SRAA Fullt navn: Sikkerhetsrisikovurdering og revisjon: Hva er regjeringen i Hongkong vurdering?

I Hongkong slipper du aldri unna med ett ord: SRAA. Fullt navn Sikkerhetsrisikovurdering og hjelpI kinesisk kalles det «sikkerhetsrisikovurdering og revisjon» (også oversatt som «sikkerhetsrisikovurdering og revisjon»). Det er ikke et produkt fra en produsent, det er...Et obligatorisk sett med sikkerhetsvurderings- og revisjonskrav fastsatt av Hongkongs regjeringAlle statlige avdelinger, avdelinger/kontorer (B/Ds) og offentlige finansierte byråer er pålagt å implementere dem og sende inn uavhengige sertifiseringsrapporter.

Dette settet av krav er basert på kontoret for digital politisk kontor, DPO, tidligere OGCIO, praksisguide for sikkerhetsrisikovurdering og revisjon (nr. ISPG-SM01De ledsagende dokumentene inkluderer også baseline IT Security Policy [S17] og IT-sikkerhetsretningslinjer [G3]. Den siste utgaven publisert i august 2026, v2.2En \"SRAA prosess og levering baseline kontroll ark\" ble lagt til.

Dess normative referanser indikerer også posisjonering: ISO/IEC 27000, 27001, 700002, 27005, ISO 31000:2018 retningslinjer for risikostyring, og NISTIR 8286 (inkorporere cybersikkerhet i virksomhetens risikostyring (ERM)). Med andre ord:SRAA er et statlig rammeverk for lokalisering av internasjonale standarderJeg vet ikke.

Skill mellom SRA og SA

Mange mennesker tar SRAA som én ting, men det er en kombinasjon av to ting som er helt annerledes:

• Sikkerhetsrisikovurdering (SRA)Identifikasjon, analyse, vurdering av sikkerhetsrisiko og identifisering av avhendingstiltak for å redusere risikoen til akseptable nivåer. perspektivet er:RisikoOmfanget av vurderingen er ikke nødvendigvis knyttet til sikkerhetspolitikk.
• Sikkerhetsrevisjon (SA, sikkerhetsrevisjon)Revision versus sikkerhetspolitikk/standarderNivå av overholdelseKontroller at eksisterende beskyttelsestiltak er riktig implementert. perspektivet er:ComplianceI motsetning til S17, G3 eller sektorens egen sikkerhetspolitikk.

Den offisielle ga oss en sammenligningstabell som gjorde forskjellen helt klart:

• Pass på.SRA er et risikoperspektiv; SA er et samsvarsperspektiv
• Forfølger partiSRA kan vurderes av avdelingen selv (selvvurdering) eller av tredjeparter;SA må gjøres av en uavhengig tredjepart
• Nøkkel leveranserSRA kapitulererRisikoregister + risikodeponeringstiltak;SA overgir segCompliance checklist
• Timing: nytt system i utvikling livssyklus (SDLC)StartGjør SRA; allerede online systemer gjøres regelmessig gjennom hele livssyklusen, eller når det oppstår betydelige endringer i IT-miljøet

Tre av de vanligste misforståelsene.

ISPG-SM01, fra versjon 2.0 (april 2024), har spesifikt avklart noen brede felles misforståelser som burde ha blitt hørt i denne virksomheten:

• Feilaktig en: SRA og SA må gjøre det sammen, produsere en to-i-en-rapport.Feil. De tos art er forskjellig, og det samme gjelder kravene til håndhevende part (SA må være en uavhengig tredjepart), som kan gjøres separat.
• Misforståelse 2: En SRAA-aktivitet kan dekke både risikoidentifikasjon og samsvarskontroll i SDLC.Feil. Dette er to forskjellige typer arbeid.
• Feilaktig tre: SRAA er en lekkasjeskanning eller penetrasjonstest.Mest feil.Infiltrasjonstester er bare en del av den tekniske gaptesten i SRA.Ikke SRAA selv. Mange av konsulentfirmaene har feilstavet sine servicebeskrivelser, og sier at \"SRA vanligvis inkluderer penetrasjonstest\".

Det er viktig å gjøre dette klart - for hvis du skal bruke Oscillation Test til å forberede SRAA, det har vært i retning av begynnelsen.

SRA Hvordan: 4 trinn

Sikkerhetsrisikovurderingen på systemnivå er basert på en firetrinns hovedlinje og slutter med avsetningen av systemrisikoregisteret:

Risikoidentifikasjon Ja. Risikoanalyse Ja. Risikovurdering Ja. Risikodisponering

Definisjonen av risiko er enkel:Risiko = trussel x loophole x innvirkningJeg vet ikke. Trusler kan komme fra individuelle, organisatoriske eller til og med miljømessige forhold som fører til uautorisert tilgang, informasjonsødeleggelse/alterasjon eller benektelse av tjenester; loopholes er svakheter eller hull i sikkerhetssystemet som kan utnyttes av trusler.

Risikoidentifikasjonsfasen dekker et bredt spekter av områder, med 10 offisielle elementer: sikkerhet for menneskelige ressurser, forvaltning av ressurser, tilgangskontroll, passord, fysisk og miljømessig sikkerhet, driftssikkerhet, kommunikasjonssikkerhet, systeminnkjøpsutvikling og vedlikehold, outsourcet sikkerhet og forretningskontinuitet IT-sikkerhet. Identifikasjonsprosessen er delt i to underprosesser:

• Informasjonssystemgjenkjenning: alle informasjonssystemer innenfor jurisdiksjonen, uavhengig av kilden til midler, fjernes og implementeresListe og vurdering av eiendelerJeg vet ikke. Det er tre kategorier av aktivaverdi - fysisk verdi (utstyr/programvare/data/dokumentasjon/omsetningskostnader for personell), immateriell verdi (varer, tjenestekvalitet), informasjonsverdi (CIA III+ dataklassifisering).
• Risiko scenegjenkjenning• Tenk på kilder til risiko, årsaker og hendelser, trusler og muligheter, sløyfehull og evner, endringer i det indre og eksterne miljøet, nye risikoindikatorer, natur og verdi av eiendeler, konsekvenser og konsekvenser, kunnskapsbegrensninger og pålitelighet av informasjon, tidsfaktorer osv.

Opplysningene som samles inn under identifikasjonen er også spesifikke: sikkerhetsbehov og mål; systemer/nettverksstrukturer og skaleringskart; bevis på samsvar med rommenes fysiske miljø; åpen søkbar informasjon; fysiske eiendeler; operativsystemer og nettverksstyringssystemer; databaser og dokumenter; søknader og serverinformasjon; nettverksprotokoller og -tjenester; tilgangskontrolltiltak; ulike driftsprosesser; identifikasjonsmekanismer; krav til regulatorisk kontrakt; retningslinjer for politikk; systemklassifikasjon.

hvoravSystemanmeldelseFokuser på: Systemfiler og logger, kjører prosesser, tilgangskontrollfiler, brukerlister, konfigurasjonsinnstillinger, oppdateringsnivåer, krypterings- eller autentiseringsverktøy, webrørverktøy, logger eller inntrengningsdetekteringsverktøy - samtidig som du holder øye med uvanlig aktivitet som et inntrengningsforsøk.

Gjør det når det er nødvendig.Teknisk gaptestingGap skanning, infiltrering testing, konfigurasjonsgjennomgang, kildeskanning.NøkkellokalerFør det gjøres, må vurderingsteamet være enig med avdelingen om omfanget, mulige konsekvenser, tilbake/gjenvinningsprosessen; Hvis Tier 2 og over er involvert, bør det henvises til Business Continuity Plan (BCP) og katastrofeutvinningsplanen (DRP). Gapskanninger dekker nettverkslaget deteksjon/oppdaging, hovedrammesløyfehulltesting, system/søknad (inkludert Web) skanner og bekrefter at relevante sikkerhetsannonser utstedt av GovCERT.HK er fylt eller kompensert.

Hvordan beregne risiko: Nivå 3 matrise

Risikoanalyse å vurdereEffektogMuligVi må identifisere dem.eksisterende kontrollerog vurdere effektiviteten. Kontroller faller inn i tre kategorier: teknisk kontroll (brannvegger, kryptering, skadelig programvare, tilgangskontroll), fysisk kontroll (CCTV, dørbarrel, brannvern, fysisk dataødeleggelse), styringskontroll (svak responsplan, personvernutdanning, personvernpolicy, katastrofe beredskapsplan).

De analytiske metoder er kvalitative og kvantitative, og kan også brukes i matrisetilnærminger. En praktisk formel er:

Risikonivå = nedslag x sannsynlighet x systemhierarki (tier)

Hver ta verdi 3-høy / 2-m/ medium / 1-lav, multiplisere område 1 til 27:Høy risiko, 9-17 middels risiko, 1-8 lav risikoJeg vet ikke. Og...Ulike Tier-systemer har egen risikomatrise.– Same-medium sannsynlighet + høy nedslag": Tier 1 teller risiko, Tier 2 selv om det er høy risiko, Tier 3 er mer høy risiko. Jo høyere hierarkiet av systemer, jo mindre plass for feil.

Regjeringen ga også to teknikker:Basert på tidligere hendelser(Reference til sikkerhetsangrepsrapporter, industrilitteratur, historiske lekkasjer fra tjenesteytere);Trepunkts estimeringsmetode(Trepunktsadministrasjon) som tillater eksperter å gi den mest optimistiske O, sannsynligvis M, og de fleste pessimistiske P-verdier, henholdsvis, med en triangulering av gjennomsnittet. Hvis P og O er for langt fra hverandre, er M mer pålitelig, kan M veies (f.eks. fire ganger vekt).

Hvordan: overholdelse

Sikkerhetsrevisjoner følger en annen linje: overholdelseskontroll mot S17 og avdelingssikkerhetspolitikk gjennom dokumentvurderinger, nettstedsbesøk, intervjuer på flernivå, paneldiskussioner, spørreskjemaer osv. Revisjonsområde måSpesifikk og tidligere avtale med revisorerEksempler offisielt gitt inkluderer Internett-sikkerhet, Internet-sikkerhet, Tier 2-informasjonssystemer, hovedrammesikkerhet, nettverksserversikkerhet (Web/mail-server, etc.), nettverkskomponenter og utstyr (brannvegger, rutere), romsikkerhet, nettverkstjenester (cataloge-tjenester, posttjenester, fjerntilgang), systemdokumentasjon og register.

For sektor-nivå eller ikke-spesifikke revisjoner er det felles praksis å revidere størrelsen og effektiviteten til ISMs som definert i S17 eller den organisasjonseide ISMs-rammeverket (politikk/standarder/tiltak).

Levering og 10 felles aktiviteter

Den offisielle oversettelsen av den vanlige aktiviteten til hele SRAA til 10, i utgangspunktet et veikart av integritet:

1. Åpningsøkt: anerkjennelse av dekning, mål, leveranser
2. Prosjektplanlegging: Samtykket leveringsplan og tidsplan
3. Gjør deg klar til å sjekke.: Bekreftelse av inspeksjonsskjemaer med avdelinger
4. Forbered deg på retreat/gjenvinning: tekniske tester som gap scanning, penetrasjonstesting, etc.
5. Assetsidentifikasjon og vurdering: Identifikasjon og vurdering av eiendeler innenfor avtalte grenser
6. RisikovurderingRisikoanalyse
7. Levering av SRA-rapport, risikohåndteringsplan, systemrisikoregister
8. Rapportering til ledelsenResultater og resultater
9. SikkerhetsrevisjonRapport om revisjonsresultatene
10. Data- og resultatbeskyttelse, oppfølgingsplaner, sikkerhetsoversikt, levering av valideringsrapporter, avsluttet sløyferapportering

Du kan se,Levering er ikke en rapport.SRAs side-til-side risikoregister og -deponeringsplan, SA side-til-side compliance checklists og revisjonsrapporter, og til slutt valideringsrapporter for å bekrefte oversiktsresultatene fra hver oppdagelse for avslutning.

Hvem skal gjøre det? Hva vil skje?

Uavhengige tredjeparter er vanskelige å kreve.— Sikkerhetsrevisjonene skal gjennomføres av en uavhengig tredjepart, og SRA-anbefalinger må også rettes til en tredjepart. Offisielt er oppgavene til konsulenter/auditorer klart definert: de har de nødvendige ferdigheter og kompetanse, de forstår virkningen av hvert verktøy,Før du utfører hack tester, må du få skriftlig autorisasjon fra interesserte parter som ISP og politiet.Enten testen lykkes eller ikke, reflekterer rapporten avdelingens sikkerhetspolitikk og driftsbehov, identifiserer betydelige risikoer eller ikke-overensstemmelser, rapporterer umiddelbart og støtter bevis på etterspørsel.

Databeskyttelse er et annet lett forsømt punkt: store mengder konfigurasjon og sensitive data samles inn under vurderingsprosessen.Må ordne krypteringsverktøy og låsbare skap på planleggingsstadiet; vurderingsverktøy vil bli kontrollert, drevet av teameksperter og fjernet umiddelbart etter at de er utmattet; vurderingsrapporter som ikke er autorisert til å besøke før endring er selv en direkte trussel, så prosessen og den endelige rapporten vil være strengt konfidensielt; og, etter å ha fullført, vil all informasjon bli returnert ogUttak av midlertidig tilgang som tildeles revisorerJeg vet ikke.

Tjenestene forutsettes for: levering av dokumentasjonsinformasjon som nettverkskart, driftsmanualer, tilgangskontrolllister, sikkerhetspolicyer/standarder/guidelines/prosedyrer; levering av peer support som nettverk, brannmurer, systemhåndtering og organisering av besøk på nettstedet.

Oppfølging er verdt det.

Det er en offisiell uttalelse:Verdien av risikovurdering og revisjon er ikke i anbefalingene selv, men i deres effektive gjennomføring. Ledelsen er ansvarlig for gjennomføringen når det tas anbefalinger; hvis beslutningen ikke gjennomføres, må den tilsvarende risikoen antas og fullt ut rettferdiggjøres. Oppfølgingen er strukturert rundt tre områder av bekymring: effektivitet, kvalifikasjoner og aktualitet av tilpasning. Høyrisikoelementer er funnet å bli modifisert eller forsterket så snart som mulig og er klare for regresjonsprosedyrer.

Hva er referanseverdien for ikke-Hong Kong-regionen?

Selv om SRAA er et produkt av Hongkongs regjeringssystem, er skjelettene vanlige:Risikovurdering «risiko», sikkerhetsrevisjon», både separat, leveringsbar og lukket sløyfekontrollJeg vet ikke. Dette settet av ideer og innenlandske ekvivalenter garanti vurderinger, ISO/IEC 27001 sertifiseringer er åndelig kompatible - først rens aktiva og deretter beregne risikoene (impact x sannsynlighet x system klassifisering), deretter tildele ressursene i risiko og nedenfor, og til slutt bruke en uavhengig revisjon for å bekrefte overholdelse.

Hvis organisasjonen din etablerer et rammeverk for sikkerhetsstyring, er den iterative loopen til SRAA-vurderingsdisposition-audit-valideringssettet en svært nyttig mal. Spesielt den ene."Risikoregister + disponeringsplan + valideringsrapportDe tre settene er mye mer solide enn å presentere bare én permeabilitetstestrapport.

Sikkerhet er ikke en vurdering, men en lukket løkke som fortsetter å overlappe.