SRAA 正式名称:セキュリティリスク評価と監査:香港政府の評価とは何ですか?

香港では、SRAAという1つの単語から離れることはありません。 フルネーム セキュリティリスク評価と援助中国語では「セキュリティリスクアセスメントと監査」と呼ばれています(また、「セキュリティリスクアセスメントと監査」として翻訳されています)。 メーカーの商品ではありません、それは...香港政府が定めるセキュリティ評価および監査要件の必須セット政府機関、部門/事業所(B/D)および政府機関は、これらを実施し、独立した認定報告書を提出する必要があります。

この要件のセットは、デジタル・ポリシー・オフィス、DPO、旧OGCIO、セキュリティ・リスク・アセスメントのプラクティス・ガイド(No.)に基づいています。 ISPG-SM01の特長付随する文書には、ベースラインITセキュリティポリシー[S17]およびITセキュリティガイドライン[G3]も含まれています。 2026年8月発行の最新版 バージョン 2.2「SRAAプロセスとデリバリーベースラインチェックシート」を追加しました。

また、ISO/IEC 27000、27001、70002、27005、ISO 31000:2018リスク管理ガイドライン、NISTIR 8286(企業リスク管理(ERM)にサイバーセキュリティを組み込む)の定着も考慮しています。 つまり、SRAAは国際規格をローカライズするための政府レベルのフレームワークです。お問い合わせ

SRAとSAの区別

多くの人がSRAAを一つのこととして取りますが、それは完全に異なる2つのことの組み合わせです。

• セキュリティリスク評価(SRA)安全リスクの特定、分析、評価、および許容レベルへのリスクを減らすための処分措置の特定 視点は:リスク「評価の範囲は、必ずしもセキュリティポリシーにリンクされていない。
• セキュリティ監査(SA、セキュリティ監査)監査対セキュリティポリシー/標準コンプライアンスレベル、既存の保護対策が正しく実装されていることを確認します。 視点は:コンプライアンス「S17、G3、またはセクターのセキュリティポリシーとは対照的に。

正式に違いを完全にクリアした比較表を提示しました。

• お問い合わせ: SRAはリスクの観点から、SAはコンプライアンスの観点から
• パーティーの実行SRAは、部門自体(自己評価)または第三者によって評価することができます。SAは、独立した第三者によって行われる必要があります
• 主な成果物:SRAの降伏リスクレジスタ+リスク処分対策;SAのsurrenderコンプライアンスチェックリスト
• タイミング: 開発ライフサイクルにおける新しいシステム(SDLC)スタートSRAは、すでにオンラインシステムがライフサイクル全体で定期的に行われているか、重要な変更がIT環境で行われる

最も一般的な誤解の3つ。

ISPG-SM01, バージョン2.0から (月 2024), 具体的に、この事業で聞いたべきいくつかの広く共有された誤解を明らかにしました:

• 「SRAとSA」は、SRAとSAを共にして「ツーインワン」のレポートを作成しなければなりません。お問い合わせ 2つの性質は、強化パーティー(SAは独立した第三者である必要があります)の要件であるため、別々に行うことができます。
• 2:SRAA活動はSDLCのリスク識別とコンプライアンスチェックの両方をカバーすることができます。お問い合わせ これらは2つの異なるタイプの作品です。
• 3つの誤解:SRAAは漏出スキャンまたは浸透テストです。最も間違っています。SRAの技術的なギャップテストの一部です。SRAA自体ではありません。 コンサルティング会社の多くは、「SRAsは通常貫通試験」と述べ、サービスの説明を誤認しています。

Oscillation Test を使って SRAA を準備しようとすると、このクリアを作ることが大切です。

SRAの方法:4つのステップ

システムレベルのセキュリティリスク評価は、4段階のメインラインに基づいており、システムリスクレジスタの堆積で終了します。

リスク特定 お問い合わせ リスク分析 お問い合わせ リスク評価 お問い合わせ リスク処分

リスクの定義は簡単です。リスク = 脅威 x ループホール x 衝撃お問い合わせ 脅威は、個人、組織的、または環境的条件から来ることができ、不正なアクセス、情報破壊、またはサービス拒否につながる可能性があります。ループホールは、脅威によって悪用することができるセキュリティシステムにおける弱点またはギャップです。

リスク識別フェーズは、人事セキュリティ、資産管理、アクセス制御、パスワード、物理的および環境セキュリティ、運用セキュリティ、通信セキュリティ、システム調達開発およびメンテナンス、アウトソーシングセキュリティ、および事業継続ITセキュリティの10の公式アイテムで、幅広い領域をカバーしています。 同一証明プロセスは2つのサブプロセスに分けられます:

• 情報システム認識: 資金源に関係なく、管轄区域内のすべての情報システムが削除され、実装される資産の一覧・評価お問い合わせ 資産価値の3つのカテゴリがあります - 物理的価値(機器/ソフトウェア/データ/ドキュメント/人件費)、無形値(商品、サービスの品質)、情報値(CIA III +データ分類)。
• リスクシーン認識• リスク、原因、イベント、脅威、機会、ループホールおよび機能、内部および外部環境の変化、新興リスク指標、資産の性質および価値、結果および影響、情報、時間要因の知識制限および信頼性、等を考慮して下さい。

識別中に収集された情報は、セキュリティのニーズと目的:システム/ネットワーク構造とスケールアップマップ;部屋の物理的な環境に順守する証拠;検索可能な情報を開く;物理的資産;オペレーティングシステムとネットワーク管理システム;データベースと文書;アプリケーションとサーバー情報;ネットワークプロトコルとサービス;アクセス制御措置;さまざまな動作プロセス;識別メカニズム;規制要件;ポリシーガイドライン;システム分類。

of whichSystem review焦点:システムファイルとログ、実行プロセス、アクセス制御ファイル、ユーザーリスト、構成設定設定、パッチレベル、暗号化または認証ツール、Webパイプツール、ログ、または侵入検知ツール - 侵入試みなどの異常な活動に目を向けながら。

お問い合わせ技術的なギャップのテストギャップスキャン、浸入テスト、構成レビュー、ソーススキャン。主要敷地Before doing so, the assessment team must agree with the department on the scope, possible impact, back/recovery process; if Tier 2 and above is involved, reference should be made to the Business Continuity Plan (BCP) and the Disaster Recovery Plan (DRP). Gap scans cover network layer detection/discovery, mainframe loophole testing, system/application (including Web) scans and verify that relevant security announcements issued by GovCERT.HK have been filled or compensated.

リスクを計算する方法:レベル3マトリックス

Risk analysis to assessソリューションand可能です。We need to identify them.Existing controlsAnd assess their effectiveness. Controls fall into three categories: technical control (firewalls, encryption, malicious software, access control), physical control (CCTV, door-barrel, fire protection, physical data destruction), management control (emergency response plan, staff safety training, data privacy policy, disaster preparedness plan).

The analytical methods are qualitative and quantitative, and can also be used in matrix approaches. A practical formula is:

リスクレベル = インパクト x 確率 x システム階層 (Tier)

Each take value 3-high / 2-m/ medium / 1-low, multiply range 1 to 27:18-27 High risk, 9-17 medium risk, 1-8 low riskお問い合わせ そして...Different Tier systems have their own risk matrix.– Same "medium probability + high impact": Tier 1 counts risk, Tier 2 even if it's high risk, Tier 3 is more high risk. The higher the hierarchy of systems, the smaller the space for errors.

政府はまた2つの技術を与えました:過去のイベントに基づく(セキュリティインシデントレポート、業界文学、サービスプロバイダによる歴史的漏れ等)Three-point estimation method(Three-Point Administration) which allows experts to give the most optimistic O, most likely M, and most pessimistic P values, respectively, with a triangulation of the average. If P and O are too far apart, M is more reliable, M can be weighted (e.g. four times weight).

SA How: Compliance

Security audits follow another line: compliance checks against S17 and departmental security policies through document reviews, site visits, multilevel interviews, panel discussions, questionnaires, etc. Audit scope must監査役との特定・事前協議Examples officially given include Internet security, Intranet security, Tier 2 information systems, mainframe security, network server security (Web/mail server, etc.), network components and equipment (firewalls, routers), room security, network services (catalogue services, mail services, remote access), system documentation and records.

For sector-level or non-specific audits, it is common practice to audit the size and effectiveness of ISMs as defined in S17 or the organization-owned ISMs framework (policies/standards/procedures).

配達および10の共通の活動

SRAA全体の定期的な活動の正式な翻訳は、基本的には完全性の道路マップです。

1. オープニングセッション: Recognition of coverage, objectives, deliverables
2. プロジェクト計画: Agreed delivery schedule and schedule
3. 確認する準備をしなさい。: Confirmation of inspection forms with departments
4. リトリート/回復の準備: technical tests such as gap scanning, penetration testing, etc.
5. Asset identification and valuation: Identification and assessment of assets within agreed limits
6. リスク評価Risk identification Risk analysis Risk evaluation
7. SRAレポート、リスク処分計画、システムリスクレジスタの配信
8. Reporting to management結果と結果
9. セキュリティ監査Report on audit results
10. Data and results protection, follow-up plans, safeguards review, delivery of validation reports, closed loop reporting

お問い合わせDelivery is not a report.The SRA side-to-side risk register and disposal plan, SA side-to-side compliance checklists and audit reports and, finally, validation reports to confirm the overhaul results of each discovery for closure.

Who's gonna do it? What's gonna happen?

独立した第三者は要求が厳しいです。— Security audits must be conducted by an independent third party and SRA recommendations must also be addressed to a third party. Officially, the duties of consultants/auditors are clearly defined: they have the necessary skills and expertise, they understand the impact of each tool,Before conducting hack tests, you must obtain written authorization from interested parties such as ISP and the police.Whether or not the test is successful, the report reflects the department ' s security policy and operational needs, identifies significant risks or non-conformities, reports immediately, and supports evidence on demand.

Data protection is another easily neglected point: large amounts of configuration and sensitive data are collected during the assessment process.Need to arrange for encryption tools and lockable cabinets at the planning stage; assessment tools will be controlled, operated only by team experts and removed immediately after they have been exhausted; assessment reports that are not authorized to visit prior to modification are themselves a direct threat, so the process and the final report will be strictly confidential; and, after completion, all information will be returned andWithdrawal of temporary access granted to auditorsお問い合わせ

The services are premised on: provision of documentation information such as network maps, operating manuals, access control lists, security policies/standards/guidelines/procedures; provision of peer support such as networks, firewalls, system management; and organization of site visits.

フォローアップは価値があります。

There is an official statement:“The value of risk assessment and auditing is not in the recommendations themselves, but in their effective implementation.” Management is responsible for implementation when the recommendation is made; if the decision is not implemented, the corresponding risk must be assumed and fully justified. The follow-up is structured around three areas of concern: effectiveness, qualifications and timeliness of adaptation. High-risk items are found to be modified or reinforced as soon as possible and are ready for regression procedures.

What is the reference value for the non-Hong Kong region?

Although SRAA is a product of the Hong Kong system of government, its skeletons are common:リスク評価 “リスク”, セキュリティ監査” コンプライアンス, 分離, 配信およびクローズドループ検証I don't know. This set of ideas and inland equivalents warranty assessments, ISO/IEC 27001 certifications are spiritually compatible - first clear the assets and then calculate the risks (impact x probability x system classification), then allocate the resources at risk and below, and finally use an independent audit to confirm compliance.

If your organization is setting up a security governance framework, the iterative loop of the SRAA assessment-disposal-audit-validation set is a very useful template. Especially that one."Risk register + disposal plan + validation report“The three sets are much more solid than the submission of only one permeability test report.

Safety is not an evaluation, but a closed loop that continues to overlap.