SRAA Pełna nazwa: Ocena i Audyt Ryzyka Bezpieczeństwa: Co ocenia rząd Hongkongu?

W Hong Kongu nigdy nie ujdzie ci na sucho jedno słowo: SRAA. Pełna nazwa Ocena ryzyka i pomoc w zakresie bezpieczeństwaW Chinach nazywa się to "oceną i audytem ryzyka związanego z bezpieczeństwem" (również przetłumaczonym jako "oceną i audytem ryzyka związanego z bezpieczeństwem"). To nie produkt producenta, to...Obowiązkowy zestaw wymogów w zakresie oceny bezpieczeństwa i audytu ustanowionych przez rząd HongkonguWszystkie departamenty rządowe, departamenty / biura (B / D) i agencje finansowane przez rząd są zobowiązane do ich wdrożenia i przedkładania niezależnych sprawozdań certyfikacyjnych.

Niniejszy zestaw wymogów opiera się na Biurze ds. Polityki Cyfrowej, DPO, dawniej OGCIO, Practice Guide for Security Risk Assessment & Audit (No. ISPG- SM01Dokumenty towarzyszące obejmują również podstawową politykę bezpieczeństwa IT [S17] oraz wytyczne bezpieczeństwa IT [G3]. Najnowsze wydanie opublikowane w sierpniu 2026 r., v2.2Dodano "Kartę kontroli procesu i dostawy SRAA".

Jego odniesienia normatywne wskazują również na pozycjonowanie: ISO / IEC 27000, 27001, 70002, 27005, ISO 31000: 2018, oraz NISTIR 8286 (uwzględniające cyberbezpieczeństwo w zarządzaniu ryzykiem przedsiębiorstw (ERM)). Innymi słowy,SRAA to ramy na poziomie rządowym służące do lokalizowania międzynarodowych standardówNie wiem.

Rozróżnienie SRA i SA

Wielu ludzi traktuje SRAA jako jedno, ale to połączenie dwóch rzeczy, które są zupełnie inne:

• Ocena ryzyka dla bezpieczeństwa (SRA)Identyfikacja, analiza, ocena ryzyka dla bezpieczeństwa oraz identyfikacja środków usuwania w celu zmniejszenia ryzyka do dopuszczalnego poziomu. Perspektywa jest taka:Ryzyko- Zakres oceny niekoniecznie wiąże się z polityką bezpieczeństwa.
• Audyt bezpieczeństwa (SA, audyt bezpieczeństwa)Audyt a polityka / standardy bezpieczeństwaPoziom zgodności, sprawdzić, czy istniejące środki ochronne są prawidłowo wdrażane. Perspektywa jest taka:Zgodność"W przeciwieństwie do S17, G3 lub własnej polityki bezpieczeństwa sektora.

Urzędnik dał nam tabelę porównawczą, dzięki której różnica była całkowicie jasna:

• Uważaj.: SRA jest perspektywą ryzyka; SA jest perspektywą zgodności
• Strona wykonującaSRA mogą być oceniane przez sam departament (samoocena) lub przez osoby trzecie;SA musi być wykonywana przez niezależną stronę trzecią
• Kluczowe wyniki: Poddanie się SRARejestr ryzyka + środki usuwania ryzyka; Poddanie SALista kontrolna zgodności
• Czas: nowy system w cyklu rozwoju (SDLC)StartDo SRA; już systemy internetowe są regularnie wykonywane przez cały cykl życia, lub gdy występują znaczące zmiany w środowisku IT

Trzy z najczęstszych pomyłek.

ISPG- SM01, z wersji 2.0 (kwiecień 2024 r.), szczegółowo wyjaśniła kilka szeroko rozpowszechnionych błędnych pojęć, które powinny zostać wysłuchane w tej branży:

• Niezrozumienie jednego: SRA i SA muszą to zrobić razem, sporządzić sprawozdanie "dwa w jednym".Źle. Ich charakter jest różny, podobnie jak wymogi strony wykonującej (SA musi być niezależną stroną trzecią), które można wykonać oddzielnie.
• Nieporozumienie 2: Działanie SRAA może obejmować zarówno identyfikację ryzyka, jak i kontrole zgodności w SDLC.Źle. Są to dwa różne rodzaje pracy.
• Błąd w zrozumieniu trzech: SRAA to skan przecieku lub test penetracji.Najgorsze.Badania infiltracyjne są tylko częścią testu szczeliny technicznej w SRA.Nie sam SRAA. Wiele firm konsultingowych błędnie określiło swoje opisy usług, mówiąc, że "SRA zazwyczaj zawierają testy penetracji".

Ważne jest, aby to wyjaśnić -- ponieważ jeśli zamierzasz użyć testu oscylacji do przygotowania SRAA, to jest on w kierunku początkowym.

SRA Jak: Cztery kroki

Ocena ryzyka w zakresie bezpieczeństwa na poziomie systemu opiera się na czterostopniowej linii głównej i kończy się na zdeponowaniu rejestru ryzyka systemu:

Identyfikacja ryzyka Tak. Analiza ryzyka Tak. Ocena ryzyka Tak. Usuwanie ryzyka

Definicja ryzyka jest prosta:Ryzyko = zagrożenie x luka x uderzenieNie wiem. Zagrożenia mogą wynikać z indywidualnych, organizacyjnych lub nawet środowiskowych warunków, które prowadzą do nieautoryzowanego dostępu, niszczenia / zmiany informacji lub odmowy świadczenia usług; luki w systemie bezpieczeństwa mogą być wykorzystywane przez zagrożenia.

Etap identyfikacji ryzyka obejmuje szeroki zakres obszarów, w tym 10 pozycji urzędowych: bezpieczeństwo zasobów ludzkich, zarządzanie aktywami, kontrolę dostępu, hasła, bezpieczeństwo fizyczne i środowiskowe, bezpieczeństwo operacyjne, bezpieczeństwo łączności, rozwój i utrzymanie systemów zamówień publicznych, bezpieczeństwo outsourcingu i ciągłość działalności IT. Proces identyfikacji dzieli się na dwa podprocesy:

• Uznawanie systemu informacyjnego: wszystkie systemy informacyjne w ramach jurysdykcji, niezależnie od źródła funduszy, są usuwane i wdrażaneWykaz i wycena aktywówNie wiem. Istnieją trzy kategorie wartości aktywów - wartość fizyczna (sprzęt / oprogramowanie / dane / dokumentacja / koszt zastępczy personelu), wartość niematerialna (towary, jakość usług), wartość informacyjna (klasyfikacja danych CIA III +).
• Uznawanie sytuacji ryzyka• Rozważyć źródła ryzyka, przyczyny i zdarzenia, zagrożenia i możliwości, luki i możliwości, zmiany w środowisku wewnętrznym i zewnętrznym, pojawiające się wskaźniki ryzyka, charakter i wartość aktywów, konsekwencje i skutki, ograniczenia wiedzy i niezawodność informacji, czynniki czasowe itp.

Informacje zgromadzone podczas identyfikacji są również specyficzne: potrzeby i cele w zakresie bezpieczeństwa; systemy / struktury sieciowe i mapy skalowalne; dowody na zgodność z fizycznym środowiskiem pomieszczeń; otwarte informacje przeszukiwalne; aktywa fizyczne; systemy operacyjne i systemy zarządzania siecią; bazy danych i dokumenty; informacje o aplikacjach i serwerach; protokoły i usługi sieciowe; środki kontroli dostępu; różne procesy operacyjne; mechanizmy identyfikacji; regulacyjne wymogi umowne; wytyczne polityczne; klasyfikacja systemu.

w tymPrzegląd systemuSkup się na: plikach systemowych i logach, procesach uruchamiania, plikach kontroli dostępu, listach użytkowników, ustawieniach konfiguracyjnych, poziomach łat, narzędziach szyfrowania lub uwierzytelniania, narzędziach do rur WWW, logach lub narzędziach do wykrywania włamań - przy jednoczesnym obserwowaniu wszelkich nietypowych działań, takich jak próby włamania.

Zrób to, gdy będzie trzeba.Badanie luki technicznejSkanowanie gap, testy infiltracji, przegląd konfiguracji, skanowanie źródła.Kluczowe obiektyPrzed podjęciem takich działań zespół oceniający musi uzgodnić z wydziałem zakres, ewentualny wpływ, proces powrotny / odzysk; jeżeli chodzi o poziom dokładności 2 i wyższy, należy odnieść się do planu ciągłości działania (BCP) i planu naprawy katastrof (DRP). Skanowanie gap obejmuje wykrywanie / wykrywanie warstw sieciowych, testowanie luk w systemie głównym, skanowanie systemu / aplikacji (w tym sieci Web) oraz sprawdzanie, czy odpowiednie ogłoszenia bezpieczeństwa wydane przez GovCERT.HK zostały wypełnione lub zrekompensowane.

Jak obliczyć ryzyko: macierz poziomu 3

Analiza ryzyka do ocenyWpływorazMożliweMusimy ich zidentyfikować.Istniejące kontroleI oceń ich skuteczność. Kontrole dzielą się na trzy kategorie: kontrola techniczna (zapory, szyfrowanie, złośliwe oprogramowanie, kontrola dostępu), kontrola fizyczna (CCTV, lufa do drzwi, ochrona przeciwpożarowa, fizyczne niszczenie danych), kontrola zarządzania (plan awaryjny, szkolenie personelu w zakresie bezpieczeństwa, polityka prywatności danych, plan gotowości na wypadek katastrofy).

Metody analityczne są jakościowe i ilościowe i mogą być również stosowane w podejściu matrycowym. Praktyczna formuła to:

Poziom ryzyka = wpływ x prawdopodobieństwo x hierarchia systemu (poziom)

Każda wartość poboru 3- high / 2- m / medium / 1- low, pomnożenie zakresu od 1 do 27:18- 27 Wysokie ryzyko, 9- 17 średnie ryzyko, 1- 8 niskie ryzykoNie wiem. I...Różne Systemy poziomu dokładności mają własną matrycę ryzyka.- To samo "średnie prawdopodobieństwo + wysoki wpływ": poziom ryzyka w Tier I, poziom ryzyka w Tier II, nawet jeśli jest to wysokie ryzyko, poziom ryzyka w Tier I jest wyższy. Im wyższa hierarchia systemów, tym mniejsza przestrzeń na błędy.

Rząd podał również dwie techniki:Na podstawie poprzednich wydarzeń(Odniesienie do raportów o incydentach związanych z bezpieczeństwem, literatury branżowej, wycieków historycznych ze strony usługodawców);Metoda szacowania trzech punktów(3-punktowa administracja), która pozwala ekspertom na podanie najbardziej optymistycznych wartości O, najbardziej prawdopodobnych M i najbardziej pesymistycznych wartości P, z triangulacją średniej. Jeśli P i O są zbyt daleko od siebie, M jest bardziej niezawodne, M może być ważone (np. cztery razy waga).

SA Jak: Zgodność

Audyty bezpieczeństwa odbywają się zgodnie z innym kierunkiem: kontrole zgodności z S17 oraz polityka bezpieczeństwa departamentów poprzez przeglądy dokumentów, wizyty na miejscu, wywiady wielopoziomowe, dyskusje panelowe, kwestionariusze itp. Zakres kontroli musi:Szczegółowe i uprzednie porozumienie z audytoramiPrzykłady oficjalnie podane to: bezpieczeństwo Internetu, bezpieczeństwo intranetowe, systemy informacyjne poziomu 2, bezpieczeństwo głównego komputera, bezpieczeństwo serwerów sieciowych (Web / mail server, etc.), komponenty sieciowe i sprzęt (firewalle, routery), bezpieczeństwo pomieszczeń, usługi sieciowe (usługi katalogowe, usługi pocztowe, zdalny dostęp), dokumentacja systemu i rejestry.

W przypadku audytów na poziomie sektorowym lub niespecyficznych, powszechną praktyką jest kontrolowanie wielkości i skuteczności ISM zdefiniowanych w S17 lub w ramach ISM będących własnością organizacji (polityki / normy / procedury).

Dostawa i 10 wspólnych działań

Oficjalne tłumaczenie regularnej działalności całego SRAA na 10, zasadniczo mapa drogowa integralności:

1. Sesja otwarcia: Uznawanie zakresu, celów, rezultatów
2. Planowanie projektów: Uzgodniony harmonogram dostawy i harmonogram
3. Przygotuj się do sprawdzenia.: Potwierdzenie formularzy kontrolnych z wydziałami
4. Przygotowanie do wycofania / odzyskania: badania techniczne, takie jak skanowanie luk, badanie penetracji itp.
5. Identyfikacja i wycena aktywów: Identyfikacja i ocena aktywów w uzgodnionych granicach
6. Ocena ryzykaAnaliza ryzyka Analiza ryzyka Ocena ryzyka
7. Dostawa raportu SRA, plan likwidacji ryzyka, rejestr ryzyka systemu
8. Sprawozdawczość w zakresie zarządzaniaWyniki i ustalenia
9. Kontrola bezpieczeństwaSprawozdanie z wyników audytu
10. Ochrona danych i wyników, plany działań następczych, przegląd zabezpieczeń, dostarczanie sprawozdań z walidacji, sprawozdawczość w obiegu zamkniętym

Widzisz,Dostawa nie jest raportem.Lista kontrolna SRA-to-side risk and disation plan, listy kontrolne SA-to-side zgodności i sprawozdania z audytu oraz sprawozdania z walidacji w celu potwierdzenia wyników przeglądu każdego odkrycia w celu zamknięcia.

Kto to zrobi? Co się stanie?

Niezależne osoby trzecie są trudne do żądania.- Audyty bezpieczeństwa muszą być przeprowadzane przez niezależną stronę trzecią, a zalecenia SRA muszą być również skierowane do osoby trzeciej. Oficjalnie zadania konsultantów / audytorów są jasno określone: posiadają niezbędne umiejętności i wiedzę fachową, rozumieją wpływ każdego z narzędzi,Przed przeprowadzaniem testów włamania należy uzyskać pisemne zezwolenie od zainteresowanych stron, takich jak ISP i policja.Niezależnie od tego, czy test się powiedzie, sprawozdanie odzwierciedla politykę bezpieczeństwa i potrzeby operacyjne departamentu, identyfikuje znaczące zagrożenia lub niezgodności, niezwłocznie przedstawia sprawozdania i potwierdza dowody na żądanie.

Ochrona danych jest kolejnym łatwo zaniedbanym punktem: podczas procesu oceny gromadzone są duże ilości danych konfiguracyjnych i wrażliwych.Trzeba zorganizować narzędzia szyfrujące i szafki zamykane na etapie planowania; narzędzia oceny będą kontrolowane, obsługiwane wyłącznie przez ekspertów zespołu i usuwane natychmiast po ich wyczerpaniu; sprawozdania z oceny, które nie są upoważnione do odwiedzenia przed modyfikacją, same w sobie stanowią bezpośrednie zagrożenie, a zatem proces i sprawozdanie końcowe będą ściśle poufne; a po zakończeniu wszystkie informacje zostaną zwrócone iCofnięcie tymczasowego dostępu przyznanego biegłym rewidentomNie wiem.

Usługi te opierają się na: dostarczaniu informacji dotyczących dokumentacji, takich jak mapy sieciowe, instrukcje obsługi, listy kontroli dostępu, polityki bezpieczeństwa / normy / wytyczne / procedury; zapewnianiu wzajemnej pomocy, takich jak sieci, zapory sieciowe, zarządzanie systemem; oraz organizacji wizyt na miejscu.

Warto to zrobić.

Jest oficjalne oświadczenie:- Wartość oceny ryzyka i audytu nie znajduje się w samych zaleceniach, ale w ich skutecznym wdrażaniu. Zarządzanie jest odpowiedzialne za wdrażanie w momencie wydania zalecenia; jeżeli decyzja nie jest wykonywana, należy przyjąć odpowiednie ryzyko i w pełni uzasadnić. Działania następcze obejmują trzy obszary niepokojące: skuteczność, kwalifikacje i terminowość adaptacji. Pozycje wysokiego ryzyka uważa się za zmodyfikowane lub wzmocnione tak szybko jak to możliwe i są gotowe do procedur regresji.

Jaka jest wartość referencyjna dla regionu spoza Hongkongu?

Chociaż SRAA jest produktem systemu rządu Hongkongu, jego szkielety są wspólne:Ocena ryzyka "ryzyko", zgodność z wymogami kontroli bezpieczeństwa, zarówno odrębna, możliwa do dostarczenia, jak i zamknięta weryfikacja pętliNie wiem. Ten zestaw pomysłów i wewnętrznych odpowiedników oceny gwarancji, Certyfikaty ISO / IEC 27001 są zgodne duchowo - najpierw oczyścić aktywa, a następnie obliczyć ryzyko (wpływ x prawdopodobieństwa x klasyfikacji systemu), a następnie przydzielić zasoby zagrożone i poniżej, a następnie wykorzystać niezależny audyt do potwierdzenia zgodności.

Jeśli Twoja organizacja tworzy ramy zarządzania bezpieczeństwem, iteracyjna pętla zestawu oceny SRAA - dystrybucja - kontrola-walidacja jest bardzo przydatnym szablonem. Zwłaszcza ten ".Rejestr ryzyka + plan unieszkodliwiania + sprawozdanie z walidacji"Te trzy zestawy są o wiele bardziej stałe niż złożenie tylko jednego sprawozdania z badań przepuszczalności.

Bezpieczeństwo nie jest oceną, ale zamkniętą pętlą, która wciąż się pokrywa.