SRAA 全稱 Security Risk Assessment and Audit：香港政府的安全風險評估與審計，到底在評什麼

在香港做安全合規，你一定繞不開一個詞：SRAA。全稱 Security Risk Assessment and Audit，中文叫”安全風險評估與審計”（也譯作”保安風險評估及審計”）。它不是某個廠商的產品，而是香港政府制定的一套強制性的安全評估與審計要求，所有政府部門、局/署（B/Ds）以及政府資助的機構，都必須按它執行並提交獨立核證報告。

這套要求的落地依據，是數字政策辦公室（Digital Policy Office，DPO，前身就是 OGCIO）發佈的《Practice Guide for Security Risk Assessment & Audit》（編號 ISPG-SM01），配套文件還有《Baseline IT Security Policy》[S17] 和《IT Security Guidelines》[G3]。2026 年 8 月發佈的最新版是 v2.2，新增了一份”SRAA 過程與交付物基線檢查表”。

它的規範性引用也挺能說明定位：ISO/IEC 27000、27001、27002、27005，ISO 31000:2018 風險管理指南，以及 NISTIR 8286（把網絡安全併入企業風險管理 ERM）。換句話說，SRAA 是一套把國際標準”本地化落地”的政府級框架。

一句話分清 SRA 和 SA

很多人把 SRAA 當成一件事，其實它是兩件事的組合，性質完全不同：

Security Risk Assessment（SRA，安全風險評估）：識別、分析、評估安全風險，並確定處置措施，把風險降到可接受水平。視角是”風險“，評估範圍不一定跟安全政策掛鉤。
Security Audit（SA，安全審計）：審計對安全政策/標準的合規程度，驗證現有防護措施是否被正確執行。視角是”合規“，對照的是 S17、G3 或部門自己的安全政策。

官方給了一張對比表，把差異講得很乾脆：

關注點：SRA 是風險視角；SA 是合規視角
執行方：SRA 可以由部門自己評（自評估），也可以找第三方；SA 必須由獨立第三方完成
關鍵交付物：SRA 交風險登記冊（risk register）+ 風險處置措施；SA 交合規檢查表（compliance checklist）
時機：新系統在開發生命週期（SDLC）起點做 SRA；已上線系統則在整個生命週期內定期做，或 IT 環境發生重大變更時做

三個最常見的誤解，先糾正

ISPG-SM01 從 2.0 版（2024 年 4 月）起專門澄清了幾個流傳很廣的錯誤認知，做這行的應該都聽過：

誤解一：必須 SRA 和 SA 一起做，出一份”二合一”報告。錯。兩者性質不同，執行方要求也不同（SA 必須獨立第三方），可以分開做。
誤解二：一次 SRAA 活動就能同時覆蓋 SDLC 裏的風險識別和合規檢查。錯。這是兩類不同的工作。
誤解三：SRAA 就是漏洞掃描或滲透測試。錯得最離譜。滲透測試只是 SRA 裏”技術漏洞測試”環節的一部分工具，不是 SRAA 本身。不少顧問公司在自己服務介紹裏都寫錯了，說”SRA 通常包含滲透測試流程”。

把這一點說清楚很重要——因爲如果你按”滲透測試”去準備 SRAA，方向從一開始就偏了。

SRA 怎麼做：四步走

系統級的安全風險評估，主線是四個環節，最後沉澱成系統風險登記冊：

風險識別（Risk Identification） → 風險分析（Risk Analysis） → 風險評價（Risk Evaluation） → 風險處置（Risk Treatment）

風險的定義很直白：風險 = 威脅 × 漏洞 × 影響。威脅可能來自個人、組織甚至環境條件，導致未授權訪問、信息破壞/篡改或拒絕服務；漏洞則是安全體系中可被威脅利用的弱點或缺口。

風險識別階段要覆蓋的方面很廣，官方列了十大塊：人力資源安全、資產管理、訪問控制、密碼學、物理與環境安全、運營安全、通信安全、系統採購開發與維護、外包安全，以及業務連續性的 IT 安全。識別過程又分兩個子過程：

信息系統識別：把管轄範圍內所有信息系統（不論資金來源）都盤出來，做資產清單和估值。資產價值分三類——有形價值（設備/軟件/數據/文檔/人員的重置成本）、無形價值（商譽、服務質量）、信息價值（CIA 三性 + 數據分類）。
風險場景識別：要考慮風險來源、原因與事件、威脅與機會、漏洞與能力、內外部環境變化、新興風險指標、資產性質與價值、後果與影響、知識侷限與信息可靠性、時間因素等。

識別時收集的資料也很具體：安全需求與目標、系統/網絡架構與拓撲圖、機房物理環境是否達標的證據、公開可查信息、物理資產、操作系統與網管系統、數據庫與文件、應用與服務器信息、網絡協議與服務、訪問控制措施、各類操作流程、身份認證機制、法規合同要求、政策指南、系統分級。

其中系統審查要重點看：系統文件與日誌、運行進程、訪問控制文件、用戶列表、配置設置、補丁級別、加密或認證工具、網管工具、日誌或入侵檢測工具——同時要留意有沒有入侵嘗試之類的異常活動。

必要時才做技術漏洞測試：漏洞掃描、滲透測試、配置審查、源代碼掃描。關鍵前提：動手前，評估團隊必須就範圍、可能影響、回退/恢復程序與部門達成一致；如果涉及 Tier 2 及以上系統，還要參照業務連續性計劃（BCP）和災難恢復計劃（DRP）。漏洞掃描要覆蓋網絡層探測/發現、主機漏洞測試、系統/應用（含 Web）掃描，並覈查是否對 GovCERT.HK 發佈的相關安全公告都已打補丁或有補償措施。

風險怎麼算：三級矩陣

風險分析要評估影響和可能性，還要識別現有控制並評估其有效性。控制分三類：技術控制（防火牆、加密、防惡意軟件、訪問控制）、物理控制（CCTV、門禁、消防、物理數據銷燬）、管理控制（應急響應計劃、員工安全培訓、數據隱私政策、災備計劃）。

分析方法有定性和定量兩類，也可用矩陣法。一個實用的公式是：

風險等級 = 影響 × 可能性 × 系統分級（Tier）

每項取值 3-高 / 2-中 / 1-低，乘出來範圍 1 到 27：18-27 爲高風險，9-17 爲中風險，1-8 爲低風險。而且不同 Tier 的系統有各自的風險矩陣——同樣”中等可能性 + 高影響”，Tier 1 算中風險，Tier 2 就算高風險，Tier 3 更是高風險。系統分級越高，容錯空間越小。

官方還給了兩個估算技巧：一是基於既往事件（參考安全事件報告、行業文獻、服務商的歷史泄露數據）；二是三點估算法（Three-Point Estimation），讓專家分別給出最樂觀 O、最可能 M、最悲觀 P 三個值，用三角分佈取平均。如果 P 和 O 差距太大、M 更可靠，可以給 M 加權（比如四倍權重）。

SA 怎麼做：合規檢查

安全審計走的是另一條線：通過文檔審查、現場走訪、多層級訪談、小組討論、問卷等方式，對照 S17 和部門安全政策做合規檢查。審計範圍必須具體且事先與審計師達成一致，官方給的示例包括：互聯網安全、內網通用安全、Tier 2 信息系統、主機安全、網絡服務器安全（Web/郵件服務器等）、網絡組件與設備（防火牆、路由器）、機房通用安全、網絡服務（目錄服務、郵件服務、遠程訪問）、系統文檔與記錄。

對於部門級或不特定範圍的審計，通常做法是審計 S17 定義的 ISMS 或組織自有 ISMS 框架（政策/標準/程序）的規模與有效性。

交付物與 10 項常見活動

官方把整個 SRAA 的常見活動梳理成 10 項，基本就是一份實操路線圖：

啓動會議：確認服務範圍、目標、交付物
項目規劃：商定交付時間表和工期
準備檢查表：與部門確認檢查表
準備回退/恢復程序：針對漏洞掃描、滲透測試等技術測試
資產識別與估值：在約定範圍內識別評估資產
風險評估：風險識別 → 風險分析 → 風險評價
交付 SRA 報告、風險處置計劃、系統風險登記冊
向管理層彙報上述結果與發現
安全審計：合規檢查 → 交付審計報告 → 彙報審計結果
數據與結果保護、跟進計劃、保障實施審查、交付驗證報告、閉環彙報

可以看到，交付物不是一份報告就完事：SRA 側交風險登記冊和處置計劃，SA 側交合規檢查表和審計報告，最後還要有驗證報告來確認每一項發現的整改結果，纔算閉環。

誰來做，要注意什麼

獨立第三方是硬要求——安全審計必須由獨立第三方完成，SRA 建議也找第三方。官方對顧問/審計師的職責寫得很明確：具備必要的技能與專長、理解每個工具的影響、執行”黑客測試”前必須取得 ISP 和警方等相關方的書面授權、無論測試成功與否都要記錄、報告要反映部門的安全政策與運營需求、發現重大風險或不符合項要立即報告、按需提供支持證據。

數據保護是另一個容易被忽視的點：評估過程中會收集大量配置和敏感數據，必須在規劃階段就安排文件加密工具和可上鎖的櫃子/房間；評估工具要受控，只由團隊內的專家運行，用完立即移除；評估報告在整改前若被未授權訪問，本身就是直接威脅，所以過程和最終報告都要嚴格保密；結束後要歸還所有資料，並撤銷臨時授予審計師的訪問權限。

服務前提則包括：提供網絡圖、操作手冊、訪問控制清單、安全政策/標準/指南/程序等文檔信息；提供網絡、防火牆、系統管理等對口人員支持；安排現場走訪。

跟進纔是價值所在

官方有一句話說得很到位：“風險評估與審計的價值不在建議本身，而在於它們是否被有效落實。” 建議提出後，管理層負責實施；如果決定不實施，就必須承擔相應風險並給出充分理由。跟進圍繞三個關注點展開：有效性、資質、以及整改的及時性。發現高危項要儘早變更或加固，並準備好回退程序。

對非香港地區有什麼參考價值

雖然 SRAA 是香港政府體系的產物，但它的骨架是通用的：風險評估管”風險”，安全審計管”合規”，兩者分開做、都要有交付物、都必須閉環驗證。這套思路和內地等保測評、ISO/IEC 27001 認證在精神上是相通的——先把資產盤清楚，再算清風險（影響 × 可能性 × 系統分級），然後按風險高低分配整改資源，最後用獨立審計確認合規。

如果你所在組織正在搭安全治理框架，SRAA 這套”評估—處置—審計—驗證”的迭代閉環，是很值得借鑑的一個模板。尤其那句”風險登記冊 + 處置計劃 + 驗證報告“的三件套，比只交一份滲透測試報告要紮實得多。

安全不是一次測評，而是一個持續迭代的閉環。