SRAA Fullständigt namn: Säkerhetsriskbedömning och revision: Vad bedömer Hongkongs regering?

I Hong Kong kommer du aldrig att komma undan med ett ord: SRAA. Fullständigt namn Säkerhetsriskbedömning och stödPå kinesiska kallas det ”Säkerhetsriskbedömning och revision” (även översatt som ”Säkerhetsriskbedömning och revision”). Det är inte en produkt av en tillverkare, det är...En obligatorisk uppsättning säkerhetsbedömningar och revisionskrav som fastställts av regeringen i HongkongAlla statliga avdelningar, avdelningar/kontor (B/D) och statligt finansierade byråer är skyldiga att genomföra dem och lämna in oberoende certifieringsrapporter.

Denna uppsättning krav baseras på Office of Digital Policy Office, DPO, tidigare OGCIO, Practice Guide for Security Risk Assessment & Audit (nr. ISPG-SM01De medföljande dokumenten inkluderar även Baseline IT Security Policy [S17] och IT Security Guidelines [G3]. Den senaste utgåvan publicerad i augusti 2026, v2.2Ett "SRAA Process and Delivery Baseline Check Sheet" tillkom.

Dess normativa referenser är också indikativa för positionering: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 riskhanteringsriktlinjer och NISTIR 8286 (inklusive cybersäkerhet i företagsriskhantering (ERM)). Med andra ord,SRAA är en regeringsnivåram för att lokalisera internationella standarderJag vet inte.

Distinguishing mellan SRA och SA

Många människor tar SRAA som en sak, men det är en kombination av två saker som är helt olika:

• Säkerhetsriskbedömning (SRA)Identifiering, analys, bedömning av säkerhetsrisker och identifiering av avfallsåtgärder för att minska riskerna för acceptabla nivåer. perspektivet är:Risken– Omfattningen av bedömningen är inte nödvändigtvis kopplad till säkerhetspolitiken.
• Säkerhetsrevision (SA, säkerhetsrevision)Revision mot säkerhetspolicy/standarderNivå av efterlevnadkontrollera att befintliga skyddsåtgärder genomförs korrekt. Målsättningen är:EfterlevnadI motsats till S17, G3 eller sektorns egen säkerhetspolicy.

Officiella gav oss en jämförande tabell som gjorde skillnaden helt klar:

• Titta på det.SRA är ett riskperspektiv; SA är ett efterlevnadsperspektiv
• Avrättande partSRA kan bedömas av avdelningen själv (självbedömning) eller av tredje part.SA måste göras av en oberoende tredje part
• Key LeverablesSRA överlämnandeRiskregister + riskhanteringsåtgärder;SA överlämnaCompliance checklist
• TimingNytt system i utvecklingslivscykel (SDLC)BörjaGör SRA; redan onlinesystem sker regelbundet under hela livscykeln, eller när betydande förändringar sker i IT-miljön.

Tre av de vanligaste missuppfattningarna.

ISPG-SM01, från Version 2.0 (April 2024), har särskilt klargjort några allmänt delade missuppfattningar som borde ha hörts i denna verksamhet:

• Missförstånd: SRA och SA måste göra det tillsammans, producera en "två-i-ett" rapport.Fel. De två är olika, liksom kraven från den verkställande parten (SA måste vara en oberoende tredje part), som kan göras separat.
• Missförstånd 2: En SRAA-aktivitet kan täcka både riskidentifiering och efterlevnadskontroller i SDLC.Fel. Dessa är två olika typer av arbete.
• Missförstånd tre: SRAA är en läcksökning eller penetrationstest.Det mest fel.Infiltrationstester är bara en del av det tekniska gaptestet i SRA.Inte SRAA själv. Många av konsultföretagen har felstavat ut sina servicebeskrivningar och säger att "SRA brukar innefatta penetrationstestning".

Det är viktigt att göra detta klart - för om du ska använda Oscillation Test för att förbereda SRAA har det varit i riktning mot början.

Hur: Fyra steg

Säkerhetsriskbedömningen på systemnivå baseras på en huvudlinje på fyra steg och slutar med systemets riskregister:

Riskidentifiering Ja. Riskanalys Ja. Riskvärdering Ja. Risk bortskaffande

Definitionen av risk är enkel:Risk = hot x loophole x impactJag vet inte. Hot kan komma från individuella, organisatoriska eller till och med miljömässiga förhållanden, vilket leder till obehörig åtkomst, informationsförstörelse eller förnekelse av tjänster; kryphål är svagheter eller luckor i säkerhetssystemet som kan utnyttjas av hot.

Riskidentifieringsfasen täcker ett brett spektrum av områden, med 10 officiella artiklar: personalsäkerhet, tillgångshantering, åtkomstkontroll, lösenord, fysisk och miljösäkerhet, operativ säkerhet, kommunikationssäkerhet, systemupphandlingsutveckling och underhåll, outsourcad säkerhet och affärskontinuitet IT-säkerhet. Identifieringsprocessen delas in i två underprocesser:

• InformationssystemigenkänningAlla informationssystem inom jurisdiktionen, oavsett källa till medel, tas bort och genomförsLista och värdering av tillgångarJag vet inte. Det finns tre kategorier av tillgångsvärde - fysiskt värde (utrustning / mjukvara / data / dokumentation / ersättningskostnad för personal), immateriellt värde (varor, kvalitet på service), informationsvärde (CIA III + dataklassificering).
• Risk scen erkännande• Överväga källor till risk, orsaker och händelser, hot och möjligheter, kryphål och kapacitet, förändringar i den interna och externa miljön, nya riskindikatorer, natur och värde av tillgångar, konsekvenser och effekter, kunskapsbegränsningar och tillförlitlighet av information, tidsfaktorer etc.

Den information som samlas in under identifieringen är också specifik: säkerhetsbehov och mål; system/nätverksstrukturer och uppbyggnadskartor; bevis på överensstämmelse med rummens fysiska miljö; öppen sökbar information; fysiska tillgångar; operativsystem och näthanteringssystem; databaser och dokument; applikationer och serverinformation; nätverksprotokoll och tjänster; åtkomstkontrollåtgärder; olika operativa processer; identifieringsmekanismer; regleringsavtalskrav; policyriktlinjer; systemklassificering.

av vilkaSystemgranskningFokusera på: Systemfiler och loggar, körprocesser, åtkomstkontrollfiler, användarlistor, konfigurationsinställningar, patchnivåer, krypterings- eller autentiseringsverktyg, webbpipeverktyg, loggar eller intrångsdetekteringsverktyg - samtidigt som man håller ett öga på någon ovanlig aktivitet som ett intrångsförsök.

Gör det vid behov.Teknisk gaptestningGap scanning, infiltration testning, konfigurationsgranskning, källskanning.NyckellokalerInnan du gör det måste bedömningsteamet komma överens med avdelningen om omfattningen, eventuell påverkan, rygg/återhämtningsprocess; om Tier 2 och ovan är inblandat, bör hänvisningen göras till Business Continuity Plan (BCP) och Disaster Recovery Plan (DRP). Gap-skanningar täcker nätverksskiktsdetektering/upptäckt, mainframe-loophole-testning, system/applikation (inklusive Web)-skanningar och verifierar att relevanta säkerhetsmeddelanden som utfärdats av GovCERT.HK har fyllts eller kompenserats.

Hur man beräknar risk: Nivå 3 matris

Riskanalys för att bedömaImpactochMöjligtVi behöver identifiera dem.Befintliga kontrollerBedöm deras effektivitet. Kontroller faller i tre kategorier: teknisk kontroll (brandväggar, kryptering, skadlig programvara, åtkomstkontroll), fysisk kontroll (CCTV, dörrfat, brandskydd, fysisk dataförstörelse), hanteringskontroll (nödresponsplan, personalsäkerhetsutbildning, datasekretesspolicy, katastrofberedskapsplan).

De analytiska metoderna är kvalitativa och kvantitativa, och kan också användas i matrismetoder. En praktisk formel är:

Risknivå = effekt x sannolikhet x systemhierarki (Tier)

Varje ta värde 3-hög / 2-m / medium / 1-låg, multiplicera intervallet 1 till 27:18-27 Högrisk, 9-17 medelrisk, 1-8 låg riskJag vet inte. Och...Olika Tier-systemen har sin egen riskmatris.- Samma "medium sannolikhet + hög effekt": Tier 1 räknar risk, Tier 2 även om det är hög risk, Tier 3 är mer hög risk. Ju högre hierarkin av system, desto mindre utrymme för fel.

Regeringen gav också två tekniker:Baserat på tidigare händelser(Referens till säkerhetsrapporter, branschlitteratur, historiska läckor av tjänsteleverantörer);Trepunktsuppskattningsmetod(Tree-Point Administration) som gör det möjligt för experter att ge den mest optimistiska O, troligen M och de flesta pessimistiska P-värden, respektive, med en triangulering av genomsnittet. Om P och O är för långt ifrån varandra, M är mer tillförlitlig, M kan viktas (t.ex. fyra gånger vikt).

Hur: Compliance

Säkerhetsrevisioner följer en annan linje: överensstämmelsekontroller mot S17 och avdelningssäkerhetspolicy genom dokumentrecensioner, webbplatsbesök, multilevelintervjuer, paneldiskussioner, frågeformulär etc. Audit räckvidd måsteSpecifikt och tidigare avtal med revisorerExempel som officiellt ges inkluderar Internetsäkerhet, Intranet säkerhet, Tier 2 informationssystem, mainframe säkerhet, nätverksserver säkerhet (Webb/mail server, etc.), nätverkskomponenter och utrustning (brandväggar, routrar), rumssäkerhet, nätverkstjänster (katalogtjänster, e-posttjänster, fjärråtkomst), systemdokumentation och poster.

För sektorsnivå eller icke-specifika revisioner är det vanligt att granska ISM:s storlek och effektivitet enligt definitionen i S17 eller organisationsägda ISM-ramverk (policyer/standarder/förfaranden).

Leverans och 10 gemensamma aktiviteter

Den officiella översättningen av hela SRAA:s regelbundna verksamhet till 10, i grunden en vägkarta av integritet:

1. ÖppningssessionErkännande av täckning, mål, leveranser
2. ProjektplaneringÖverenskomna leveransschema och schema
3. Gör dig redo att kontrollera.Bekräftelse av inspektionsformulär med avdelningar
4. Förbered dig för reträtt / återhämtningtekniska tester som gap scanning, penetration testning, etc.
5. Tillgångsidentifiering och värderingIdentifiering och bedömning av tillgångar inom överenskomna gränser
6. RiskbedömningRiskidentifiering Riskanalys Riskbedömning
7. Leverans av SRA-rapport, riskavfallsplan, systemriskregister
8. Rapportering till ledningResultat och resultat
9. SäkerhetsrevisionRapport om revisionsresultat
10. Data- och resultatskydd, uppföljningsplaner, säkerställer granskning, leverans av valideringsrapporter, sluten looprapportering

Du kan se,Leverans är inte en rapport.SRA sida-till-sida riskregister och bortskaffande plan, SA sida-to-side överensstämmelse checklistor och revisionsrapporter och slutligen valideringsrapporter för att bekräfta översynsresultaten av varje upptäckt för stängning.

Vem ska göra det? Vad ska hända?

Oberoende tredje parter är svåra att kräva.Säkerhetsrevisioner måste genomföras av en oberoende tredje part och SRA-rekommendationer måste också riktas till en tredje part. Officiellt definieras konsulternas/utövarnas uppgifter tydligt: de har nödvändiga färdigheter och kompetenser, de förstår effekterna av varje verktyg.Innan du utför hackprov måste du få skriftligt tillstånd från berörda parter som ISP och polisen.Oavsett om testet är framgångsrikt, återspeglar rapporten avdelningens säkerhetspolicy och operativa behov, identifierar betydande risker eller brister, rapporterar omedelbart och stöder bevis på efterfrågan.

Dataskydd är en annan lätt försummad punkt: stora mängder konfiguration och känsliga data samlas in under bedömningsprocessen.Behov av att ordna krypteringsverktyg och låsbara skåp i planeringsstadiet; bedömningsverktyg kommer att kontrolleras, drivs endast av teamexperter och tas bort omedelbart efter att de har uttömts; bedömningsrapporter som inte är behöriga att besöka innan ändringarna är själva ett direkt hot, så processen och slutrapporten kommer att vara strikt konfidentiell; och efter avslutad kommer all information att returneras ochUttag av tillfällig åtkomst till revisorerJag vet inte.

Tjänsterna är lokaliserade på: tillhandahållande av dokumentationsinformation som nätverkskartor, operativa manualer, åtkomstkontrolllistor, säkerhetspolicyer/standarder/guidelines/procedurer; tillhandahållande av peer support såsom nätverk, brandväggar, systemhantering och organisation av platsbesök.

Uppföljning är värt det.

Det finns ett officiellt uttalande:Värdet av riskbedömning och revision är inte i rekommendationerna själva, utan i deras effektiva genomförande. Förvaltningen ansvarar för genomförandet när rekommendationen fattas; om beslutet inte genomförs måste motsvarande risk antas och fullt motiveras. Uppföljningen är strukturerad kring tre områden av oro: effektivitet, kvalifikationer och anpassningstid. Högriskvaror befinns modifieras eller förstärkas så snart som möjligt och är redo för regressionsförfaranden.

Vad är referensvärdet för icke-Hong Kong-regionen?

Även om SRAA är en produkt av Hongkong-systemet, är dess skelett vanliga:Riskbedömning "risk", säkerhetsgranskning" efterlevnad, både separat, leveransbar och sluten loopverifieringJag vet inte. Denna uppsättning idéer och inlandsekvivalenter garantibedömningar, ISO / IEC 27001 certifieringar är andligt kompatibla - först rensa tillgångarna och sedan beräkna riskerna (effekt x sannolikhet x systemklassificering), sedan fördela resurserna i riskzonen och nedan, och slutligen använda en oberoende revision för att bekräfta efterlevnaden.

Om din organisation inrättar en säkerhetsstyrningsram är den iterativa loopen i SRAA-bedömningsdisponerings-audit-validation-uppsättningen en mycket användbar mall. Speciellt den där.”Riskregister + avfallsplan + valideringsrapportDe tre uppsättningarna är mycket mer solida än inlämnandet av endast en permeabilitetstestrapport.

Säkerhet är inte en utvärdering, men en sluten slinga som fortsätter att överlappa.