SRAA Nume complet: Security Risk Assessment and Audit: Ce evaluează guvernul din Hong Kong?

În Hong Kong, nu vei scăpa cu un singur cuvânt: SRAA. Nume complet Evaluarea riscurilor de securitate și ajutorÎn China, se numește "evaluarea riscurilor" și "audit" (de asemenea, traduse ca "evaluarea riscurilor" și "audit"). Nu este un produs al unui producător, este...Un set obligatoriu de cerințe de evaluare a securității și de audit stabilite de guvernul Hong KongToate departamentele guvernamentale, departamentele/birourile (B/D) și agențiile finanțate de guvern sunt obligate să le pună în aplicare și să prezinte rapoarte independente de certificare.

Acest set de cerințe se bazează pe Oficiul de Politici Digitale, DPO, fost OGCIO, Ghidul de Practică pentru Evaluarea Riscului de Securitate și Audit (nr. ISPG-SM01Documentele însoțitoare includ, de asemenea, Politica de bază în domeniul securității informatice [S17] și Orientările privind securitatea informatică [G3]. Cea mai recentă ediţie publicată în august 2026, v2. 2A fost adăugată o verificare de bază a procesului și a livrării.

Referințele sale normative sunt, de asemenea, indicative de poziționare: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 liniile directoare de gestionare a riscurilor și NISTIR 8286 (incorporarea securității cibernetice în gestionarea riscurilor întreprinderilor (ERM). Cu alte cuvinte,SRAA este un cadru la nivel guvernamental pentru localizarea standardelor internaționaleNu ştiu.

Distincția dintre SRA și SA

O mulțime de oameni iau SRAA ca un singur lucru, dar este o combinație de două lucruri care sunt complet diferite:

• Evaluarea riscurilor de securitate (RSA)Identificarea, analiza, evaluarea riscurilor de siguranță și identificarea măsurilor de eliminare pentru a reduce riscurile la niveluri acceptabile. Perspectiva este:RiscDomeniul de aplicare al evaluării nu este neapărat legat de politica de securitate.
• Audit de securitate (SA, audit de securitate)Audit versus politici/standarde de securitateNivelul de conformitate, verifică dacă măsurile de protecție existente sunt puse în aplicare în mod corect. Perspectiva este:ConformitateaÎn contrast cu S17, G3 sau politica de securitate a sectorului.

Oficialul ne-a dat un tabel comparativ care a făcut diferența perfect clar:

• Ai grijă.: SRA este o perspectivă de risc; SA este o perspectivă de conformitate
• Partea care executăARA poate fi evaluată chiar de către departament (autoevaluare) sau de către terți;SA trebuie să fie efectuată de un terț independent
• Rezultate cheie:SRA capitulareRegistrul de risc + măsurile de eliminare a riscurilor;SA predareLista de verificare a conformității
• Sincronizare: sistem nou în ciclul de viață de dezvoltare (SDLC)StartDo SRA; sistemele deja online sunt efectuate în mod regulat pe tot parcursul ciclului de viață sau atunci când apar schimbări semnificative în mediul informatic

Trei dintre cele mai frecvente concepţii greşite.

ISPG-SM01, din versiunea 2.0 (aprilie 2024), a clarificat în mod specific câteva concepții greșite pe scară largă care ar fi trebuit auzite în această afacere:

• Înţelegere greşită: SRA şi SA trebuie să o facă împreună, să prezinte un raport "doi la unu."Greşit. Natura celor două este diferită, la fel ca și cerințele părții care aplică legea (SA trebuie să fie o parte terță independentă), care poate fi realizată separat.
• Neînțelegerea 2: O activitate SRAA poate acoperi atât identificarea riscurilor, cât și verificarea conformității în SDLC.Greşit. Acestea sunt două tipuri diferite de muncă.
• Neînțelegerea trei: SRAA este un test de scurgere sau penetrare.Cel mai greşit.Testele de infiltrare sunt doar o parte a testului de decalaj tehnic în SRA.Nu SRAA în sine. Multe dintre firmele de consultanţă şi-au scris greşit descrierile de serviciu, spunând că

Este important să fie clar -- pentru că dacă vrei să foloseşti testul Oscillation pentru a pregăti SRAA, a fost în direcţia începutului.

SRA Cum: patru etape

Evaluarea riscului de securitate la nivel de sistem se bazează pe o linie principală în patru etape și se încheie cu depunerea registrului de risc al sistemului:

Identificarea riscului Da. Analiza riscurilor Da. Evaluarea riscurilor Da. Eliminarea riscului

Definiția riscului este simplă:Risc = amenințare x impactNu ştiu. Ameninţările pot proveni din condiţii individuale, organizatorice sau chiar de mediu, ceea ce duce la acces neautorizat, distrugerea/alterarea informaţiei sau negarea serviciilor; lacunele sunt puncte slabe sau lacune în sistemul de securitate care pot fi exploatate de ameninţări.

Faza de identificare a riscurilor acoperă o gamă largă de domenii, cu 10 elemente oficiale: securitatea resurselor umane, gestionarea activelor, controlul accesului, parolele, securitatea fizică și de mediu, securitatea operațională, securitatea comunicațiilor, dezvoltarea și întreținerea achizițiilor publice de sistem, securitatea externă și continuitatea activității, securitatea informatică. Procesul de identificare este împărțit în două subprocese:

• Recunoașterea sistemului informatic: toate sistemele de informații aflate în jurisdicția, indiferent de sursa de fonduri, sunt eliminate și puse în aplicareLista și evaluarea activelorNu ştiu. Există trei categorii de valori ale activelor - valoare fizică (echipamente/produse software/date/documentare/costuri de înlocuire ale personalului), valoare intangibilă (bunuri, calitatea serviciului), valoare informaţională (clasificarea datelor CIA III+).
• Recunoașterea scenei de risc• Să ia în considerare sursele de risc, cauzele și evenimentele, amenințările și oportunitățile, lacunele și capacitățile, schimbările din mediul intern și extern, indicatorii de risc emergente, natura și valoarea activelor, consecințele și impactul, limitările cunoștințelor și fiabilitatea informațiilor, factorii de timp etc.

Informațiile colectate în timpul identificării sunt, de asemenea, specifice: nevoile și obiectivele în materie de securitate; sistemele/structurile de rețea și hărțile de scară-up; dovada conformității cu mediul fizic al sălilor; informațiile disponibile pentru căutare; activele fizice; sistemele de operare și sistemele de gestionare a rețelei; bazele de date și documentele; aplicațiile și informațiile privind serverele; protocoalele de rețea și serviciile; măsurile de control al accesului; diferitele procese de operare; mecanismele de identificare; cerințele contractuale de reglementare; orientările politice; clasificarea sistemului.

din careRevizuirea sistemuluiConcentrează-te pe: fișiere de sistem și jurnale, procese de funcționare, fișiere de control acces, liste de utilizatori, setări de configurare, niveluri de patch-uri, instrumente de criptare sau autentificare, instrumente de conducte web, jurnale, sau instrumente de detectare a intruziunilor - în timp ce ține un ochi pe orice activitate neobișnuită, cum ar fi o încercare de intruziune.

Fă-o când e nevoie.Testarea lacunelor tehniceScanare Gap, testare infiltrare, revizuire configuratie, scanare sursa.Sediul principalÎnainte de aceasta, echipa de evaluare trebuie să fie de acord cu departamentul în ceea ce privește domeniul de aplicare, impactul posibil, procesul de recuperare/recuperare; dacă este implicat nivelul 2 și mai sus, ar trebui să se facă trimitere la Planul de continuitate a activității (BCP) și la Planul de redresare în caz de dezastre (DRP). Scanările Gap acoperă detectarea/descoperirea stratului de rețea, testarea lacunei principale, scanarea sistemului/aplicației (inclusiv Web) și verifică dacă anunțurile de securitate relevante emise de GovCERT.HK au fost completate sau compensate.

Cum se calculează riscul: matricea de nivel 3

Analiza riscurilor pentru evaluareImpactşiPosibil.Trebuie să-i identificăm.Controalele existenteȘi să evalueze eficacitatea lor. Controalele se încadrează în trei categorii: control tehnic (firewall-uri, criptare, software rău intenționat, control al accesului), control fizic (CCTV, ușă-barel, protecție împotriva incendiilor, distrugerea datelor fizice), control de management (plan de răspuns de urgență, formare de siguranță a personalului, politica de confidențialitate a datelor, plan de pregătire pentru dezastre).

Metodele analitice sunt calitative și cantitative și pot fi utilizate și în abordările matricei. O formulă practică este:

Nivel de risc = impact x probabilitate x ierarhia sistemului (Tier)

Fiecare valoare ia 3- high / 2- m/ mediu / 1- scăzut, se multiplică între 1 şi 27:18-27 Risc ridicat, 9-17 risc mediu, 1-8 risc scăzutNu ştiu. Şi...Diferit Sistemele de nivelare au propria matrice de risc."Aceeași probabilitate medie + impact ridicat": riscul de nivel 1, riscul de nivel 2, chiar dacă este de risc ridicat, nivelul 3 este un risc mai ridicat. Cu cât e mai mare ierarhia sistemelor, cu atât e mai mic spaţiul pentru erori.

Guvernul a dat, de asemenea, două tehnici:Pe baza evenimentelor trecute(Referință la rapoartele de incidente de securitate, literatura de specialitate, scurgerile istorice ale furnizorilor de servicii);Metoda de estimare în trei puncte(Three-Point Administration) care permite experţilor să ofere cele mai optimiste valori O, cel mai probabil M, şi, respectiv, P pesimiste, cu o triangulare a mediei. Dacă P și O sunt prea departe, M este mai eficient, M poate fi ponderată (de exemplu, de patru ori greutatea).

SA Cum: conformare

Auditurile de securitate urmează o altă linie: verificări ale conformității cu S17 și politici de securitate departamentale prin evaluări ale documentelor, vizite la fața locului, interviuri pe mai multe niveluri, discuții cu comisiile, chestionare etc. Domeniul de aplicare al auditului trebuieAcord specific și prealabil cu auditoriiExemplele oferite oficial includ securitatea internetului, securitatea intranetului, sistemele informatice de nivel 2, securitatea serverului principal, securitatea serverelor de rețea (server web/mail etc.), componentele rețelei și echipamentele (firewall-uri, routere), securitatea încăperilor, serviciile de rețea (servicii cataloage, servicii poștale, acces la distanță), documentația sistemului și înregistrările.

În cazul auditurilor sectoriale sau nespecifice, este o practică comună să se verifice dimensiunea și eficacitatea MSI, astfel cum sunt definite în S17 sau în cadrul MSI deținute de organizație (politici/standarde/proceduri).

Livrarea și 10 activități comune

Traducerea oficială a activităţii regulate a întregii SRAA în 10, practic o hartă a integrităţii:

1. Sesiunea de deschidere: Recunoașterea acoperirii, obiective, rezultate
2. Planificarea proiectelor: Orarul de livrare convenit
3. Pregăteşte-te să verifici.: Confirmarea formularelor de inspecție cu departamentele
4. Pregătirea pentru retragere/recuperare: teste tehnice, cum ar fi scanarea decalajelor, testarea penetrării etc.
5. Identificarea și evaluarea activelor: Identificarea și evaluarea activelor în limitele convenite
6. Evaluarea riscurilorIdentificarea riscului Analiza riscului Evaluarea riscului
7. Livrarea raportului SRA, a planului de eliminare a riscurilor, a registrului de risc al sistemului
8. Raportarea către conducereRezultate și constatări
9. Audit de securitateRaport privind rezultatele auditului
10. Protecția datelor și a rezultatelor, planurile de monitorizare, revizuirea garanțiilor, transmiterea rapoartelor de validare, raportarea buclei închise

Poţi vedea,Livrarea nu este un raport.Registrul de risc și planul de eliminare SRA, listele de verificare a conformității și rapoartele de audit și, în cele din urmă, rapoartele de validare pentru a confirma rezultatele revizuirii fiecărei descoperiri în vederea închiderii.

Cine o va face? Ce se va întâmpla?

Terţe părţi independente sunt greu de solicitat.Auditurile de securitate trebuie efectuate de un terţ independent, iar recomandările SRA trebuie adresate şi unei terţe părţi. În mod oficial, sarcinile consultanților/auditorilor sunt clar definite: aceștia au competențele și expertiza necesare, înțeleg impactul fiecărui instrument;Înainte de efectuarea testelor hack, trebuie să obțineți autorizație scrisă de la părțile interesate, cum ar fi ISP și poliție.Indiferent dacă testul are succes sau nu, raportul reflectă politica de securitate și nevoile operaționale ale departamentului, identifică riscuri semnificative sau neconformități, raportează imediat și sprijină dovezile la cerere.

Protecția datelor este un alt punct ușor de neglijat: în timpul procesului de evaluare sunt colectate cantități mari de configurare și date sensibile.Necesitatea de a aranja pentru instrumente de criptare și dulapuri de blocare în etapa de planificare; instrumentele de evaluare vor fi controlate, operate numai de experți în echipă și eliminate imediat după ce au fost epuizate; rapoartele de evaluare care nu sunt autorizate să viziteze înainte de modificare sunt ele însele o amenințare directă, astfel încât procesul și raportul final vor fi strict confidențiale; și, după finalizarea, toate informațiile vor fi returnate șiRetragerea accesului temporar acordat auditorilorNu ştiu.

Serviciile sunt premiate pe: furnizarea de informații documentare, cum ar fi hărți de rețea, manuale de operare, liste de control al accesului, politici de securitate/standarde/ghiduri/proceduri; furnizarea de sprijin inter pares, cum ar fi rețelele, firewall-urile, gestionarea sistemului; și organizarea vizitelor site-ului.

Urmărirea merită.

Există o declaraţie oficială:“The value of risk assessment and auditing is not in the recommendations themselves, but in their effective implementation.” În cazul în care decizia nu este pusă în aplicare, trebuie asumat și justificat pe deplin riscul corespunzător. Monitorizarea este structurată în jurul a trei domenii de interes: eficacitatea, calificările și oportunitatea adaptării. Se constată că elementele cu risc ridicat sunt modificate sau consolidate cât mai curând posibil și sunt pregătite pentru procedurile de regresie.

Care este valoarea de referință pentru regiunea non-Hong Kong?

Deși SRAA este un produs al sistemului guvernamental din Hong Kong, scheletele sale sunt comune:Evaluarea riscurilorNu ştiu. Acest set de idei si echivalenti interioare evaluari de garantie, certificari ISO/IEC 27001 sunt compatibile din punct de vedere spiritual - mai intai clar active si apoi calcula riscurile (impact x probabilitate x clasificarea sistemului), apoi aloca resursele la risc si mai jos, si in cele din urma utiliza un audit independent pentru a confirma conformitatea.

Dacă organizaţia dumneavoastră stabileşte un cadru de guvernanţă a securităţii, bucla iterativă a setului de evaluare-validare a SRAA-audit-validare este un model foarte util. Mai ales acela."Registrul de risc + planul de eliminare + raportul de validare“The three sets are much more solid than the submission of only one permeability test report.

Siguranța nu este o evaluare, ci o buclă închisă care continuă să se suprapună.