिर्देश; प्रणाली वर्गीकरण.

किससिस्टम समीक्षापर ध्यान केंद्रित करें: सिस्टम फ़ाइलों और लॉग, चल रही प्रक्रियाओं, एक्सेस कंट्रोल फ़ाइलों, उपयोगकर्ता सूचियों, विन्यास सेटिंग्स, पैच स्तर, एन्क्रिप्शन या प्रमाणीकरण उपकरण, वेब पाइप उपकरण, लॉग, या घुसपैठ का पता लगाने के उपकरण - जबकि किसी भी असामान्य गतिविधि जैसे घुसपैठ प्रयास पर नजर रखते हैं।

जब आवश्यक हो तो क्या करें।तकनीकी अंतराल परीक्षणगैप स्कैनिंग, घुसपैठ परीक्षण, विन्यास समीक्षा, स्रोत स्कैनिंग।मुख्य परिसरऐसा करने से पहले, आकलन टीम को इस दायरे, संभावित प्रभाव, बैक / रिकवरी प्रक्रिया पर विभाग के साथ सहमत होना चाहिए; यदि टीयर 2 और ऊपर शामिल है, तो संदर्भ को बिजनेस निरंतरता योजना (BCP) और आपदा रिकवरी योजना (DRP) में बनाया जाना चाहिए। गैप स्कैन नेटवर्क लेयर डिटेक्शन / डिस्कवरी, मेनफ्रेम लूपहोल परीक्षण, सिस्टम / एप्लिकेशन (वेब सहित) स्कैन को कवर करता है और सत्यापित करता है कि GovCERT.HK द्वारा जारी प्रासंगिक सुरक्षा घोषणाओं को भरा या मुआवजा दिया गया है।

जोखिम की गणना कैसे करें: स्तर 3 मैट्रिक्स

आकलन करने के लिए जोखिम विश्लेषणप्रभावऔरसंभवहमें उन्हें पहचानने की आवश्यकता है।मौजूदा नियंत्रणऔर उनकी प्रभावशीलता का आकलन करें। नियंत्रण तीन श्रेणियों में आते हैं: तकनीकी नियंत्रण (फ़ायरवॉल, एन्क्रिप्शन, दुर्भावनापूर्ण सॉफ्टवेयर, एक्सेस कंट्रोल), भौतिक नियंत्रण (CCTV, डोर-बारेल, फायर प्रोटेक्शन, भौतिक डेटा विनाश), प्रबंधन नियंत्रण (आपातकालीन प्रतिक्रिया योजना, स्टाफ सुरक्षा प्रशिक्षण, डेटा गोपनीयता नीति, आपदा तैयारी योजना)।

विश्लेषणात्मक तरीके गुणात्मक और मात्रात्मक हैं, और मैट्रिक्स दृष्टिकोण में भी इस्तेमाल किया जा सकता है। एक व्यावहारिक सूत्र है:

जोखिम स्तर = प्रभाव x संभावना x प्रणाली पदानुक्रम (टियर)

प्रत्येक मूल्य 3-high / 2-m / मध्यम / 1-low, गुणा रेंज 1 से 27:18-27 उच्च जोखिम, 9-17 मध्यम जोखिम, 1-8 कम जोखिममुझे नहीं पता। और...भिन्न टियर सिस्टम में अपना जोखिम मैट्रिक्स होता है।- समान "मध्यम संभावना + उच्च प्रभाव": टीयर 1 जोखिम की गणना करता है, टीयर 2 भले ही यह उच्च जोखिम हो, टीयर 3 अधिक उच्च जोखिम है। सिस्टम के उच्च पदानुक्रम, त्रुटियों के लिए अंतरिक्ष छोटा।

सरकार ने दो तकनीकों को भी दिया:पिछली घटनाओं के आधार पर(सुरक्षा घटना रिपोर्ट, उद्योग साहित्य, सेवा प्रदाताओं द्वारा ऐतिहासिक लीक से बचाव);तीन बिंदु अनुमान विधि(तीन-पॉइंट एडमिनिस्ट्रेशन) जो विशेषज्ञों को सबसे आशावादी O, सबसे अधिक संभावना M, और सबसे निराशावादी P मान देने की अनुमति देता है, क्रमशः, औसत की एक triangulation के साथ। यदि P और O बहुत दूर हैं, तो M अधिक विश्वसनीय है, M को भारित किया जा सकता है (जैसे चार बार वजन)।

कैसे: अनुपालन

सुरक्षा लेखा परीक्षा एक अन्य लाइन का पालन करें: दस्तावेज़ समीक्षा, साइट विज़िट, बहुस्तरीय साक्षात्कार, पैनल चर्चा, प्रश्नावली आदि के माध्यम से S17 और विभागीय सुरक्षा नीतियों के खिलाफ अनुपालन की जांच। लेखा का दायरा होना चाहिएलेखा परीक्षकों के साथ विशिष्ट और पूर्व समझौतेउदाहरण आधिकारिक तौर पर दिए गए हैं इंटरनेट सुरक्षा, इंट्रानेट सुरक्षा, टियर 2 सूचना प्रणाली, मेनफ्रेम सुरक्षा, नेटवर्क सर्वर सुरक्षा (वेब / मेल सर्वर, आदि), नेटवर्क घटकों और उपकरणों (फ़ायरवॉल, रूटर), कमरे की सुरक्षा, नेटवर्क सेवाओं (catalogue सेवाओं, मेल सेवाओं, रिमोट एक्सेस), सिस्टम प्रलेखन और रिकॉर्ड शामिल हैं।

क्षेत्र स्तर या गैर विशिष्ट लेखा परीक्षा के लिए, S17 या संगठन के स्वामित्व वाले ISM ढांचे (राजनीति / मानक / प्रक्रिया) में परिभाषित ISM के आकार और प्रभावशीलता का परीक्षण करना सामान्य अभ्यास है।

वितरण और 10 सामान्य गतिविधियों

पूरे एसआरएए की नियमित गतिविधि का आधिकारिक अनुवाद 10 में, मूल रूप से अखंडता का एक सड़क मानचित्र:

उद्घाटन सत्र: कवरेज, उद्देश्यों, प्रसव की मान्यता
परियोजना योजनाAgreed प्रसव अनुसूची और अनुसूची
जांच करने के लिए तैयार हो जाओ।: विभागों के साथ निरीक्षण रूपों की पुष्टि
वापसी/प्राप्ति के लिए तैयारी: तकनीकी परीक्षण जैसे अंतराल स्कैनिंग, प्रवेश परीक्षण आदि।
परिसंपत्ति पहचान और मूल्यांकन: सहमत सीमा के भीतर परिसंपत्तियों की पहचान और मूल्यांकन
जोखिम मूल्यांकनजोखिम पहचान विश्लेषण जोखिम मूल्यांकन
SRA रिपोर्ट, जोखिम निपटान योजना, सिस्टम जोखिम रजिस्टर
प्रबंधन की रिपोर्टपरिणाम और निष्कर्ष
सुरक्षा लेखा परीक्षालेखा परीक्षा परिणाम पर रिपोर्ट
डेटा और परिणाम संरक्षण, अनुवर्ती योजना, सुरक्षा समीक्षा, सत्यापन रिपोर्ट की डिलीवरी, बंद लूप रिपोर्टिंग

आप देख सकते हैं,डिलिवरी एक रिपोर्ट नहीं है।SRA साइड-टू-साइड जोखिम रजिस्टर और निपटान योजना, SA साइड-टू-साइड अनुपालन चेकलिस्ट और लेखा परीक्षा रिपोर्ट और अंत में, समापन के लिए प्रत्येक खोज के ओवरहाल परिणामों की पुष्टि करने के लिए सत्यापन रिपोर्ट।

यह कौन है? क्या होता है?

स्वतंत्र तीसरे पक्ष की मांग करना मुश्किल है।- एक स्वतंत्र तीसरे पक्ष द्वारा सुरक्षा लेखा परीक्षा आयोजित की जानी चाहिए और SRA सिफारिशों को तीसरे पक्ष को भी संबोधित किया जाना चाहिए। आधिकारिक तौर पर, सलाहकार/ऑडिक्टरों के कर्तव्यों को स्पष्ट रूप से परिभाषित किया गया है: उनके पास आवश्यक कौशल और विशेषज्ञता है, वे प्रत्येक उपकरण के प्रभाव को समझते हैं।हैक परीक्षण करने से पहले, आपको आईएसपी और पुलिस जैसे इच्छुक पार्टियों से लिखित प्राधिकरण प्राप्त करना होगा।चाहे परीक्षण सफल हो, रिपोर्ट विभाग की सुरक्षा नीति और परिचालन जरूरतों को दर्शाती है, महत्वपूर्ण जोखिमों या गैर-अनुरूपता की पहचान करती है, तुरंत रिपोर्ट करती है और मांग पर सबूत का समर्थन करती है।

डेटा संरक्षण एक अन्य आसानी से उपेक्षा बिंदु है: आकलन प्रक्रिया के दौरान विन्यास और संवेदनशील डेटा की बड़ी मात्रा एकत्र की जाती है।योजना चरण में एन्क्रिप्शन उपकरण और लॉक करने योग्य अलमारियाँ की व्यवस्था की आवश्यकता हैमूल्यांकन उपकरण को नियंत्रित किया जाएगा, केवल टीम विशेषज्ञों द्वारा संचालित किया जाएगा और तुरंत हटा दिया गया है जब वे थक गए हैं; आकलन रिपोर्ट जो संशोधन से पहले यात्रा करने के लिए अधिकृत नहीं हैं, वे स्वयं एक प्रत्यक्ष खतरा हैं, इसलिए प्रक्रिया और अंतिम रिपोर्ट सख्ती से गोपनीय होगी; और पूरा होने के बाद, सभी जानकारी वापस कर दी जाएगी और तुरंत हटा दी जाएगी।लेखा परीक्षकों को दी गई अस्थायी पहुंच की वापसीमुझे नहीं पता।

सेवाओं पर premised कर रहे हैं: इस तरह के नेटवर्क मैप्स, ऑपरेटिंग मैनुअल, एक्सेस कंट्रोल सूचियों, सुरक्षा नीतियों/मानकों/guidelines/procedures के रूप में प्रलेखन जानकारी का प्रावधान; नेटवर्क, फ़ायरवॉल, सिस्टम प्रबंधन जैसे सहकर्मी समर्थन का प्रावधान; और साइट विज़िट के संगठन।

इसके लायक है।

एक आधिकारिक बयान है:" जोखिम मूल्यांकन और लेखा परीक्षा का मूल्य स्वयं अनुशंसाओं में नहीं है, बल्कि उनके प्रभावी कार्यान्वयन में है। जब सिफारिश की जाती है तो प्रबंधन कार्यान्वयन के लिए जिम्मेदार है; यदि निर्णय लागू नहीं किया जाता है, तो संबंधित जोखिम को पूरी तरह से उचित माना जाना चाहिए। अनुवर्ती को चिंता के तीन क्षेत्रों के आसपास संरचित किया गया है: प्रभावशीलता, योग्यता और अनुकूलन की समयसीमा। उच्च जोखिम आइटम जल्द से जल्द संशोधित या प्रबलित होने के लिए पाए जाते हैं और प्रतिगमन प्रक्रियाओं के लिए तैयार होते हैं।

गैर हांगकांग क्षेत्र के लिए संदर्भ मूल्य क्या है?

हालांकि एसआरएए सरकार की हांगकांग प्रणाली का एक उत्पाद है, इसके कंकाल आम हैं:जोखिम मूल्यांकन "जोखिम", सुरक्षा लेखा परीक्षा" अनुपालन, दोनों अलग, वितरण योग्य और बंद लूप सत्यापनमुझे नहीं पता। विचारों और अंतर्देशीय समतुल्य वारंटी आकलन के इस सेट, ISO/IEC 27001 प्रमाणपत्र आध्यात्मिक रूप से संगत हैं - पहले परिसंपत्तियों को साफ़ करें और फिर जोखिमों की गणना करें (impact x probability x सिस्टम वर्गीकरण), फिर संसाधनों को जोखिम और नीचे आवंटित करें और अंत में अनुपालन की पुष्टि करने के लिए स्वतंत्र ऑडिट का उपयोग करें।

यदि आपका संगठन एक सुरक्षा प्रशासन ढांचे की स्थापना कर रहा है, तो SRAA आकलन-डिस्पोजल-ऑडिट-वैलिडेशन सेट का इटैरेटिव लूप एक बहुत ही उपयोगी टेम्पलेट है। विशेष रूप से एक।जोखिम रजिस्टर + निपटान योजना + सत्यापन रिपोर्ट"केवल एक पारगम्यता परीक्षण रिपोर्ट प्रस्तुत करने की तुलना में तीन सेट अधिक ठोस होते हैं।

सुरक्षा मूल्यांकन नहीं है, लेकिन एक बंद लूप जो ओवरलैप जारी है।