SRAA Nome completo: Valutazione del rischio di sicurezza e Audit: Qual è il governo di Hong Kong valutare?

A Hong Kong, non riuscirai mai a scappare con una sola parola: SRAA. Nome completo Valutazione del rischio di sicurezza e aiutoIn cinese, si chiama “valutazione del rischio di sicurezza e audit” (tradotto anche come “valutazione del rischio di sicurezza e audit”). Non è un prodotto di un produttore, è...Un insieme obbligatorio di valutazione della sicurezza e requisiti di audit stabiliti dal governo di Hong KongTutti i dipartimenti governativi, i dipartimenti/ufficiali (B/D) e le agenzie finanziate dal governo sono tenuti a implementarli e a presentare rapporti di certificazione indipendenti.

Questo insieme di requisiti si basa sull'Ufficio delle politiche digitali, DPO, precedentemente OGCIO, Guida pratica per la valutazione del rischio di sicurezza & Audit (n. ISPG-SM01I documenti di accompagnamento includono anche Baseline IT Security Policy [S17] e IT Security Guidelines [G3]. L'ultima edizione pubblicata nell'agosto 2026, Voce principaleÈ stato aggiunto un “Strumento di controllo base di processo e di consegna RSA”.

I suoi riferimenti normativi sono anche indicativi di posizionamento: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 linee guida per la gestione dei rischi, e NISTIR 8286 (incorporando la sicurezza informatica nella gestione dei rischi aziendali (ERM)). In altre parole,SRAA è un quadro governativo per la localizzazione degli standard internazionaliNon lo so.

Distinguere tra SRA e SA

Molte persone prendono SRAA come una cosa, ma è una combinazione di due cose che sono completamente diverse:

• Valutazione del rischio di sicurezza (SRA)Identificazione, analisi, valutazione dei rischi di sicurezza e identificazione delle misure di smaltimento per ridurre i rischi a livelli accettabili. La prospettiva è:Rischio“La portata della valutazione non è necessariamente legata alla politica di sicurezza.
• Audit di sicurezza (SA, audit di sicurezza)Audit rispetto alla politica di sicurezza/standardLivello di conformità, verificare che le misure di protezione esistenti siano correttamente attuate. La prospettiva è:Rispetto“A differenza di S17, G3 o della politica di sicurezza del settore.

Il funzionario ci ha dato un tavolo comparativo che ha reso la differenza perfettamente chiara:

• Attento.: SRA è una prospettiva di rischio; SA è una prospettiva di conformità
• Festa di esecuzioneI SRA possono essere valutati dal dipartimento stesso (autovalutazione) o da terzi;SA deve essere fatto da un terzo indipendente
• Portabili chiave:SRA resaRegistrazione dei rischi + misure di smaltimento dei rischiArticoloElenco di controllo della conformità
• Timing: nuovo sistema nel ciclo di vita dello sviluppo (SDLC)InizioDo SRA; già i sistemi online vengono regolarmente effettuati durante il ciclo di vita, o quando si verificano cambiamenti significativi nell'ambiente IT

Tre degli errori più comuni.

ISPG-SM01, dalla versione 2.0 (aprile 2024), ha specificamente chiarito alcuni equivoci ampiamente condivisi che avrebbero dovuto essere sentiti in questa attività:

• Uno frainteso: la SRA e la SA devono farlo insieme, produrre un rapporto "due in uno".Sbagliato. La natura dei due è diversa, così come sono i requisiti del partito di forza (la SA deve essere un terzo indipendente), che può essere fatto separatamente.
• Misunderstanding 2: Un'attività SRAA può coprire sia i controlli di identificazione del rischio che di conformità in SDLC.Sbagliato. Questi sono due tipi diversi di lavoro.
• Incomprensione tre: SRAA è un test di scansione o penetrazione delle perdite.Il più sbagliato.I test di infiltrazione sono solo parte del test di gap tecnico nella SRA.Non la SRAA stessa. Molte delle aziende di consulenza hanno espulso le loro descrizioni dei servizi, dicendo che “SRA di solito includono test di penetrazione”.

È importante chiarire questo -- perché se si sta per utilizzare il test di oscillazione per preparare SRAA, è stato nella direzione dell'inizio.

SRA Come: Quattro passi

La valutazione del rischio di sicurezza a livello di sistema si basa su una linea principale a quattro fasi e termina con la deposizione del registro di rischio del sistema:

Identificazione del rischio Si'. Analisi del rischio Si'. Valutazione del rischio Si'. Smaltimento del rischio

La definizione del rischio è semplice:Rischio = minaccia x loophole x impattoNon lo so. Le minacce possono provenire da condizioni individuali, organizzative o anche ambientali, che portano ad accessi non autorizzati, distruzione di informazioni/alterazione o negazione dei servizi; le scappatoie sono debolezze o lacune nel sistema di sicurezza che possono essere sfruttate da minacce.

La fase di identificazione del rischio copre una vasta gamma di aree, con 10 elementi ufficiali: sicurezza delle risorse umane, gestione degli asset, controllo degli accessi, password, sicurezza fisica e ambientale, sicurezza operativa, sicurezza delle comunicazioni, sviluppo e manutenzione degli approvvigionamenti di sistema, sicurezza esterna e sicurezza IT di continuità aziendale. Il processo di identificazione è diviso in due sottoprocessi:

• Riconoscimento del sistema informativo: tutti i sistemi informativi all'interno della giurisdizione, indipendentemente dalla fonte di fondi, vengono rimossi e implementatiElenco e valutazione dei beniNon lo so. Ci sono tre categorie di valore patrimoniale - valore fisico (equipment/software/data/documentazione/prezzo di sostituzione del personale), valore immateriale (beni, qualità del servizio), valore informativo (classificazione dati CIA III+).
• Riconoscimento della scena del rischio• Considerare fonti di rischio, cause ed eventi, minacce e opportunità, scappatoie e capacità, cambiamenti nell'ambiente interno ed esterno, indicatori di rischio emergenti, natura e valore dei beni, conseguenze e impatti, limitazioni di conoscenza e affidabilità delle informazioni, fattori temporali, ecc.

Le informazioni raccolte durante l'identificazione sono anche specifiche: esigenze e obiettivi di sicurezza; strutture di rete e mappe di scala; evidenza del rispetto dell'ambiente fisico delle camere; informazioni aperte di ricerca; beni fisici; sistemi operativi e sistemi di gestione della rete; banche dati e documenti; applicazioni e informazioni del server; protocolli di rete e servizi; misure di controllo degli accessi; vari processi operativi; meccanismi di identificazione; requisiti contrattuali normativi; linee guida di policy; classificazione del sistema.

di cuiRecensione del sistemaConcentrati su: File di sistema e registri, processi in esecuzione, file di controllo di accesso, elenchi utente, impostazioni di configurazione, livelli di patch, strumenti di crittografia o di autenticazione, strumenti di tubazione web, registri o strumenti di rilevamento delle intrusioni - mantenendo un occhio su qualsiasi attività insolita come un tentativo di intrusione.

Fallo quando necessario.Test di gap tecnicoGap scansione, test di infiltrazione, revisione di configurazione, scansione sorgente.Principali localiPrima di farlo, il team di valutazione deve essere d'accordo con il dipartimento sul campo di applicazione, possibile impatto, indietro / processo di recupero; se Tier 2 e sopra è coinvolto, si dovrebbe fare riferimento al Business Continuity Plan (BCP) e al Disaster Recovery Plan (DRP). Le scansioni Gap coprono il rilevamento/scoprimento dei livelli di rete, il test delle loophole mainframe, le scansioni di sistema/applicazione (incluso Web) e verificano che gli annunci di sicurezza rilevanti rilasciati da GovCERT.HK sono stati riempiti o compensati.

Come calcolare il rischio: matrice di livello 3

Analisi dei rischi per valutareImpattoePossibileDobbiamo identificarli.Controlli esistentiE valutarne l'efficacia. I controlli cadono in tre categorie: controllo tecnico (firewall, crittografia, software dannoso, controllo di accesso), controllo fisico (CCTV, porta-barrel, protezione antincendio, distruzione di dati fisici), controllo di gestione (piano di risposta di emergenza, formazione di sicurezza del personale, politica sulla privacy dei dati, piano di preparazione di disastro).

I metodi analitici sono qualitativi e quantitativi, e possono essere utilizzati anche negli approcci di matrice. Una formula pratica è:

Livello di rischio = impatto x probabilità x gerarchia di sistema (Tier)

Ogni valore prende 3-alto / 2-m/ medio / 1-basso, moltiplica la gamma 1 a 27:18-27 Alto rischio, 9-17 medio rischio, 1-8 basso rischioNon lo so. E...Diverso I sistemi di livello hanno una matrice di rischio.– Stessa "probabilità media + alto impatto": Tier 1 conta il rischio, Tier 2 anche se è ad alto rischio, Tier 3 è più alto rischio. Maggiore è la gerarchia dei sistemi, minore è lo spazio per gli errori.

Il governo ha anche dato due tecniche:Sulla base di eventi passati(Riferimento ai rapporti sugli incidenti di sicurezza, letteratura industriale, perdite storiche da parte dei fornitori di servizi);Metodo di stima a tre punti(Three-Point Administration) che consente agli esperti di dare i valori O più ottimisti, molto probabilmente M e più pessimistici P, rispettivamente, con una triangolazione della media. Se P e O sono troppo distanti, M è più affidabile, M può essere ponderato (ad esempio quattro volte di peso).

SA Come: conformità

Gli audit di sicurezza seguono un'altra linea: i controlli di conformità contro S17 e le politiche di sicurezza dipartimentali attraverso le recensioni dei documenti, le visite dei siti, le interviste multilivello, le discussioni dei panel, i questionari, ecc. Campo di applicazione dell'auditAccordo specifico e preventivo con i revisoriEsempi ufficialmente forniti includono la sicurezza Internet, la sicurezza Intranet, i sistemi informativi Tier 2, la sicurezza mainframe, la sicurezza del server di rete (Web/mail server, ecc.), i componenti di rete e le attrezzature (firewall, router), la sicurezza delle camere, i servizi di rete (servizi dicatalogo, servizi postali, accesso remoto), la documentazione di sistema e i record.

Per gli audit a livello di settore o non specifici, è prassi comune controllare le dimensioni e l'efficacia degli ISM definiti nella S17 o nel quadro ISM (polizie/standard/procedure).

Consegna e 10 attività comuni

La traduzione ufficiale dell'attività regolare dell'intero SRAA in 10, fondamentalmente una mappa stradale di integrità:

1. Sessione di apertura: Riconoscimento della copertura, obiettivi, consegnabili
2. Pianificazione del progetto: Programma di consegna concordato e programma
3. Preparati a controllare.: Conferma delle ispezioni con i dipartimenti
4. Prepararsi per il ritiro/recupero: prove tecniche come la scansione del divario, il test di penetrazione, ecc.
5. Identificazione e valutazione dei beni: Identificazione e valutazione dei beni entro limiti concordati
6. Valutazione del rischioIdentificazione del rischio Analisi del rischio
7. Consegna del rapporto SRA, piano di smaltimento dei rischi, registro dei rischi di sistema
8. Rapporti alla gestioneRisultati e risultati
9. Controllo di sicurezzaRelazione sui risultati dell'audit
10. Protezione dei dati e dei risultati, piani di follow-up, salvaguarda la revisione, consegna dei rapporti di validazione, segnalazione a ciclo chiuso

Si vede,La consegna non è un rapporto.Il piano di registrazione e smaltimento dei rischi lato-lato SRA, le liste di verifica e i rapporti di verifica di conformità SA e, infine, i rapporti di convalida per confermare i risultati di revisione di ogni scoperta per la chiusura.

Chi lo fara'? Cosa succedera'?

I terzi indipendenti sono difficili da richiedere.— gli audit di sicurezza devono essere condotti da terzi indipendenti e le raccomandazioni SRA devono essere indirizzate anche a terzi. Ufficialmente, i compiti di consulenti/auditor sono chiaramente definiti: hanno le competenze e le competenze necessarie, capiscono l'impatto di ogni strumento,Prima di effettuare test di hack, è necessario ottenere l'autorizzazione scritta da parte di parti interessate come ISP e la polizia.Se il test ha successo o meno, la relazione riflette la politica di sicurezza del dipartimento e le esigenze operative, identifica rischi significativi o non conformità, segnala immediatamente e supporta le prove sulla domanda.

La protezione dei dati è un altro punto facilmente trascurato: durante il processo di valutazione vengono raccolti grandi quantità di dati di configurazione e sensibili.È necessario organizzare strumenti di crittografia e armadi bloccabili nella fase di pianificazione; gli strumenti di valutazione saranno controllati, gestiti solo da esperti di squadra e rimossi immediatamente dopo che sono stati esauriti; i rapporti di valutazione che non sono autorizzati a visitare prima della modifica sono essi stessi una minaccia diretta, quindi il processo e la relazione finale saranno strettamente confidenziali; e, dopo il completamento, tutte le informazioni saranno restituite eRitiro dell'accesso temporaneo concesso ai revisoriNon lo so.

I servizi sono prefissati: fornitura di informazioni di documentazione quali mappe di rete, manuali operativi, elenchi di controllo accessi, politiche di sicurezza/standard/guideline/procedures; fornitura di supporto peer come reti, firewall, gestione del sistema e organizzazione delle visite del sito.

Ne vale la pena.

C'è una dichiarazione ufficiale:“Il valore della valutazione del rischio e dell’auditing non è nelle raccomandazioni stesse, ma nella loro effettiva attuazione.” La gestione è responsabile dell'attuazione quando la raccomandazione è presa; se la decisione non è attuata, il rischio corrispondente deve essere assunto e pienamente giustificato. Il follow-up è strutturato intorno a tre settori di preoccupazione: efficacia, qualifiche e tempestività di adattamento. Gli articoli ad alto rischio sono modificati o rinforzati il prima possibile e sono pronti per le procedure di regressione.

Qual è il valore di riferimento per la regione non Hong Kong?

Anche se SRAA è un prodotto del sistema di governo di Hong Kong, i suoi scheletri sono comuni:Valutazione del rischio “rischio”, controllo di sicurezza” conformità, sia verifica loop separata, consegnabile e chiusoNon lo so. Questo insieme di idee e valutazioni di garanzia equivalenti all'interno, le certificazioni ISO/IEC 27001 sono spiritualmente compatibili - prima chiariscono i beni e poi calcolano i rischi (impatto x probabilità x classificazione del sistema), poi assegnano le risorse a rischio e sotto, e infine utilizzano un audit indipendente per confermare la conformità.

Se la vostra organizzazione sta creando un quadro di governance della sicurezza, il loop iterativo del set di valutazione-disposal-audit-validation SRAA è un modello molto utile. Specialmente quella."Registro di rischio + piano di smaltimento + rapporto di convalida“I tre set sono molto più solidi della presentazione di un solo rapporto di prova permeabilità.

La sicurezza non è una valutazione, ma un ciclo chiuso che continua a sovrapporsi.