Оценка и аудит рисков безопасности: что оценивает правительство Гонконга?

В Гонконге вам никогда не сойдет с рук одно слово: SRAA. Полное имя Оценка рисков безопасности и помощьНа китайском языке это называется «Оценка и аудит риска безопасности» (также переводится как «Оценка и аудит риска безопасности»). Это не продукт производителя, это...Обязательный набор требований по оценке безопасности и аудиту, установленный правительством ГонконгаВсе правительственные департаменты, департаменты/офисы (B/Ds) и финансируемые правительством учреждения обязаны осуществлять их и представлять независимые отчеты о сертификации.

Этот набор требований основан на Office of Digital Policy Office, DPO, ранее OGCIO, Practice Guide for Security Risk Assessment & Audit (No. ISPG-SM01Сопроводительные документы также включают в себя базовую политику безопасности ИТ [S17] и руководящие принципы безопасности ИТ [G3]. Последнее издание, опубликованное в августе 2026 года, v2.2.2Добавлен «Базовый контрольный лист процесса и доставки SRAA».

Его нормативные ссылки также указывают на позиционирование: ISO / IEC 27000, 27001, 70002, 27005, ISO 31000:2018 руководства по управлению рисками и NISTIR 8286 (включение кибербезопасности в управление рисками предприятия (ERM)). Другими словами,SRAA является правительственной структурой для локализации международных стандартов.Я не знаю.

Различия между SRA и SA

Многие люди воспринимают SRAA как одно, но это сочетание двух совершенно разных вещей:

• Оценка рисков безопасности (SRA)Выявление, анализ, оценка рисков безопасности и определение мер по снижению рисков до приемлемых уровней. Перспектива такова:Риск«Сфера охвата оценки не обязательно связана с политикой безопасности.
• Аудит безопасности (SA, Security Audit)Аудит против политики / стандартов безопасностиУровень соблюденияУбедитесь, что существующие защитные меры выполнены правильно. Перспектива такова:Соблюдение"В отличие от S17, G3 или собственной политики сектора в области безопасности.

Чиновник дал нам сравнительную таблицу, которая сделала разницу совершенно ясной:

• Смотри.SRA - это перспектива риска; SA - это перспектива соответствия.
• Исполнительная партияСРА могут быть оценены самим департаментом (самооценка) или третьими лицами;СА должно быть сделано независимой третьей стороной
• Ключевые результаты:SRA капитуляцияРеестр рисков + меры по устранению рисковСА капитулируетКонтрольный список соответствия
• ВремяНовая система жизненного цикла развития (SDLC)НачинатьСРА; уже онлайн-системы регулярно выполняются на протяжении всего жизненного цикла или когда происходят значительные изменения в ИТ-среде.

Три самых распространенных заблуждения.

ISPG-SM01 из версии 2.0 (апрель 2024 г.) специально разъяснил несколько широко распространенных заблуждений, которые должны были быть услышаны в этом бизнесе:

• Непонимание одного: СРА и СА должны сделать это вместе, подготовить доклад «два в одном».Неправильно. Характер этих двух факторов различен, равно как и требования стороны, осуществляющей правоприменение (SA должна быть независимой третьей стороной), что может быть сделано отдельно.
• Непонимание 2: Деятельность SRAA может охватывать как идентификацию рисков, так и проверку соответствия в SDLC.Неправильно. Это два разных типа работы.
• Непонимание трех: SRAA - это сканирование утечки или тест на проникновение.Самое неправильное.Инфильтрационные тесты являются лишь частью технического теста на разрыв в SRA.Не сама СРАА. Многие консалтинговые фирмы ошиблись в описании своих услуг, заявив, что «SRA обычно включают тестирование на проникновение».

Важно прояснить это, потому что если вы собираетесь использовать тест на колебание для подготовки SRAA, это было в направлении начала.

Оригинальное название: Four Steps

Оценка рисков безопасности на системном уровне основывается на четырехэтапной основной линии и завершается депонированием системного реестра рисков:

Идентификация рисков Ага. Анализ рисков Ага. Оценка рисков Ага. Удаление рисков

Определение риска очень простое:Риск = угроза x лазейка x воздействиеЯ не знаю. Угрозы могут исходить от индивидуальных, организационных или даже экологических условий, приводящих к несанкционированному доступу, уничтожению/изменению информации или отказу в предоставлении услуг; лазейки являются недостатками или пробелами в системе безопасности, которые могут быть использованы угрозами.

Этап идентификации рисков охватывает широкий спектр областей с 10 официальными пунктами: безопасность людских ресурсов, управление активами, контроль доступа, пароли, физическая и экологическая безопасность, эксплуатационная безопасность, безопасность связи, разработка и обслуживание системных закупок, аутсорсинговая безопасность и ИТ-безопасность непрерывности бизнеса. Процесс идентификации делится на два подпроцесса:

• Распознавание информационных системВсе информационные системы в пределах юрисдикции, независимо от источника средств, удаляются и внедряются.Перечень и оценка активовЯ не знаю. Существует три категории стоимости активов: физическая стоимость (оборудование/программное обеспечение/данные/документация/замена персонала), нематериальная стоимость (товары, качество обслуживания), информационная ценность (классификация данных CIA III+).
• Распознавание сцены риска• Рассмотреть источники риска, причины и события, угрозы и возможности, лазейки и возможности, изменения во внутренней и внешней среде, возникающие показатели риска, характер и стоимость активов, последствия и воздействия, ограничения знаний и достоверность информации, временные факторы и т.д.

Информация, собранная во время идентификации, также является конкретной: потребности и цели безопасности; системы/сетевые структуры и карты масштабирования; доказательства соответствия физической среде помещений; открытая информация для поиска; физические активы; операционные системы и системы управления сетью; базы данных и документы; приложения и информация о сервере; сетевые протоколы и услуги; меры контроля доступа; различные операционные процессы; механизмы идентификации; требования нормативных договоров; руководящие принципы политики; классификация системы.

которыйОбзор системыСосредоточьтесь на: системных файлах и журналах, запущенных процессах, файлах контроля доступа, списках пользователей, настройках конфигурации, уровнях патчей, инструментах шифрования или аутентификации, инструментах веб-трубок, журналах или инструментах обнаружения вторжений - при этом следите за любой необычной деятельностью, такой как попытка вторжения.

Делайте это, когда это необходимо.Технические испытания на разрывСканирование пробелов, инфильтрационное тестирование, обзор конфигурации, сканирование источника.Ключевые помещенияПрежде чем сделать это, группа по оценке должна согласовать с отделом объем, возможное воздействие, процесс возврата / восстановления; если задействован уровень 2 и выше, следует сделать ссылку на План непрерывности бизнеса (BCP) и План восстановления после стихийных бедствий (DRP). Сканирование пробелов охватывает обнаружение/обнаружение сетевого уровня, тестирование лазейки мэйнфрейма, сканирование системы/приложения (включая Web) и проверяет, что соответствующие объявления о безопасности, выпущенные GovCERT.HK, были заполнены или компенсированы.

Как рассчитать риск: матрица уровня 3

Анализ рисков для оценкиВоздействиеивозможныйМы должны их идентифицировать.Существующий контрольИ оценить их эффективность. Контроль подразделяется на три категории: технический контроль (брандмауэры, шифрование, вредоносное программное обеспечение, контроль доступа), физический контроль (CCTV, дверная бочка, противопожарная защита, физическое уничтожение данных), контроль управления (план реагирования на чрезвычайные ситуации, обучение безопасности персонала, политика конфиденциальности данных, план готовности к стихийным бедствиям).

Аналитические методы являются качественными и количественными, а также могут использоваться в матричных подходах. Практическая формула:

Уровень риска = влияние x вероятность x иерархия системы

Каждый прием значения 3-высокий / 2-м/ средний / 1-низкий, умноженный диапазон от 1 до 27:18-27 Высокий риск, 9-17 средний риск, 1-8 низкий рискЯ не знаю. И...различный Системы уровня имеют собственную матрицу риска.Средняя вероятность + высокое воздействие: Tier 1 учитывает риск, Tier 2, даже если это высокий риск, Tier 3 является более высоким риском. Чем выше иерархия систем, тем меньше места для ошибок.

Правительство также дало две техники:Основываясь на прошлых событиях(Ссылки на сообщения об инцидентах безопасности, отраслевую литературу, исторические утечки поставщиков услуг);Метод трехточечной оценки(Администрирование с тремя точками), которое позволяет экспертам давать наиболее оптимистичные значения O, наиболее вероятные M и наиболее пессимистические P соответственно с триангуляцией среднего. Если P и O находятся слишком далеко друг от друга, M является более надежным, M может быть взвешен (например, в четыре раза больше веса).

Как: соблюдение

Аудит безопасности следует другой линии: проверка соответствия требованиям S17 и ведомственных политик безопасности посредством обзоров документов, посещений сайтов, многоуровневых интервью, панельных дискуссий, вопросников и т. Д. Объем аудита долженСпециальное и предварительное соглашение с аудиторамиОфициально приведенные примеры включают интернет-безопасность, безопасность Интранета, информационные системы Tier 2, безопасность мэйнфреймов, безопасность сетевых серверов (веб-сервер / почтовый сервер и т. д.), сетевые компоненты и оборудование (брандмауэры, маршрутизаторы), безопасность помещений, сетевые услуги (каталоговые услуги, почтовые услуги, удаленный доступ), системную документацию и записи.

Для секторальных или неспецифических аудитов обычной практикой является проверка размера и эффективности МСМ, как они определены в S17, или структуры МСМ, принадлежащей организации (политики/стандарты/процедуры).

Доставка и 10 общих мероприятий

Официальный перевод регулярной деятельности всего СРАА в 10, в основном дорожная карта целостности:

1. Открытие сессии: Признание охвата, целей, результатов
2. Планирование проекта: Согласованный график и график поставки
3. Приготовьтесь проверить.Подтверждение инспекционных форм с департаментами
4. Готовьтесь к ретриту/восстановлению: технические тесты, такие как сканирование разрывов, тестирование на проникновение и т. Д.
5. Идентификация и оценка активовИдентификация и оценка активов в согласованных пределах
6. Оценка рисковОценка рисков Анализ рисков Анализ рисков Оценка рисков
7. Поставка отчета СРА, плана ликвидации рисков, системного реестра рисков
8. Отчетность руководствуРезультаты и выводы
9. Проверка безопасностиДоклад о результатах ревизии
10. Защита данных и результатов, планы последующих действий, обзор гарантий, предоставление отчетов о валидации, отчет о закрытом цикле

Ты видишь,Доставка не является отчетом.SRA бок о бок регистр риска и план утилизации, SA бок о бок контрольные перечни соответствия и аудиторские отчеты и, наконец, отчеты проверки для подтверждения результатов капитального ремонта каждого открытия для закрытия.

Кто это сделает? Что случится?

Независимых третьих лиц трудно требовать.Аудит безопасности должен проводиться независимой третьей стороной, и рекомендации SRA также должны быть адресованы третьей стороне. Официально обязанности консультантов/аудиторов четко определены: они обладают необходимыми навыками и опытом, понимают влияние каждого инструмента,Перед проведением хакерских тестов вы должны получить письменное разрешение от заинтересованных сторон, таких как интернет-провайдер и полиция.Независимо от того, является ли тест успешным, отчет отражает политику безопасности и оперативные потребности департамента, выявляет значительные риски или несоответствия, немедленно сообщает и поддерживает доказательства по требованию.

Защита данных — это еще один момент, которым легко пренебрегать: в процессе оценки собираются большие объемы конфигурационных и конфиденциальных данных.Необходимо организовать инструменты шифрования и блокируемые шкафы на этапе планированияИнструменты оценки будут контролироваться, эксплуатироваться только экспертами группы и удаляться сразу после их исчерпания; отчеты об оценке, которые не разрешены для посещения до модификации, сами по себе являются прямой угрозой, поэтому процесс и окончательный отчет будут строго конфиденциальными; и после завершения вся информация будет возвращена иОтмена временного доступа, предоставляемого аудиторамЯ не знаю.

Услуги основаны на: предоставлении информации о документации, такой как сетевые карты, руководства по эксплуатации, списки контроля доступа, политики безопасности / стандарты / руководящие принципы / процедуры; предоставление поддержки сверстников, таких как сети, брандмауэры, управление системой; и организация посещений сайта.

Последующие действия того стоят.

Есть официальное заявление:Ценность оценки рисков и аудита заключается не в самих рекомендациях, а в их эффективной реализации. Руководство несет ответственность за выполнение рекомендации, если решение не выполнено, соответствующий риск должен быть принят и полностью обоснован. Последующая деятельность строится вокруг трех проблемных областей: эффективность, квалификация и своевременность адаптации. Предметы повышенного риска как можно скорее модифицируются или усиливаются и готовы к регрессионным процедурам.

Какова эталонная стоимость для региона, не являющегося Гонконгом?

Хотя SRAA является продуктом гонконгской системы управления, его скелеты распространены:Оценка риска «риск», аудит безопасности, соответствие как отдельной, доставляемой, так и закрытой проверкеЯ не знаю. Этот набор идей и внутренних эквивалентов гарантийных оценок, сертификатов ISO/IEC 27001 духовно совместимы - сначала очистить активы, а затем вычислить риски (влияние x вероятность x классификация системы), затем распределить ресурсы под риском и ниже, и, наконец, использовать независимый аудит для подтверждения соответствия.

Если ваша организация создает структуру управления безопасностью, итеративный цикл набора оценки-удаления-аудита-проверки SRAA является очень полезным шаблоном. Особенно этот.Реестр рисков + план утилизации + отчет о проверке"Три комплекта являются гораздо более надежными, чем представление только одного отчета об испытаниях на проницаемость.

Безопасность — это не оценка, а замкнутый цикл, который продолжает перекрываться.