Apa penilaian pemerintah Hong Kong?

Di Hong Kong, Anda tidak akan pernah bisa lolos dengan satu kata: Nama lengkap Perakit dan Bantuan Resiko KeamananDi Cina, ini disebut "penilaian risiko keamanan dan audit" (juga diterjemahkan sebagai "penilaian risiko keamanan dan audit"). Ini bukan produk dari produsen, itu...Sebuah set wajib penilaian keamanan dan audit persyaratan didirikan oleh Pemerintah Hong KongSemua departemen pemerintah, departemen / kantor (B / D) dan pemerintah yang didanai diperlukan untuk mengimplementasikan mereka dan mengajukan laporan sertifikasi independen.

Persyaratan ini didasarkan pada Kantor Kebijakan Digital, DPO, sebelumnya OGCIO, Mempraktekkan Panduan untuk Keamanan Resiko Assembly & Audit (Tidak. SLEG-SM01Dokumen-dokumen yang menyertai termasuk Kebijakan Keamanan IT Baseline [S17] dan Panduan Keamanan IT [G3]. Edisi terbaru diterbitkan pada Agustus 2026, v2.2A "SRAA Proses dan Pengiriman Baseline Sheet Cek" ditambahkan.

Referensi normalnya juga mengindikasikan posisi: ISO / IEC 27000, 27001, 70002, 27005, ISO 31000: 2018 pedoman manajemen risiko, dan NISTIR 8286 (menggabungkan keamanan cyber ke manajemen risiko perusahaan (ERM). Dengan kata lain,SRAA adalah kerangka tingkat pemerintahan untuk lokalisasi standar internasionalAku tidak tahu.

Mengabaikan antara SRA dan SA

Banyak orang mengambil SRAA sebagai satu hal, tapi kombinasi dari dua hal yang sama sekali berbeda:

• Keamanan Risk Assession (SRA)Identifikasi, analisis, penilaian risiko keselamatan dan identifikasi tindakan pembuangan untuk mengurangi risiko ke tingkat yang dapat diterima. Perspektifnya adalah:Risiko"Ruang lingkup penilaian tidak selalu berhubungan dengan kebijakan keamanan.
• Audit Keamanan (SA, audit keamanan)Audit versus kebijakan keamanan / standarTingkat kepatuhan, verifikasi bahwa tindakan pelindung yang ada diimplementasikan dengan benar. Perspektifnya adalah:Pujian"Berbeda dengan S17, G3 atau kebijakan keamanan sektor sendiri.

Pejabat memberi kita tabel perbandingan yang membuat perbedaan yang sangat jelas:

• Awas.SRA adalah perspektif risiko; SA adalah perspektif kepatuhan
• Menjalankan PartaiSRAs dapat dinilai oleh departemen itu sendiri (penilaian diri) atau pihak ketiga;SA harus dilakukan oleh pihak ketiga independen
• Pengantar kunciSRA menyerahResiko register + tindakan pembuangan resiko; SA menyerahDaftar cek compliance
• Waktu: sistem baru dalam siklus kehidupan pengembangan (SDLC)MulaiDo SRA; sistem online secara teratur dilakukan sepanjang siklus kehidupan, atau ketika perubahan signifikan terjadi di lingkungan IT

Tiga dari kesalahpahaman yang paling umum.

STAG-SM01, dari Versi 2.0 (April 2024), secara khusus telah mengklarifikasi beberapa kesalahpahaman bersama yang seharusnya telah didengar dalam bisnis ini:

• Salah paham satu: SRA dan SA harus melakukannya bersama-sama, menghasilkan laporan "dua-in-satu".Salah. Sifat dari keduanya berbeda, sebagaimana persyaratan partai penegakan (SA harus menjadi independen pihak ketiga), yang dapat dilakukan secara terpisah.
• Salah paham 2: aktivitas SRAA dapat mencakup kedua identifikasi risiko dan pemeriksaan kepatuhan di SDLC.Salah. Ini adalah dua jenis pekerjaan yang berbeda.
• SRAA adalah scan kebocoran atau tes penetrasi.Yang paling salah.Tes penyaringan hanya bagian dari tes kesenjangan teknis di SRA.Tidak SRAA itu sendiri. Banyak perusahaan konsultan telah salah eja deskripsi layanan mereka, mengatakan bahwa "SRAs biasanya termasuk pengujian penetrasi".

Sangat penting untuk membuat ini jelas -- karena jika Anda akan menggunakan Tes Osilasi untuk mempersiapkan SRAA, itu sudah berada di arah awal.

SRA How: Empat Langkah

Penilaian risiko keamanan pada tingkat sistem didasarkan pada baris utama four- step dan berakhir dengan deposisi sistem risiko register:

Identifikasi Resiko Ya. Analisis Resiko Ya. Evaluasi Resiko Ya. Risk Disposal

Definisi risiko adalah sederhana:Resiko = ancaman x celah x dampakAku tidak tahu. Ancaman mungkin berasal dari individu, organisasi atau bahkan kondisi lingkungan, mengarah ke akses yang tidak sah, kehancuran informasi / perubahan atau penyangkalan layanan; celah adalah kelemahan atau celah dalam sistem keamanan yang dapat dimanfaatkan oleh ancaman.

Fase identifikasi risiko mencakup berbagai daerah, dengan 10 barang resmi: keamanan sumber daya manusia, manajemen aset, kontrol akses, password, fisik dan lingkungan, keamanan operasional, keamanan komunikasi, pengembangan sistem dan pemeliharaan, keamanan outsourced, dan keamanan IT berkelanjutan. Proses identifikasi dibagi menjadi dua sub- proses:

• Pengenalan sistem informasi: semua sistem informasi dalam yurisdiksi, terlepas dari sumber dana, dihapus dan diimplementasikanDaftar dan penilaian asetAku tidak tahu. Ada tiga kategori nilai aset - nilai fisik (peralatan / perangkat lunak / data / dokumentasi / penggantian biaya personil), nilai tak berwujud (barang, kualitas layanan), nilai informasi (CIA III + klasifikasi data).
• Resiko pengenalan adeganPertimbangkan sumber risiko, sebab dan peristiwa, ancaman dan kesempatan, celah dan kemampuan, perubahan dalam internal dan lingkungan eksternal, muncul indikator risiko, alam dan nilai aset, konsekuensi dan dampak, keterbatasan pengetahuan dan kemampuan pengetahuan dari informasi, faktor waktu, dll.

Informasi yang dikumpulkan selama proses identifikasi juga spesifik: kebutuhan keamanan dan tujuan; struktur sistem / jaringan dan skala - peta; bukti keterlibatan dengan lingkungan fisik kamar; membuka informasi yang dapat dicari; aset fisik; sistem operasi dan manajemen jaringan; database dan dokumen; aplikasi dan informasi server; protokol jaringan dan layanan; akses langkah-langkah; berbagai proses operasi; mekanisme identifikasi; kontrak regulasi; pedoman kebijakan; sistem klasifikasi.

yangReview sistemFokus pada: Berkas sistem dan log, proses yang sedang berjalan, berkas kendali akses, daftar pengguna, pengaturan konfigurasi, tingkat patch, perangkat enkripsi atau otentikasi, alat pipa web, log, atau alat pendeteksi penyusup - ketika mengawasi aktivitas apapun yang tidak biasa seperti percobaan gangguan.

Lakukan ketika diperlukan.Uji kesenjangan teknisPemindaian Gap, pengujian infiltrasi, ulasan konfigurasi, pemindaian sumber.Tempat kunciSebelum melakukannya, tim penilaian harus setuju dengan departemen pada lingkup, dampak yang mungkin, proses pemulihan kembali / pemulihan; jika Tier 2 dan di atas terlibat, referensi harus dibuat untuk Bisnis Continuity Plan (BCP) dan Bencana Recovery Plan (DRP). Gap scan penutup lapisan jaringan deteksi / penemuan, mainframe celah pengujian, sistem / aplikasi (termasuk Web) scan dan memverifikasi bahwa pengumuman keamanan yang relevan dikeluarkan oleh GovCERTHK telah diisi atau kompensasi.

Bagaimana menghitung resiko: Matrix Level 3

Analisis resiko untuk menilaiDampakdanMungkinKita perlu mengidentifikasi mereka.Kendali yang adaDan menilai efektivitas mereka. Kontrol jatuh ke dalam tiga kategori: kontrol teknis (firewall, enkripsi, perangkat lunak berbahaya, kendali akses), kontrol akses fisik (CCTV, pintu - barrel, perlindungan kebakaran, kerusakan data fisik), kontrol manajemen (rencana darurat, pelatihan keselamatan staf, kebijakan privasi data, rencana persiapan bencana).

Metode analitis adalah kualitatif dan kuantitatif, dan juga dapat digunakan dalam pendekatan matriks. Formula praktis adalah:

Tingkat resiko = dampak tingkat x probabilitas x sistem hirarki (Tier)

Masing-masing mengambil nilai 3- tinggi / 2-m / sedang / 1 -low, kalikan jangkauan 1 sampai 27:18-27 resiko tinggi, 9-17 resiko sedang, 1-8 resiko rendahAku tidak tahu. Dan...Berbeda Sistem listrik memiliki matriks risiko mereka sendiri.- Sama "probabilitas menengah + dampak tinggi": Tier 1 menghitung risiko, Tier 2 bahkan jika beresiko tinggi, Tier 3 lebih beresiko tinggi. Semakin tinggi hirarki sistem, semakin kecil ruang untuk kesalahan.

Pemerintah juga memberikan dua teknik:Berdasarkan peristiwa masa lalu(Referensi terhadap laporan insiden keamanan, sastra industri, kebocoran sejarah oleh penyedia layanan);Tiga - titik metode estimasi(Tiga - Point Administrasi) yang memungkinkan para ahli untuk memberikan yang paling optimis O, kemungkinan M, dan nilai-nilai P paling pesimis, secara terhormat, dengan triangulasi rata-rata. Jika P dan O terlalu jauh, M lebih dapat diandalkan, M dapat ditimbang (misalnya berat badan empat kali).

Kepuasan

Audit keamanan mengikuti baris lain: pemeriksaan kepatuhan terhadap S17 dan kebijakan keamanan departemen melalui ulasan dokumen, kunjungan situs, wawancara multilevel, diskusi panel, kuesioner, dll. Pemeriksaan audit harusKesepakatan khusus dan sebelum dengan auditContoh resmi diberikan termasuk keamanan Internet, keamanan Intranet, sistem informasi Tier 2, keamanan mainframe, keamanan server jaringan (Web / mail server, dll), komponen jaringan dan peralatan (firewall, router), keamanan kamar, layanan jaringan (katalog layanan pesan, layanan, akses jarak jauh), dokumentasi sistem dan catatan.

Untuk audit sector-level atau non-spesifik, adalah praktek umum untuk mengaudit ukuran dan efektivitas ISM sebagaimana didefinisikan dalam S17 atau organisasi-dimiliki ISM (kebijakan / standar / prosedur).

Pengiriman dan 10 kegiatan umum

Terjemahan resmi dari aktivitas reguler dari seluruh SRAA menjadi 10, pada dasarnya peta jalan integritas:

1. Membuka sesi: Pengakuan cakupan, tujuan, pengantar
2. Proyek perencanaan: Jadwal pengiriman dan jadwal setuju
3. Dapatkan siap untuk memeriksa.: Konfirmasi dari formulir inspeksi dengan departemen
4. Bersiap untuk mundur / pemulihan: test teknis seperti gap scan, penetrasi pengujian, dll.
5. Aset identifikasi dan valuasi: Identifikasi dan penilaian aset dalam batas yang disepakati
6. Penilaian resikoEvaluasi Risk Risk ID
7. Pengiriman SRA laporan, risiko rencana pembuangan, sistem risiko register
8. Melaporkan ke manajemenHasil dan temuan
9. Audit keamananLaporkan hasil audit
10. Data dan hasil perlindungan, mengikuti-up rencana, tinjauan keamanan, pengiriman laporan validasi, loop tertutup pelaporan

Anda dapat melihat,Pengiriman bukan laporan.SRA side-to-side risiko register dan rencana pembuangan, SA side-to-side compliance checklist dan audit laporan dan, akhirnya, validasi laporan untuk mengkonfirmasi hasil overhaul dari setiap penemuan untuk penutupan.

Siapa yang akan melakukannya? Apa yang akan terjadi?

Pihak ketiga independen sulit untuk menuntut.- Audit Keamanan harus dilakukan oleh pihak ketiga independen dan rekomendasi SRA juga harus ditujukan kepada pihak ketiga. Secara resmi, tugas konsultan / audit jelas didefinisikan: mereka memiliki keterampilan dan keahlian yang diperlukan, mereka memahami dampak dari setiap alat,Sebelum melakukan tes peretasan, kau harus mendapatkan otorisasi tertulis dari pihak-pihak yang tertarik seperti ISP dan polisi.Apakah tes berhasil atau tidak, laporan tersebut mencerminkan kebijakan keamanan dan kebutuhan operasional departemen, mengidentifikasi risiko yang signifikan atau ketidakteraturan, laporan segera, dan mendukung bukti sesuai permintaan.

Perlindungan data adalah titik lain yang dengan mudah diabaikan: sejumlah besar konfigurasi dan data sensitif dikumpulkan selama proses penilaian.Perlu mengatur untuk perangkat enkripsi dan lemari terkunci pada tahap perencanaan; alat penilaian akan dikendalikan, hanya dioperasikan oleh para ahli tim dan dihapus segera setelah mereka telah habis; laporan penilaian yang tidak berwenang untuk mengunjungi sebelum modifikasi adalah sendiri ancaman langsung, sehingga proses dan laporan akhir akan sangat rahasia; dan, setelah selesai, semua informasi akan dikembalikan danPenarikan akses sementara diberikan kepada auditAku tidak tahu.

Layanan-layanan tersebut diutamakan: penyediaan informasi dokumentasi seperti peta jaringan, manual, daftar kendali akses, daftar kebijakan keamanan / standar / pedoman / prosedur; penyediaan dukungan sesama seperti jaringan, firewall, manajemen sistem; dan organisasi kunjungan situs.

Mengikuti itu sepadan.

Ada pernyataan resmi:"Nilai penilaian risiko dan audit tidak dalam rekomendasi sendiri, tetapi dalam implementasi efektif mereka". Manajemen bertanggung jawab untuk implementasi ketika rekomendasi dibuat; jika keputusan tidak diimplementasikan, risiko yang sesuai harus diasumsikan dan sepenuhnya dibenarkan. The follow- up terstruktur sekitar tiga daerah keprihatinan: efektivitas, kualifikasi dan jadwal adaptasi. Item resiko tinggi ditemukan dimodifikasi atau diperkuat sesegera mungkin dan siap untuk prosedur regresi.

Apa nilai referensi untuk daerah tidak-Hong Kong?

Meskipun SRAA adalah produk dari sistem pemerintahan Hong Kong, kerangkanya umum:Penilaian resiko "risiko", audit keamanan "kepatuhan, baik terpisah, dapat dilepaskan dan tertutup loop verifikasiAku tidak tahu. Ini set ide dan lahan ekuivalen garansi penilaian, ISO / IEC 27001 sertifikat adalah kompatibel spiritual - pertama jelas aset dan kemudian menghitung risiko (dampak klasifikasi x probabilitas), kemudian mengalokasikan sumber daya pada risiko dan di bawah, dan akhirnya menggunakan audit independen untuk mengkonfirmasi complication.

Jika organisasi Anda sedang menyiapkan kerangka pemerintahan keamanan, loop iteratif dari penilaian SRAA - yang praktis - validasi set adalah template yang sangat berguna. Terutama yang itu ".Resiko register + rencana pembuangan + laporan validasi"Ketiga set jauh lebih solid daripada penyerahan hanya satu laporan tes permeabilitas.

Keamanan bukan evaluasi, tapi lingkaran tertutup yang terus tumpang tindih.