Nama lengkap: Penilaian Risiko Keamanan dan Audit: Apakah Pemerintah Hong Kong menilai?

Di Hong Kong, kau tidak akan pernah lolos dengan satu kata: SRAA. Nama lengkap Asesmen dan Bantuan Risiko Keamanan BedahDalam bahasa Tionghoa, bahasa ini disebut \"pertimbangan risiko keamanan dan audit\" (juga diterjemahkan sebagai \"pertimbangan risiko keamanan dan audit\"). Ini bukan produk produsen, itu...Satu set wajib wajib wajib hukum penilaian keamanan dan persyaratan audit yang ditetapkan oleh Pemerintah Hong KongSemua departemen pemerintah, departemen/pejabat (B/Ds) dan lembaga yang didanai pemerintah wajib mengimplementasikannya dan mengajukan laporan sertifikasi independen.

Ketentuan ini ditetapkan berdasarkan Kantor Kantor Kebijakan Digital, DPO, sebelumnya OGCIO, Practice Guide for Security Risk Assessment & Audit (No. ISPG-SM01Dokumen yang menyertainya juga meliputi Baseline IT Security Policy [S17] dan IT Security Guidelines [G3]. Edisi terbaru terbitan Agustus 2026, Fiji v2.2A \"SRAA Process and Delivery Baseline Check Sheet\" ditambahkan.

Referensi normatifnya juga mengindikasikan posisi: ISO/IEC 27000, 27001, 70002, 27005, ISO 3100:2018 pedoman manajemen risiko, dan NISTIR 8286 (menggabungkan keamanan siber ke dalam manajemen risiko perusahaan (ERM)). Dengan kata lain,KRAA adalah kerangka kerja tingkat pemerintah untuk melokalisasi standar internasionalAku tidak tahu.

Berbeda antara SRA dan SA

Banyak orang menganggap SRAA sebagai satu hal, tapi itu adalah kombinasi dari dua hal yang benar-benar berbeda:

• Asesmen Risiko Keamanan (SRA)Identifikasi, analisis, penilaian risiko keselamatan dan identifikasi tindakan pembuangan untuk mengurangi risiko hingga tingkat yang dapat diterima. Perspektifnya adalah:Risiko” Skop penilaian belum tentu berkaitan dengan kebijakan keamanan.
• Audit Keamanan (SA, audit keamanan)Audit melawan kebijakan keamanan/standarTingkat kepatuhan, memastikan bahwa tindakan perlindungan yang ada telah dilaksanakan dengan benar. Perspektifnya adalah:Kepatuhan\"Tidak seperti S17, G3 atau polis keamanan sektor sendiri.

Pejabat memberi kami tabel perbandingan yang membuat perbedaan sangat jelas:

• Hati-hati.SRA adalah perspektif risiko; SA adalah perspektif kepatuhan
• Partai EksekusiSRA-SRAS dapat dinilai oleh departemen sendiri (self-assessment) atau oleh pihak ketiga;SA harus dilakukan oleh pihak ketiga independen
• Kunci diberikanSRA menyerahRegister risiko osis + tindakan pembuangan risikoMenyerahlah.Daftar cek impan
• Waktu: sistem baru dalam siklus kehidupan perkembangan (SDLC)MulaŁ Do SRA; sistem online yang sudah online secara teratur dilakukan sepanjang siklus kehidupan, atau ketika perubahan signifikan terjadi di lingkungan IT

Tiga kesalahpahaman yang paling umum.

ISTPG-SM01, dari Versi 2.0 (April 2024), secara khusus telah mengklarifikasi beberapa kesalahpahaman yang secara luas dibagikan yang seharusnya telah didengar dalam bisnis ini:

• Salah paham satu: SRA dan SA harus melakukannya bersama-sama, menghasilkan laporan "dua-satu".Salah. Sifat dari keduanya berbeda, begitu pula persyaratan dari pihak yang menegakkan (SA harus menjadi pihak ketiga yang independen), yang dapat dilakukan secara terpisah.
• Salah pengertian 2: Sebuah kegiatan SRAA dapat menutupi identifikasi risiko maupun cek kepatuhan di SDLC.Salah. Ini dua jenis pekerjaan yang berbeda.
• Salah paham tiga: SRAA adalah pemindaian kebocoran atau tes penetrasi.Yang paling salah.Tes infiltrasi Infiltrasi hanya bagian dari uji celah teknis di SRA.Bukan SRAA sendiri. Banyak perusahaan konsultan telah salah mengeja deskripsi layanan mereka, dengan mengatakan bahwa \"SRA biasanya termasuk pengujian penetrasi\".

Penting untuk memperjelas hal ini -- karena jika Anda akan menggunakan Tes Osilasi untuk mempersiapkan SRAA, ini sudah berada pada arah awal.

SRA Bagaimana: Empat Langkah

Penilaian risiko keamanan di tingkat sistem didasarkan pada garis utama empat langkah dan berakhir dengan deposisi sistem daftar risiko:

Identifikasi Risiko Penyakit Yeah. Analisis Risiko Bedah Yeah. Evaluasi Risiko Evaluasi Penyakit Evaluasi Yeah. Pembuangan Risiko Kos

Definisi risiko yang sederhana:Resiko fobia = ancaman x celah dampak xAku tidak tahu. Ancaman nutfah mungkin berasal dari kondisi individu, organisasi atau bahkan lingkungan, yang mengarah ke akses yang tidak sah, pemusnahan informasi/alterasi atau penolakan jasa; celah adalah kelemahan atau celah dalam sistem keamanan yang dapat dieksploitasi oleh ancaman.

Fase identifikasi risiko Ogos mencakup berbagai macam daerah, dengan 10 barang resmi: keamanan sumber daya manusia, manajemen aset, kontrol akses, sandi, keamanan fisik dan lingkungan, keamanan operasional, keamanan komunikasi, pengembangan dan pemeliharaan pengadaan sistem, keamanan outsourced, dan keamanan IT kontinuitas bisnis. Proses identifikasi ini dibagi menjadi dua sub-proses:

• Pengecaman sistem informasiSemua sistem informasi dalam yurisdiksi, terlepas dari sumber dana, dihapus dan diimplementasikanDaftar dan penilaian asetAku tidak tahu. Ada tiga kategori nilai aset - nilai fisik (equipment/software/data/documentation/replacement cost of personel), nilai tak berwujud (goods, quality of service), nilai informasi (CIA III+ data classification).
• Pengecaman adegan risikoWacana • Pertimbangkan sumber risiko, penyebab dan peristiwa, ancaman dan kesempatan, celah dan kemampuan, perubahan lingkungan internal dan eksternal, indikator risiko yang muncul, sifat dan nilai aset, konsekuensi dan dampak, keterbatasan pengetahuan dan keandalan informasi, faktor waktu, dll.

Informasi yang dikumpulkan selama identifikasi juga spesifik: kebutuhan keamanan dan tujuan; struktur sistem/jaringan dan peta skala-up; bukti kepatuhan dengan lingkungan fisik kamar; informasi yang dapat dicari terbuka; aset fisik; sistem operasi dan sistem manajemen jaringan; database dan dokumen; aplikasi dan informasi server; protokol dan layanan jaringan; langkah kontrol akses; berbagai proses operasi; mekanisme identifikasi; persyaratan kontrak regulator; pedoman kebijakan; klasifikasi sistem.

Yang manareview Sistem telaahFokus pada: Berkas sistem dan log, proses berjalan, berkas kontrol akses, daftar pengguna, pengaturan konfigurasi, tingkat patch, enkripsi atau alat otentikasi, alat pipa web, log, atau alat pendeteksian intrusi - sambil mengawasi setiap aktivitas yang tidak biasa seperti upaya intrusi.

Lakukan jika perlu.Pengujian kesenjangan teknisPemindaian gambar, pengujian infiltrasi, tinjauan konfigurasi, pemindaian sumber.Key premisSebelum melakukannya, tim penilaian harus setuju dengan departemen pada lingkup, kemungkinan dampak, proses back/recovery; jika Tier 2 dan di atas terlibat, referensi harus dibuat untuk Rencana Keberlanjutan Bisnis (BCP) dan Rencana Pemulihan Bencana (DRP). Pemindaian Gap gaps jaringan deteksi/penemuan lapisan jaringan, pengujian celah mainframe, sistem/aplikasi (termasuk Web) scan dan verifikasi bahwa pengumuman keamanan yang relevan yang dikeluarkan oleh GovCERT.HK telah diisi atau dikompensasi.

Cara menghitung risiko: Peringkat 3 matriks

Analisis risiko untuk menilaiImpactDanMungkinKita harus mengidentifikasi mereka.Kendali sedia adaDan menilai keefektifan mereka. Kontrol-kontrol morfol jatuh ke dalam tiga kategori: kontrol teknis (firewalls, enkripsi, perangkat lunak jahat, kontrol akses), kontrol fisik (CCTV, door-barrel, door-barrel, fire proteksi, physical data development), kontrol manajemen (emergency response plan, staff safety training, kebijakan privasi data, plan kesiapan bencana).

Metode analitis bersifat kualitatif dan kuantitatif, dan juga dapat digunakan dalam pendekatan matriks. Rumus praktis adalah:

Tingkat risiko β = dampak x probabilitas x hierarki sistem (Tier)

Masing-masing mengambil nilai 3-tinggi / 2-m/ sedang / 1-rendah, kalikan kisaran 1 sampai 27:Risiko tinggi 18-27, risiko menengah 9-17, risiko rendah 1-8Aku tidak tahu. Dan...Berbeda Sistem pembuluh darah memiliki matriks risiko sendiri.Kemungkinan sama "medium + dampak tinggi": Tier 1 menghitung risiko, Tier 2 bahkan jika berisiko tinggi, Tier 3 lebih berisiko tinggi. Semakin tinggi hierarki sistem, semakin kecil ruang untuk kesalahan.

Pemerintah juga memberi dua teknik:Berdasarkan peristiwa masa lalu(Referensi untuk laporan insiden keamanan, literatur industri, kebocoran sejarah oleh penyedia layanan);Metode estimasi tiga titik(Administrasi Tiga-Titik) yang memungkinkan para ahli memberikan O yang paling optimis, kemungkinan besar M, dan nilai P yang paling pesimis, masing-masing, dengan triangulasi rata-rata. Jika P dan O terlalu jauh terpisah, M lebih dapat diandalkan, M dapat ditimbang (misalnya empat kali berat).

SA Bagaimana: Kepatuhan

Audit keamanan kebidanan mengikuti baris lain: pemeriksaan kepatuhan terhadap S17 dan kebijakan keamanan departemental melalui tinjauan dokumen, kunjungan situs, wawancara multilevel, diskusi panel, kuesioner, dll. Skop Audit harusPerjanjian khusus dan perjanjian sebelumnya dengan auditorContoh-contoh yang diberikan secara resmi antara lain keamanan internet, keamanan intranet, sistem informasi Tier 2, keamanan mainframe, keamanan server jaringan (Web/mail server, dll), komponen jaringan dan peralatan (firewalls, router), keamanan kamar, layanan jaringan (catlogue service, mail service, remote access), dokumentasi dan catatan sistem.

Untuk tingkat sektor atau audit non-spesifik, adalah praktik umum untuk mengaudit ukuran dan efektivitas ISM sebagaimana didefinisikan dalam S17 atau kerangka kerja ISMs milik organisasi (policies/standards/procedures).

Pengiriman dan 10 kegiatan bersama

Terjemahan resmi dari kegiatan rutin seluruh SRAA menjadi 10, pada dasarnya peta jalan integritas:

1. Sesi pembukaan TogoPengakuan dari liputan, tujuan, pengiriman
2. Perencanaan ProjekJadwal dan jadwal pengiriman yang sesuai
3. Bersiaplah untuk memeriksa.Konfirmasi formulir pemeriksaan dengan departemen
4. Bersiaplah untuk mundur/pemulihan:uji teknis seperti pemindaian celah, pengujian penetrasi, dll.
5. Identifikasi dan valuasi AssetIdentifikasi dan penilaian aset dalam batas yang disepakati
6. Penilaian risiko penyakitEvaluasi Risiko Identifikasi Risiko Risiko Risiko
7. Pengiriman laporan SRA, rencana pembuangan risiko, sistem daftar risiko
8. Melaporkan kepada manajemenHasil dan temuan
9. audit keamananMelaporkan hasil audit
10. Data dan perlindungan hasil, rencana tindak lanjut, review keamanan, pengiriman laporan validasi, pelaporan loop tertutup

Kau bisa lihat,Pengiriman bukanlah laporan.Tes cek daftar dan laporan audit dan, akhirnya, laporan validasi untuk mengkonfirmasi hasil overhaul dari setiap penemuan untuk penutupan.

Siapa yang akan melakukannya? Apa yang akan terjadi?

Partai-partai ketiga independen yang sulit diminta.Kebijaksanaan — audit keamanan harus dilakukan oleh pihak ketiga yang independen dan rekomendasi SRA juga harus ditujukan kepada pihak ketiga. Secara resmi, tugas-tugas konsultan/auditor didefinisikan dengan jelas: mereka memiliki keterampilan dan keahlian yang diperlukan, mereka memahami dampak dari setiap alat,Sebelum melakukan tes hack, Anda harus mendapatkan otorisasi tertulis dari pihak-pihak yang tertarik seperti ISP dan polisi.Apakah tes berhasil atau tidak, laporan mencerminkan kebijakan keamanan departemen ' s dan kebutuhan operasional, mengidentifikasi risiko signifikan atau non-konformitas, laporan segera, dan mendukung bukti atas permintaan.

Proteksi data adalah titik lain yang mudah diabaikan: sejumlah besar konfigurasi dan data sensitif dikumpulkan selama proses penilaian.Perlu untuk mengatur alat enkripsi dan lemari terkunci di tahap perencanaan, alat penilaian akan dikendalikan, dioperasikan hanya oleh ahli tim dan dihapus segera setelah mereka telah habis; laporan penilaian yang tidak diizinkan untuk mengunjungi sebelum modifikasi adalah diri mereka sendiri ancaman langsung, sehingga proses dan laporan akhir akan sangat rahasia; dan, setelah selesai, semua informasi akan dikembalikan danDicadangkan dari akses sementara diberikan kepada auditorAku tidak tahu.

Layanan-layanan tersebut dipremikan pada: penyediaan informasi dokumentasi seperti peta jaringan, manual operasi, daftar kontrol akses, kebijakan keamanan/standar/guidelines/procedures; penyediaan dukungan teman sebaya seperti jaringan, firewall, manajemen sistem; dan pengorganisasian kunjungan situs.

Menyusul adalah layak.

Ada pernyataan resmi:\"Nilai penilaian risiko dan audit tidak dalam rekomendasi sendiri, tetapi dalam implementasi efektif mereka.\" Manajemen Iagnone bertanggung jawab untuk implementasi ketika rekomendasi dibuat; jika keputusan tidak dilaksanakan, risiko yang bersangkutan harus diasumsikan dan sepenuhnya dibenarkan. Tindak lanjutnya terstruktur di sekitar tiga bidang keprihatinan: efektivitas, kualifikasi dan garis waktu adaptasi. Barang-barang berisiko tinggi ditemukan dimodifikasi atau diperkuat sesegera mungkin dan siap untuk prosedur regresi.

Apa nilai referensi untuk wilayah non-Hong Kong?

Meskipun SRAA adalah produk dari sistem pemerintahan Hong Kong, kerangkanya umum:Penilaian risiko \"risk\", kepatuhan audit keamanan, baik terpisah, dapat disampaikan dan verifikasi loop tertutupAku tidak tahu. Ini set ide dan inland setara penilaian garansi, ISO/IEC 27001 sertifikasi yang kompatibel secara spiritual - pertama membersihkan aset dan kemudian menghitung risiko (impact x probabilitas x klasifikasi sistem), kemudian mengalokasikan sumber daya dengan risiko dan di bawah, dan akhirnya menggunakan audit independen untuk mengkonfirmasi kepatuhan.

Jika organisasi Anda sedang menyiapkan kerangka pemerintahan keamanan, loop iteratif dari penilaian SRAA-disposal-audit-validasi set adalah template yang sangat berguna. Terutama yang satu itu."Register risiko fobia + rencana pembuangan + laporan validasi” Tiga set itu jauh lebih solid daripada penyerahan satu laporan uji coba permeabilitas saja.

Keselamatan bukan evaluasi, tapi lingkaran tertutup yang terus tumpang tindih.