SRAA Nome completo: Avaliação de Risco de Segurança e Auditoria: O que o Governo de Hong Kong está avaliando?

Em Hong Kong, você nunca vai escapar com uma palavra: SRAA. Nome completo Avaliação do risco de segurança e auxíliosEm chinês, chama-se “Avaliação e auditoria do risco de segurança” (também traduzida como “Avaliação e auditoria do risco de segurança”). Não é um produto de um fabricante, é...Um conjunto obrigatório de requisitos de avaliação e auditoria da segurança estabelecidos pelo Governo de Hong KongTodos os departamentos governamentais, departamentos/escritórios (B/Ds) e agências financiadas pelo governo são obrigados a implementá-los e apresentar relatórios de certificação independentes.

Este conjunto de requisitos baseia-se no Office of Digital Policy Office, DPO, anteriormente OGCIO, Guia de Práticas de Avaliação e Auditoria de Risco de Segurança (No. ISPG-SM01Os documentos que os acompanham incluem também a Política de Segurança TI de base [S17] e as Orientações de Segurança TI [G3]. A última edição publicada em agosto de 2026, v2.2Foi adicionado um “SRAA Process and Delivery Baseline Check Sheet”.

Suas referências normativas também são indicativas de posicionamento: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 diretrizes de gestão de risco, e NISTIR 8286 (incorporando cibersegurança na gestão de risco empresarial (ERM)). Por outras palavras,SRAA é uma estrutura governamental para localizar padrões internacionaisNão sei.

Distinção entre SRA e SA

Muitas pessoas tomam o SRAA como uma coisa, mas é uma combinação de duas coisas que são completamente diferentes:

• Avaliação do risco de segurança (SRA)Identificação, análise, avaliação dos riscos de segurança e identificação das medidas de eliminação para reduzir os riscos para níveis aceitáveis. A perspectiva é:Risco“O âmbito da avaliação não está necessariamente ligado à política de segurança.
• Auditoria de segurança (SA, auditoria de segurança)Auditoria versus política/normas de segurançaNível de conformidade, verificar se as medidas de protecção existentes são correctamente aplicadas. A perspectiva é:Cumprimento“Em contraste com o S17, o G3 ou a própria política de segurança do setor.

O funcionário nos deu uma tabela comparativa que fez a diferença perfeitamente clara:

• Cuidado.: SRA é uma perspectiva de risco; SA é uma perspectiva de conformidade
• Executar a ParteAs ARS podem ser avaliadas pelo próprio serviço (auto-avaliação) ou por terceiros;O SA deve ser feito por um terceiro independente
• Entregas de chaves: Rendição do SRARegisto de risco + medidas de eliminação de risco; Rendição da SAVerificação de conformidade
• Tempo: novo sistema no ciclo de vida do desenvolvimento (SDLC)IniciarOs sistemas já on-line são feitos regularmente ao longo do ciclo de vida, ou quando ocorrem mudanças significativas no ambiente de TI

Três dos equívocos mais comuns.

O ISPG-SM01, da versão 2.0 (Abril de 2024), esclareceu especificamente alguns equívocos amplamente compartilhados que deveriam ter sido ouvidos neste negócio:

• Um equívoco: o SRA e o SA devem fazê-lo em conjunto, elaborar um relatório "dois em um".Errado. A natureza dos dois é diferente, assim como os requisitos da parte executora (SA deve ser um terceiro independente), o que pode ser feito separadamente.
• Desentendimento 2: A atividade SRAA pode abranger tanto a identificação de risco quanto a verificação da conformidade em SDLC.Errado. Estes são dois tipos diferentes de trabalho.
• Mal entendido três: SRAA é um exame de vazamento ou penetração.O mais errado.Os testes de infiltração são apenas parte do teste de gap técnico no SRA.Não o SRAA em si. Muitas das empresas de consultoria escreveram mal suas descrições de serviço, dizendo que “SRAs geralmente incluem testes de penetração”.

É importante deixar isso claro -- porque se você vai usar o Teste de Oscilação para preparar o SRAA, foi na direção do início.

SRA Como: Quatro Passos

A avaliação do risco de segurança ao nível do sistema baseia-se numa linha principal de quatro etapas e termina com a deposição do registo do risco do sistema:

Identificação do risco Sim. Análise de Risco Sim. Avaliação de Risco Sim. Eliminação do Risco

A definição de risco é simples:Risco = ameaça x lacuna x impactoNão sei. Ameaças podem advir de condições individuais, organizacionais ou mesmo ambientais, levando a acesso não autorizado, destruição/alteração de informações ou negação de serviços; lacunas são fraquezas ou lacunas no sistema de segurança que podem ser exploradas por ameaças.

A fase de identificação de risco abrange uma ampla gama de áreas, com 10 itens oficiais: segurança de recursos humanos, gestão de ativos, controle de acesso, senhas, segurança física e ambiental, segurança operacional, segurança de comunicações, desenvolvimento e manutenção de aquisições de sistemas, segurança terceirizada e segurança de TI de continuidade de negócios. O processo de identificação divide-se em dois subprocessos:

• Reconhecimento do sistema de informação: todos os sistemas de informação dentro da jurisdição, independentemente da fonte de fundos, são removidos e implementadosLista e avaliação dos activosNão sei. Existem três categorias de valor do activo - valor físico (equipamento/software/dados/documentação/custo de substituição do pessoal), valor intangível (bens, qualidade do serviço), valor da informação (classificação de dados CIA III+).
• Reconhecimento de cenários de risco• Considere fontes de risco, causas e eventos, ameaças e oportunidades, lacunas e capacidades, mudanças no ambiente interno e externo, indicadores de risco emergentes, natureza e valor dos ativos, consequências e impactos, limitações de conhecimento e confiabilidade da informação, fatores de tempo, etc.

As informações coletadas durante a identificação também são específicas: necessidades e objetivos de segurança; sistemas/estruturas de rede e mapas de ampliação; evidências de conformidade com o ambiente físico das salas; informações abertas pesquisáveis; ativos físicos; sistemas operacionais e sistemas de gestão de rede; bases de dados e documentos; aplicações e informações de servidor; protocolos e serviços de rede; medidas de controle de acesso; diversos processos operacionais; mecanismos de identificação; requisitos de contrato regulatório; diretrizes de políticas; classificação de sistema.

das quais:Revisão do sistemaFoco em: Arquivos e logs do sistema, processos em execução, arquivos de controle de acesso, listas de usuários, configurações, níveis de patch, ferramentas de criptografia ou autenticação, ferramentas de tubulação da web, logs ou ferramentas de detecção de intrusão - mantendo um olho em qualquer atividade incomum, como uma tentativa de intrusão.

Faça-o quando necessário.Ensaios técnicos de lacunasEscaneamento de gap, testes de infiltração, revisão de configuração, varredura de fonte.Instalações-chaveAntes de fazer isso, a equipe de avaliação deve concordar com o departamento sobre o escopo, possível impacto, processo de recuperação/retorno; se o nível 2 e superior estiver envolvido, deve ser feita referência ao Plano de Continuidade de Negócios (BCP) e ao Plano de Recuperação de Desastres (DRP). As varreduras de gap cobrem detecção/descoberta de camada de rede, teste de falha de mainframe, varreduras de sistema/aplicação (incluindo Web) e verificam se os anúncios de segurança relevantes emitidos pela GovCERT.HK foram preenchidos ou compensados.

Como calcular o risco: matriz de nível 3

Análise de risco a avaliarImpactoePossívelTemos de identificá-los.Controlos existentesE avaliar a sua eficácia. Os controlos inserem-se em três categorias: controlo técnico (firewalls, encriptação, software malicioso, controlo de acesso), controlo físico (CCTV, barra de portas, protecção contra incêndios, destruição de dados físicos), controlo de gestão (plano de resposta de emergência, formação em segurança do pessoal, política de privacidade de dados, plano de preparação para catástrofes).

Os métodos analíticos são qualitativos e quantitativos, podendo também ser utilizados em abordagens matriciais. Uma fórmula prática é:

Nível de risco = impacto x probabilidade x hierarquia do sistema (Tier)

Cada um tem valor 3-alto / 2-m/ médio / 1-baixo, multiplique intervalo 1 a 27:18-27 Alto risco, 9-17 médio risco, 1-8 baixo riscoNão sei. E...Diferente Os sistemas de nível têm sua própria matriz de risco.– Mesma "probabilidade média + alto impacto": Tier 1 conta risco, Tier 2 mesmo que seja alto risco, Tier 3 é mais alto risco. Quanto maior a hierarquia dos sistemas, menor o espaço para erros.

O governo também deu duas técnicas:Baseado em eventos passados(Referência aos relatórios de incidentes de segurança, literatura da indústria, fugas históricas por parte dos prestadores de serviços);Método de estimativa de três pontos(Administração de três pontos) que permite que os especialistas dêem os valores mais otimistas de O, M e P mais pessimistas, respectivamente, com uma triangulação da média. Se P e O estiverem muito distantes, M é mais confiável, M pode ser ponderado (por exemplo, quatro vezes o peso).

SA Como: Cumprimento

As auditorias de segurança seguem outra linha: verificações de conformidade contra o S17 e políticas de segurança departamentais através de revisões de documentos, visitas ao site, entrevistas multinível, discussões de painel, questionários, etc. O âmbito da auditoria deveAcordo específico e prévio com os auditoresExemplos oficialmente dados incluem a segurança da Internet, segurança Intranet, sistemas de informação de nível 2, segurança do mainframe, segurança do servidor de rede (Web/mail server, etc.), componentes de rede e equipamentos (firewalls, roteadores), segurança da sala, serviços de rede (serviços de catálogo, serviços de correio, acesso remoto), documentação do sistema e registros.

No que diz respeito às auditorias sectoriais ou não específicas, é prática comum proceder à auditoria da dimensão e da eficácia dos MSI, tal como definidos no quadro S17 ou ISM (políticas/normas/procedimentos) da organização.

Entrega e 10 atividades comuns

A tradução oficial da atividade regular de todo o SRAA em 10, basicamente um roteiro de integridade:

1. Sessão de abertura: Reconhecimento da cobertura, objectivos, resultados
2. Planeamento de projectos: Programa de entrega acordado e agenda
3. Preparem-se para verificar.: Confirmação dos formulários de inspecção com os serviços
4. Preparar para retirada/recuperação: testes técnicos, tais como escaneamento de abertura, teste de penetração, etc.
5. Identificação e avaliação dos activos: Identificação e avaliação dos activos dentro dos limites acordados
6. Avaliação dos riscosIdentificação de risco Análise de risco Avaliação de risco
7. Apresentação do relatório SRA, plano de eliminação de risco, registo de risco do sistema
8. Relatórios à gestãoResultados e resultados
9. Auditoria de segurançaRelatório sobre os resultados da auditoria
10. Proteção de dados e resultados, planos de acompanhamento, revisão de salvaguardas, entrega de relatórios de validação, relatórios em circuito fechado

Você pode ver,Entrega não é um relatório.O plano de registo e eliminação de riscos side-to-side SRA, as listas de verificação de conformidade lado a lado SA e os relatórios de auditoria e, por último, os relatórios de validação para confirmar os resultados de revisão de cada descoberta para encerramento.

Quem vai fazê-lo? O que vai acontecer?

Terceiros independentes são difíceis de exigir.— As auditorias de segurança devem ser conduzidas por terceiros independentes e as recomendações SRA devem também ser dirigidas a terceiros. Oficialmente, as funções dos consultores/auditores são claramente definidas: possuem as competências e competências necessárias, compreendem o impacto de cada instrumento,Antes de realizar testes hack, você deve obter autorização por escrito de partes interessadas, como ISP e da polícia.Se o teste é ou não bem sucedido, o relatório reflete a política de segurança do departamento e as necessidades operacionais, identifica riscos significativos ou não-conformidades, relatórios imediatamente, e apoia evidências sob demanda.

A proteção de dados é outro ponto facilmente negligenciado: grandes quantidades de configuração e dados sensíveis são coletados durante o processo de avaliação.Necessidade de arranjar ferramentas de encriptação e armários de segurança na fase de planeamento; as ferramentas de avaliação serão controladas, operadas apenas por especialistas da equipe e removidas imediatamente após o seu esgotamento; relatórios de avaliação que não estão autorizados a visitar antes da modificação são eles mesmos uma ameaça direta, de modo que o processo e o relatório final serão estritamente confidenciais; e, após a conclusão, todas as informações serão devolvidas eRetirada do acesso temporário concedido aos auditoresNão sei.

Os serviços têm como premissa: fornecimento de informações documentais, tais como mapas de rede, manuais operacionais, listas de controle de acesso, políticas de segurança/normas/orientações/procedimentos; fornecimento de suporte por pares, como redes, firewalls, gerenciamento de sistemas e organização de visitas ao site.

O acompanhamento vale a pena.

Há uma declaração oficial:“O valor da avaliação de risco e da auditoria não está nas próprias recomendações, mas na sua efetiva implementação.” A gestão é responsável pela implementação quando a recomendação é feita; se a decisão não for executada, o risco correspondente deve ser assumido e plenamente justificado. O seguimento está estruturado em torno de três domínios de preocupação: eficácia, qualificações e actualidade da adaptação. Os itens de alto risco são encontrados modificados ou reforçados o mais rapidamente possível e estão prontos para procedimentos de regressão.

Qual é o valor de referência para a região não-Hong Kong?

Embora o SRAA seja um produto do sistema de governo de Hong Kong, seus esqueletos são comuns:Verificação de risco “risco”, auditoria de segurança”, verificação separada, facultativa e fechadaNão sei. Este conjunto de ideias e avaliações de garantia de equivalentes interiores, certificação ISO/IEC 27001 são espiritualmente compatíveis - primeiro limpar os ativos e depois calcular os riscos (impacto x probabilidade x classificação do sistema), em seguida, alocar os recursos em risco e abaixo, e, finalmente, usar uma auditoria independente para confirmar a conformidade.

Se sua organização está configurando uma estrutura de governança de segurança, o loop iterativo do conjunto de avaliação-disposição-auditoria-validação SRAA é um modelo muito útil. Especialmente aquele."Registo de risco + plano de eliminação + relatório de validação“Os três conjuntos são muito mais sólidos do que a apresentação de apenas um relatório de teste de permeabilidade.

A segurança não é uma avaliação, mas um ciclo fechado que continua a sobrepor-se.