RSS 피드 전체 이름은 보안 위험 평가 및 감사입니다. 홍콩 정부의 보안 위험 평가 및 감사.

홍콩에서, 당신은 하나의 단어로 얻을 수 없습니다 : SRAA. 보안 위험 평가 및 Aid그것은 제조자의 제품 아닙니다, 제품입니다.홍콩 정부에 의해 설립 된 보안 평가 및 감사의 의무 세트모든 정부 부서, 부서 / 사무실 (B / Ds) 및 정부 펀딩 기관이 준수하고 독립적 인 인증 보고서를 제출해야합니다.

이 요구 사항은 Digital Policy Office, DPO, OGCIO에 의해 출판 된 "Practice Guide foo"를 기반으로합니다. "R 보안 위험 평가 및 감사" 모델 번호: ISPG-SM01동반 서류는 "Baceline IT Security Policy"와 "IT Security Principles" [G3]를 포함합니다. v2.2의"SRAA Process and Delivery Baseline Check Table"가 추가되었습니다.

그것의 규범 참고는 또한 포지셔닝을 나타냅니다: ISO/IEC 27000, 27001, 27002, 27005, ISO 31000:2018 위험 관리 가이드라인 및 NISTIR 8286 (기업 위험 관리 ERM에 사이버 보안 통합).SRAA는 국제 표준을 현지화하기위한 정부 수준의 프레임 워크입니다.나는 모른다.

SRA와 SA의 진화

많은 사람들이 SRAA를 한 가지로 가지고 있지만 완전히 다른 두 가지의 조합입니다.

보안 위험 평가: 안전 위험의 식별, 분석, 평가 및 허용 수준에 위험을 줄이기 위해 처리 조치의 결정.위험 위험" , 평가의 범위는 반드시 보안 정책에 연결되지 않습니다 ...
보안 감사 (SA, 보안 감사): 감사 versus 보안 정책 / 표준준수의 수준기존의 보호 조치가 올바르게 구현되었는지 확인합니다.인증 및 인증", S17, G3 또는 부서의 자체 보안 정책에 대한 ...

정부는 우리에게 비교표를 준, 이는 차이를 매우 명확하게했다 :

보기.: SRA는 위험 관점입니다. SA는 준수 관점입니다.
연습: SRA는 부서 자체 또는 제3자에 의해 평가 될 수 있습니다.SA는 독립적 인 제 3 자에 의해 수행해야합니다.
키 제공: SRA 항복위험 등록 + 위험 처리 조치;SA 항복규정 준수
팀링: 개발 수명주기의 새로운 시스템 (SDLC)지원하다SRA; 이미 온라인 시스템은 일상적인 라이프 사이클을 통해 수행되며, 주요 변화가 IT 환경에서 발생합니다.

가장 일반적인 잘못의 세, 먼저 수정.

ISPG-SM01, 2.0 (4 월 2024)에서, 특히이 사업에 들어온 몇 가지 널리 공유 된 misconception을 명확하게했다 :

Misunderstanding one : SRA 및 SA는 함께해야하며 "two-in-one" 보고서를 생성합니다.두 가지는 자연과 다른, 집행 요구는 다릅니다 (SA는 독립적 인 제 3 자이어야 함), 그래서 그들은 별도로 수행 할 수 있습니다.
Misunderstanding Two: SRAA 활동은 SDLC 위험 ID와 수락을 둘 다 커버할 수 있습니다.두 가지 유형의 작업입니다.
Misunderstanding Three: SRAA는 누출 검사 또는 침투 시험입니다.그것은 최악의 실수입니다.Infiltration 시험은 SRA의 기술 격차 시험의 일부입니다.많은 컨설팅 회사는 그들의 서비스 설명에 대해 잘못, 말하기, "SRA는 일반적으로 침투 테스트를 포함한다."

SRAA를 준비하기 위해 osmosis 테스트를 누르기 때문에이--에 대해 명확하게하는 것이 중요합니다. 처음부터 잘못된 방향으로 있습니다.

SRA, 당신은 무엇을합니까?

시스템 수준에서 보안 위험 평가, 주요 라인 4 단계, 시스템 위험 등록에서 종료:

위험 식별 예. 위험 분석 예. 위험 평가 예. 위험 관리

위험의 정의는 straightforward입니다:위험 = 위협 x 루프홀 x 충격위협은 개인, 조직 또는 환경 조건에서 올 수 있습니다., 무단 액세스, 정보 파괴 / 탈락 또는 서비스 거부; Gaps는 위협에 의해 악화 될 수있는 보안 시스템의 약점 또는 간격입니다.

위험 식별 단계는 10 개의 공식 블록과 함께 다양한 영역을 다룹니다. 인적 자원 보안, 자산 관리, 액세스 제어, 암호, 물리적 및 환경 보안, 운영 보안, 통신 보안, 시스템 조달 개발 및 유지 보수, 아웃소싱 보안 및 비즈니스 연속성을 위한 IT 보안. 식별 과정은 두 개의 하위 프로세스로 나뉩니다.

정보 시스템 인식: 관할권 내의 모든 정보 시스템을 정리, 자금의 소스에 관계없이, 등자산의 목록 및 가치자산의 가치는 세 가지 범주로 나뉩니다. 물리적 값 (equipment/software/data/documentation/replacement cost of 인사), 무형 값 (좋은 믿음, 서비스 품질), 정보 값 (CIA III + 데이터 분류).
위험 장면 인식: 위험, 원인 및 사건, 위협 및 기회, 반복 및 기능, 내부 및 외부 환경의 변화, 신중한 위험 지표, 성격 및 자산의 가치, 결과 및 영향, 지식 제한 및 정보의 신뢰성, 시간 요인 등을 고려하십시오.

이 웹 사이트는 귀하가 웹 사이트를 탐색하는 동안 귀하의 경험을 향상시키기 위해 쿠키를 사용합니다. 이 쿠키들 중에서 필요에 따라 분류 된 쿠키는 웹 사이트의 기본적인 기능을 수행하는 데 필수적이므로 브라우저에 저장됩니다. 또한이 웹 사이트의 사용 방식을 분석하고 이해하는 데 도움이되는 제 3 자 쿠키를 사용합니다. 이 쿠키는 귀하의 동의하에 만 브라우저에 저장됩니다. 이러한 쿠키 중 일부를 선택 해제하면 검색 환경에 영향을 미칠 수 있습니다.

이름 *시스템 검토시스템 파일 및 로그, 실행 프로세스, 액세스 제어 파일, 사용자 목록, 구성 설정, 패치 레벨, 암호화 또는 인증 도구, 네트워크 파이프 도구, 로그 또는 침입 감지 도구 - 침입 시도와 같은 특정 활동에 눈을 유지하면서.

필요한 경우.기술 갭 테스트: 홀 스캔, 침투 테스트, 구성 검토, 소스 스캔.주요 시설: 이렇게 하기 전에, 평가 팀은 범위에 부서에 동의해야, 가능성이 충격, back/restoration 절차; Tier 2 및 위 시스템은 관련이있는 경우, 참조는 Business Continuity Plan (BCP) 및 재난 복구 계획 (DRP)에해야합니다. Gap scans는 네트워크 층 검출/복구, 호스트 간격 테스트, 시스템/복구 (웹 포함) 스캔을 커버하고 GovCERT.HK에 의해 발행된 관련 보안 발표가 채워진지 여부를 확인합니다.

위험을 어떻게 계산합니까?

위험 분석제품정보이름 *옵션 정보나는 알아야 할.Existing 통제기술 제어 (방화벽, 암호화, 악성 소프트웨어, 액세스 제어), 물리적 제어 (CCTV, 도어 클로저, 화재 보호, 물리적 데이터 파괴), 관리 제어 (충전 응답 계획, 직원 안전 교육, 데이터 개인 정보 보호 정책, 재난 대비 계획).

분석의 qualitative 그리고 양이 많은 방법이, 뿐 아니라 matrix 방법 있습니다.

위험 수준 = 충격 x 확률 x 시스템 계층 (Tier)

각 소요 값 3-high/2m/ 매체/1low의 곱하기 범위 1에서 27:18-27 높은 위험, 9-17 중간 위험, 1-8 낮은 위험과...기타 계층 시스템은 자신의 위험 매트릭스가 있습니다.- 또한, 중간 확률 + 높은 충격, Tier 1 중간 위험, Tier 2 높은 위험, Tier 3 높은 위험.

정부는 또한 두 가지 기술을 준:지난 행사(보안 사건 보고서, 산업 문학, 서비스 제공 업체의 역사 누출 참조);3점 평가 방법(Three-Point Evaluation)는 전문가들이 가장 낙관적인 O, 가장 가능성이 M, 가장 pessimistic P, 삼가치, 삼가치, 삼가치, 삼가치, P와 O가 너무 멀리 떨어져 있는 경우에, M는 더 믿을 수 있습니다, M는 무겁게 할 수 있습니다 (예를들면 4배 무게).

SA, 당신은 무엇을합니까?

보안 감사는 다른 선을 따릅니다: 파일 리뷰, 사이트 방문, 다단계 인터뷰, 패널 토론, 설문지, 등, S17 및 부서 보안 정책에 대한 준수 검사.감사자와의 특정 및 사전 계약예는 공식적으로 인터넷 보안, Intranet 보안, Tier 2 정보 시스템, 주요 보안 프레임, 네트워크 서버 보안 (웹 / 이메일 서버 등), 네트워크 구성 요소 및 장비 (방화벽, 라우터), 룸 보안, 네트워크 서비스 (카탈로그 서비스, 메일 서비스, 원격 액세스), 시스템 문서 및 레코드를 포함합니다.

분야 수준 또는 비 지정 감사의 경우, S17 또는 ISMs 프레임 워크 (policy/standards/procedures)에서 정의 된 ISMs의 크기와 효율성을 감사하는 일반적인 연습입니다.

납품과 10의 일반적인 활동

SRAA 전체의 일반 활동의 공식 번역은 기본적으로 무결성의 도로지도이다:

공지사항: 적용, 목표, 납품 목표의 인식
프로젝트 계획: 동의한 배달 일정 및 일정
자주 묻는 질문: 부서와의 검사 형태 확인
retreat/recovery를 위해 준비하십시오: 누출 검사, 침투 테스트 등에 대한 기술 테스트
자산 식별 및 평가: 합의한 제한 내에서 자산의 식별 및 평가
위험 평가위험 식별 위험 분석 위험 평가
SRA 보고서, 위험 처리 계획, 시스템 위험 등록
기업정보결과 및 발견
보안 감사: 감사결과 보고의 전달
데이터 및 결과 보호, 후속 계획, 안전한 구현 검토, 검증 보고서의 배달, 폐쇄 루프보고

당신은 볼 수 있습니다,배송은 보고서가 아닙니다.: SRA-side Risk registers and treatment plans, SA-side Compliance checklists and Audit report, 그리고 마지막으로, 인증 보고서는 각 수정의 결과를 확인하기 위해 닫히는 것을 확인합니다.

누가 할거야? 주의해야 할 점은?

독립적 인 제3자는 수요가 어렵습니다.- 보안 감사는 독립적 인 제 3 자 및 SRA 권고에 의해 수행되어야합니다. 또한 제 3 자에 주소해야합니다.우리는 우리가 해커 테스트를 할 수 있기 전에 ISP 및 경찰에서 작성한 허가를 얻는 것을 가지고 있습니다.시험이 성공적이지 않든, 보고서는 부서의 보안 정책과 운영 요건을 반영하고 중요한 위험 또는 비 적합성을 식별하고 필요에 따라 지원의 증거를 제공합니다.

데이터 보호는 무시하는 또 다른 쉬운 점입니다: 구성과 민감한 데이터의 큰 양은 평가 과정에서 수집됩니다.계획 단계에서 암호화 도구 및 잠금 캐비닛을 준비해야; 평가 도구는 전문가의 팀에 의해만 통제되고 그것의 완료 후에 즉각 삭제됩니다; 완료 후에 모든 정보를 돌려보내고,감사자에게 부여되는 임시 접근의 철회나는 모른다.

서비스 시설에는: 네트워크 맵, 운영 설명서, 액세스 제어 목록, 보안 정책/표준/guidelines/procedures와 같은 문서 정보 제공; 네트워크, 방화벽, 시스템 관리와 같은 동료 지원 제공; 사이트 방문 조직.

팔로우하기

공식 문이 있다:" 위험 평가 및 감사의 가치는 권고 자체에 없지만 효과적인 구현 ... " 권장 사항이 작성되면, 관리는 구현에 책임이 있습니다. 결정이 수행되지 않은 경우, 해당 위험을 가져야하며 적절한 정당화를 제공합니다. 팔로잉은 세 가지 관심사의 주위에 구조화됩니다 : 효과, 자격 및 수정의 타임 라인.

비 홍콩 지역에 대한 참조 값은 무엇입니까?

SRAA는 정부의 홍콩 체계의 제품이지만, 그 골격은 일반적입니다.위험 평가는 "risk,"보안 감사는 "conformity", 별도로 모든 배송, 모든 밀봉됩니다.이 아이디어와 내륙 보증 평가의 세트, ISO/IEC 27001 인증은 영적으로 호환 - 먼저 자산을 지우고, 위험을 계산합니다 (impact x probability x 시스템 분류), 다음 위험과 아래에서 리소스를 할당하고, 마지막으로 독립적 인 감사 준수를 확인합니다.

조직이 안전한 지위를 설정하는 경우 SRAA는 "Assessment - Disposal - Audit - Validation"의 설정은 매우 유용한 템플릿입니다.위험 등록 + 처리 계획 + 검증 보고서"3 세트, 단 하나 침투 시험 보다는 매우 더 단단한.

안전은 평가가 아니며 영원히 지속되는 폐쇄 루프입니다.