ชื่อเต็มของซารา: การเพิ่มความเสี่ยงด้านความปลอดภัยและการแบ่งเขต: รัฐบาลฮ่องกงประเมินอะไร?

ในฮ่องกง คุณหนีไม่รอดแม้แต่คําเดียว ชื่อเต็ม การ ช่วย เหลือ และ การ ช่วย ให้ รอด จาก อันตราย ของ ความ ปลอด ภัยในภาษาจีน มีฉายาว่า "การประเมินความเสี่ยงและตรวจสอบ" (ซึ่งแปลเช่นเดียวกันว่า "การประเมินความเสี่ยงและตรวจสอบ"). มันไม่ใช่ผลิตภัณฑ์ของผู้ผลิต มัน...การ ประเมิน ความ ปลอด ภัย และ การ ตรวจ สอบ ข้อ เรียก ร้อง ของ รัฐบาล ฮ่องกงทุกหน่วยงานราชการ แผนก/องค์กร (B/Ds) และหน่วยงานที่รัฐบาลให้ทุน จึงต้องดําเนินการและส่งรายงานการรับรองอิสระ

ชุดของความต้องการนี้อยู่บนพื้นฐานของสํานักงานสํานักงานกรมนโยบายดิจิทัล DPO, อดีต OGCIO, คู่มือฝึกสําหรับความปลอดภัยภัยภัย & Audit (ไม่. ISPG-SM01เอกสาร ที่ ลง ใน บทความ นี้ ยัง รวม ถึง นโยบาย ป้องกัน ความ ปลอด ภัย [s17] และ ไอที ไกด์ [G3] ด้วย. พิมพ์ล่าสุดเมื่อ 2026 สิงหาคม ค.ศ. v22ได้มีการเพิ่มรายการ "ขั้นตอนของ RAA และ painty Baseline Check"

2561, 70002, 27005, ISO 31000:2018 แนวทางการจัดการความเสี่ยง และ NISIR 8286 (รวมความไม่ปลอดภัยทางไซเบอร์ในการบริหารความเสี่ยงของกิจการ). พูดอีกอย่างคือSRAA เป็นโครงร่างของรัฐบาล สําหรับมาตรฐานระหว่างประเทศฉันไม่รู้

การแยกระหว่าง SRA กับ SA

หลายๆคนคิดว่า SRAA เป็นสิ่งหนึ่ง แต่เป็นการรวมกันของสองสิ่งที่แตกต่างกันโดยสิ้นเชิง

• ความ เสี่ยง ต่อ การ เป็น โรค ภัย (SRA)การ ระบุ ตัว, การ วิเคราะห์, การ ประเมิน ความ เสี่ยง ใน เรื่อง ความ ปลอด ภัย และ การ ระบุ ตัว มาตรการ กําจัด เพื่อ ลด ความ เสี่ยง ให้ เป็น ระดับ ที่ ยอม รับ ได้. มุมมองก็คือเสี่ยง“ ขอบ เขต ของ การ ประเมิน ไม่ จําเป็น ต้อง เกี่ยว ข้อง กับ นโยบาย ความ ปลอด ภัย.
• Audit ความปลอดภัย (SA, การตรวจสอบความปลอดภัย)Audit กับนโยบายความปลอดภัย/ มาตรฐานระดับของการเชื่อฟังเพื่อตรวจสอบว่า มาตรการป้องกันที่มีอยู่มีการดําเนินการอย่างถูกต้อง มุมมองก็คือความซับซ้อน“ ต่าง จาก เอส 17 จี 3 หรือ นโยบาย ความปลอดภัย ของ ภาค นี้ เอง.

ทางการให้โต๊ะอเนกประสงค์กับเรา ซึ่งทําให้ความแตกต่างชัดเจน

• ดูมัน.SA คือมุมมองที่มีความเสี่ยง
• การประมวลผลกลุ่มSRA สามารถประเมินได้โดยหน่วยงานเอง (ตัวเอง) หรือพรรคที่สามSA ต้องทําโดยบุคคลที่ 3
• กุญแจสําหรับส่งยอมแพ้ซะเครื่องบันทึกความเสี่ยง + มาตรการกําจัดความเสี่ยงSA ยอมแพ้รายการความซับซ้อน
• การจับเวลา(SDLC)เริ่มDo SRA; ระบบออนไลน์อยู่แล้วทําเป็นประจําตลอดวงจรชีวิตหรือเมื่อการเปลี่ยนแปลงที่สําคัญเกิดขึ้นในสภาพแวดล้อมของ IT

มีความเข้าใจผิด 3 อย่าง

ISPG-SM01 จากเวอร์ชัน 2.0 (20 เมษายน พ.ศ.

• หนึ่งเข้าใจผิด : SRA และ SA ต้องทําร่วมกัน ผลิตรายงาน "สองในหนึ่ง".ผิดแล้ว ลักษณะ ของ ทั้ง สอง นี้ ต่าง กัน ดัง ที่ ข้อ เรียก ร้อง ของ พรรค การ บังคับ (เอส เอ ต้อง เป็น พรรค เอกราช) ซึ่ง สามารถ ทํา ต่าง กัน ได้.
• ความ เข้าใจ ผิด ที่ 2: กิจกรรม ของ เอส อาร์ เอ อาจ ครอบ คลุม ทั้ง การ ระบุ ตัว และ การ ทํา ตาม ข้อ ตก ลง ใน คอน ส แตน ติน.ผิดแล้ว นี่เป็นงานสองประเภทที่แตกต่างกัน
• การ เข้าใจ ผิด สาม: เอส อาร์ เอ เป็น การ ตรวจ สแกน หรือ การ อุด ตัน.ผิดที่สุดการแทรกซึมของการทดสอบ เป็นเพียงส่วนหนึ่งของการทดสอบช่องว่างทางเทคนิคใน SRAไม่ใช่ซาร่าเอง บริษัท ที่ ปรึกษา หลาย แห่ง ได้ บอก ปัด คํา พรรณนา เกี่ยว กับ การ รับ ใช้ ของ ตน โดย กล่าว ว่า “ปกติ แล้ว การ ทดสอบ การ ถ่าย เลือด จะ รวม ไป ถึง การ ทดสอบ ด้วย. ”

สิ่งสําคัญคือต้องทําให้ชัดเจน เพราะถ้าคุณจะใช้การทดสอบเพื่อเตรียม SRA

ศ.

การประเมินความเสี่ยงของความปลอดภัยในระดับระบบ มีพื้นฐานมาจากสายหลักสี่ขั้นตอน และจบด้วยการตรวจสอบการลงทะเบียนความเสี่ยงของระบบ:

การระบุความเสี่ยง ใช่ วิเคราะห์ความเสี่ยง ใช่ ความ เสี่ยง ใช่ ความ เสี่ยง

นิยามของความเสี่ยงนั้นตรงไปตรงมาความเสี่ยง = ผลกระทบของ xฉันไม่รู้ การ คุกคาม อาจ มา จาก ปัจเจกบุคคล, องค์การ, หรือ แม้ แต่ สภาพ แวด ล้อม ซึ่ง นํา ไป สู่ การ เข้า ถึง โดย ไม่ ได้ รับ อนุญาต, การ ทําลาย ข้อมูล, หรือ การ ปฏิเสธ การ บริการ; ช่อง โหว่ เป็น จุด อ่อน หรือ ช่อง ว่าง ใน ระบบ ความ ปลอด ภัย ซึ่ง อาจ ถูก คุกคาม.

การระบุความเสี่ยงครอบคลุมพื้นที่กว้าง โดยมี 10 รายการอย่างเป็นทางการ : ความมั่นคงของทรัพยากรมนุษย์, การจัดการทรัพย์สิน, การควบคุม, พาสเวิร์ด, ความปลอดภัยทางกายภาพและสิ่งแวดล้อม, การดําเนินงาน กระบวนการระบุตัวตนแบ่งออกเป็นสองโพรเซสย่อย:

• การยอมรับระบบข้อมูลระบบข้อมูลทั้งหมดภายในเขตการปกครอง ไม่คํานึงถึงแหล่งเงินทุนรายการและการประเมินสินทรัพย์ฉันไม่รู้ มี 3 ประเภทของมูลค่าสินทรัพย์ - ค่าทางกายภาพ (ค่าชดเชย/ software/ data/ค่าใช้จ่ายในการเก็บเอกสาร/ค่าพนักงาน), ค่าประกอบการ (ค่าดี คุณภาพบริการ), ค่าข้อมูล (CIA 3+ การจัดหมวดหมู่ข้อมูล).
• การตรวจจับภาพอันตราย• พิจารณา แหล่ง แห่ง ความ เสี่ยง, สาเหตุ, และ เหตุ การณ์, การ คุกคาม และ โอกาส ต่าง ๆ, ช่อง ว่าง และ ความ สามารถ, การ เปลี่ยน แปลง ใน สภาพ แวด ล้อม ภาย ใน และ ภาย นอก, ตัว บ่ง ชี้ ถึง ความ เสี่ยง ที่ เกิด ขึ้น, ธรรมชาติ และ คุณค่า ของ ทรัพย์ สิน, ผล พวง และ ผล กระทบ, ความ รู้ จํากัด และ ความ น่า เชื่อ ถือ ของ ข้อมูล, ปัจจัย ต่าง ๆ ใน เรื่อง เวลา, ฯ.

ข้อมูลที่เก็บมาระหว่างการแสดงตัวนี้ เจาะจงเช่นกัน: ความต้องการด้านความปลอดภัย และวัตถุประสงค์ต่างๆ โครงสร้างระบบ/เน็ตเวิร์ค

ซึ่งการทบทวนระบบโฟกัสอยู่ที่: แฟ้มระบบและปูมบันทึกของระบบ, โพรเซสที่ทํางาน, แฟ้มควบคุม, รายการผู้ใช้, การปรับแต่ง, ระดับแพทเทิร์น, เครื่องมือเข้ารหัสหรือเครื่องตรวจสอบข้อมูล, เครื่องมือบันทึกการตรวจจับ, หรือเครื่องมือตรวจจับการแทรกแซง - ในขณะที่การเฝ้าดูกิจกรรมต่าง ๆ ที่ผิดปกติ เช่น การพยายามแทรกซึม

ทําเมื่อจําเป็นทดสอบช่องว่างเชิงเทคนิคการสแกนทางช่อง, การทดสอบการกรอง, การทบทวนการตั้งค่า, การสแกนแหล่งส่วนประกอบหลักก่อน จะ ทํา เช่น นั้น ทีม ประเมิน ต้อง เห็น ด้วย กับ หน่วย งาน ใน ขอบ เขต ที่ อาจ มี ผล กระทบ ต่อ การ ดําเนิน การ กลับ และ การ ฟื้น ตัว; ถ้า ที ซีย์ 2 และ ที่ อยู่ ข้าง บน เกี่ยว ข้อง ควร ทํา การ อ้างอิง ถึง แผนการ ร่วม ธุรกิจ (BCP) และ แผนการ กู้ ภัย ภัย (DRP). Gap สแกนครอบคลุมการตรวจสอบชั้นชั้นเครือข่าย/ discy, การตรวจสอบช่องโหว่ของเมนเฟรม, ระบบ/ application (รวมไปถึงเว็บไซต์) สแกนและตรวจสอบว่าประกาศความปลอดภัยที่เกี่ยวข้อง ที่ออกโดย โกฟซีทีเค ได้รับการเติมหรือชดเชยแล้ว

วิธีคํานวณความเสี่ยง: ระดับ 3 เมทริกซ์

วิเคราะห์ความเสี่ยงเพื่อประเมินลูกเล่นถึงเป็นไปได้เราต้องระบุตัวพวกเขาการควบคุมที่มีอยู่และประเมินประสิทธิภาพของพวกเขา การควบคุมกลายเป็น 3 ประเภท การควบคุมทางเทคนิค (ไฟร์วอลล์) เข้ารหัส ซอฟต์แวร์ที่มุ่งร้าย การควบคุมทางกาย (CCTV)

วิธีวิเคราะห์เชิงวิเคราะห์นั้น ประมวลผลและวัดได้ และสามารถใช้ในวิธีการเมทริกซ์ได้ สูตรที่ใช้ได้คือ

ระดับความเสี่ยง = ผลกระทบ x ความน่าจะเป็นของระบบ x (ถาด)

แต่ละใช้ค่า 3-0/2 มม. / ต่ํา 1-0, คูณช่วง 1 ถึง 27 :18-27 ความเสี่ยงสูง 9-17 ความเสี่ยงปานกลาง 1-8 ความเสี่ยงต่ําฉันไม่รู้ และ...ต่าง ระบบยางมีเมทริกซ์เสี่ยงของตัวเอง- "ความน่าจะเป็นมีเดียม + ผลกระทบสูง" ความเสี่ยงขั้นที่ 1 ระดับที่ 2 ถึงแม้ว่าจะมีความเสี่ยงสูง ด่านที่ 3 ก็มีความเสี่ยงสูง ยิ่งระบบมีลําดับชั้นสูงเท่าไร พื้นที่ก็ยิ่งน้อยลงเท่านั้น

รัฐบาลยังให้เทคนิคสองอย่างจากเหตุการณ์ในอดีต(รายงานการรักษาความปลอดภัย วรรณกรรมอุตสาหกรรม การรั่วไหลทางประวัติศาสตร์โดยผู้ให้บริการ)วิธีการประมาณจุด 3 จุด(3Point Office) ซึ่งทําให้ผู้เชี่ยวชาญสามารถมองในแง่ดีได้มากที่สุด O, มีแนวโน้มว่า M และค่า P มองในแง่ร้ายมากที่สุด ตามลําดับ โดยมีการจัดอันดับของค่าเฉลี่ยเป็นสามส่วน ถ้า พี และ โอ อยู่ ห่าง กัน มาก เกิน ไป เอ็ม ก็ จะ มี น้ํา หนัก ตัว มาก กว่า.

ศ.

การตรวจสอบความปลอดภัยติดตามอีกสายหนึ่ง การอนุมัติการตรวจสอบกับ S17 และนโยบายความปลอดภัยของแผนก ผ่านการตรวจสอบเอกสาร การเยี่ยมเว็บไซต์ การสัมภาษณ์หลายระดับ การอภิปรายในคณะกรรมการ คําถาม เป็นต้น ขอบเขตสีข้อ ตก ลง ที่ เจาะจง และ ก่อน หน้า นี้ กับ ผู้ ตรวจ สอบตัวอย่างที่ให้มาอย่างเป็นทางการ รวมถึงระบบความปลอดภัยของอินเทอร์เน็ต, ระบบรักษาความปลอดภัยอินทราเน็ต, ระบบข้อมูล Timber 2 ระบบรักษาความปลอดภัยของเมนเฟรม, ความปลอดภัยของเซิร์ฟเวอร์เครือข่าย (Web/mail) และอื่น ๆ , ส่วนประกอบเครือข่าย และอุปกรณ์ต่างๆ (ไฟร์วอลล์, ไลน์เวอร์), ระบบรักษาความปลอดภัย, บริการความปลอดภัยของเครือข่าย (Cataloger, บริการอีเมล, เข้าถึงระบบ, เอกสารและบันทึกระบบ).

สําหรับการตรวจสอบส่วนย่อยหรือการตรวจสอบไม่ระบุ เป็นเรื่องปกติที่จะตรวจสอบขนาดและประสิทธิภาพของ ISM ตามที่กําหนดไว้ใน S17 หรือโครงการ ISMs ที่ถือครอง (รัฐ/มาตรฐาน/ precorders).

การ ส่ง ของ และ 10 กิจกรรม ทั่ว ไป

การ แปล อย่าง เป็น ทาง การ เกี่ยว กับ กิจกรรม ประจํา ของ ทั้ง หมด ใน การ ประชุม ภาค นี้ เป็น 10 ราย โดย พื้น ฐาน แล้ว เป็น แผนที่ แห่ง ความ ซื่อ สัตย์ มั่นคง:

1. กําลังเปิดวาระงานการเปิดเผย วัตถุประสงค์ การส่งมอบ
2. วางแผนโครงการกําหนดการส่งและกําหนดการ
3. เตรียมพร้อมตรวจการยืนยันแบบฟอร์มการตรวจสอบกับแผนก
4. เตรียมการถอนตัว/การบูรณะการทดสอบทางเทคนิค เช่น สแกนช่องว่าง ทดสอบการสอดท่อ ฯลฯ
5. การแสดงตัวและการประเมินการระบุตัวตนและการประเมินสินทรัพย์ในขอบเขตที่ตกลงกันไว้
6. การประเมินความเสี่ยงการประเมินความเสี่ยงจากความเสี่ยง
7. ส่งรายงานของ SRA, แผนกําจัดความเสี่ยง, การลงทะเบียนความเสี่ยงของระบบ
8. รายงานการจัดการผล และ การ ค้น พบ
9. ตรวจสอบความปลอดภัยรายงานผลการตรวจสอบ
10. ข้อมูลและผลการตรวจสอบ, แผนติดตาม, การตรวจสอบการป้องกัน, การส่งรายงานการตรวจสอบ, รายงานปิด

คุณเห็นได้ว่าการส่งมอบไม่ใช่รายงานThe SRA ด้านข้างและด้านการลงทะเบียนความเสี่ยง และแผนการกําจัด SA ด้านข้างรายการรายการรายการที่ปฏิบัติตามและตรวจสอบรายงาน และในที่สุดรายงานการตรวจสอบการตรวจสอบเพื่อยืนยันผล overhaul ของแต่ละการค้นพบเพื่อยุติ

ใครจะทํา? จะเกิดอะไรขึ้น?

พรรคที่สามที่อิสระ ยากที่จะเรียกร้องการ ตรวจ สอบ ความ ปลอด ภัย ต้อง ทํา โดย บุคคล ที่ สาม ซึ่ง ไม่ ขึ้น กับ ใคร และ มี การ แนะ นํา ให้ ทํา งาน ใน พรรค ที่ สาม ด้วย. อย่างเป็นทางการแล้ว หน้าที่ของที่ปรึกษา/ผู้ตรวจสอบ ได้รับการนิยามอย่างชัดเจน: พวกเขามีทักษะและความชํานาญที่จําเป็นก่อนจะทําการทดสอบ คุณต้องได้รับอนุมัติจากพรรคที่สนใจ เช่น ISP และตํารวจไม่ว่าการทดสอบจะประสบความสําเร็จหรือไม่ รายงานนี้สะท้อนนโยบายความปลอดภัย และความต้องการปฏิบัติการ ระบุความเสี่ยงที่สําคัญ

การป้องกันข้อมูลเป็นอีกจุดที่ถูกละเลยได้ง่ายๆ: การปรับแต่งและข้อมูลสําคัญจํานวนมาก ถูกเก็บมาในช่วงการประเมินต้องจัดเตรียมอุปกรณ์การเข้ารหัสและตู้ที่ล็อคได้ในขั้นตอนการวางแผน; เครื่องมือประเมินจะถูกควบคุม ดําเนินการเฉพาะโดยผู้เชี่ยวชาญของทีมเท่านั้น และเอาออกทันทีหลังจากที่พวกเขาหมด; การประเมินที่ไม่ได้รับ อนุญาตให้เยี่ยมก่อนที่จะแก้ไขตัวเองเป็นภัยคุกคามโดยตรง, ดังนั้นกระบวนการและรายงานสุดท้ายจะเป็นความลับอย่างเคร่งครัด; และหลังจากเสร็จสิ้นแล้ว ข้อมูลทั้งหมดจะถูกคืนและการขอข้อมูลการเข้าใช้ชั่วคราวฉันไม่รู้

มี การ กําหนด บริการ ต่าง ๆ ไว้ ดัง นี้: การ จัด เตรียม ข้อมูล เอกสาร ต่าง ๆ เช่น แผนที่ เครือ ข่าย, คู่มือ การ ทํา งาน, รายการ ควบคุม การ เข้า ไป, นโยบาย ด้าน ความ ปลอด ภัย/ มาตรฐาน, การ จัด ระบบ, การ จัด เตรียม การ สนับสนุน จาก คน รุ่น เดียว กัน, ไฟร์วอลล์, ระบบ จัด การ; และ การ จัด ระเบียบ การ เยี่ยม ของ เว็บไซต์.

การติดตามมันคุ้มค่า

มีคําแถลงอย่างเป็นทางการว่าและไม่เป็นการเหมาะสมแก่การอยู่ในแนวทางที่สะดวก และเป็นการเหมาะสมยิ่งที่เขาเหล่านั้นจะปฏิบัติตาม การ จัด การ เป็น หน้า ที่ รับ ผิด ชอบ ใน การ จัด ระเบียบ เมื่อ มี การ เสนอ แนะ; หาก ไม่ มี การ ตัดสิน ใจ ใน เรื่อง นี้ ก็ ต้อง สันนิษฐาน เอา เอง และ มี เหตุ ผล สม ควร เต็ม ที่. การติดตามต่อมีโครงสร้างประมาณ 3 ด้านของความกังวล: ประสิทธิภาพ คุณสมบัติ และเวลาของการปรับตัว รายการที่มีความเสี่ยงสูงจะถูกแก้ไขหรือเสริมให้เร็วที่สุดเท่าที่จะทําได้ และพร้อมสําหรับกระบวนการถดถอย

อะไรคือมูลค่าอ้างอิงของภูมิภาคที่ไม่ใช่ฮ่องกง

แม้ ว่า SAA เป็น ผลิตผล จาก ระบบ รัฐบาล ฮ่องกง แต่ โครง กระดูก ของ รัฐบาล นี้ มี อยู่ ทั่ว ไป:การประเมินความเสี่ยง "ความเสี่ยง", การตรวจสอบความปลอดภัย" ปฏิบัติได้ทั้งแยก, การส่งมอบและการตรวจสอบวงปิดฉันไม่รู้ ชุดของความคิดและภายในนี้เทียบเท่าการรับประกัน การประเมิน ISO/EC2001 การปรับโครงสร้างทางจิตวิญญาณมีความเข้ากันได้ - ครั้งแรกเคลียร์สินทรัพย์แล้วคํานวณความเสี่ยง (Impacte month X exportation System) จากนั้นวางจําหน่ายทรัพยากรที่มีความเสี่ยงและด้านล่าง และในที่สุดใช้การตรวจสอบอิสระเพื่อยืนยันการปฏิบัติตาม

ถ้าองค์กรของคุณตั้งกรอบการรักษาความปลอดภัย วงจรการประมวลผลของ SRAA โดยเฉพาะอันนั้น"เครื่องบันทึกความเสี่ยง + แผนกําจัด + รายงานการตรวจสอบ“ สาม ชุด นี้ แข็ง แรง กว่า การ ยอม รับ รายงาน การ สอบ เพียง ครั้ง เดียว.

ความปลอดภัยไม่ใช่การประเมิน แต่เป็นวงจรปิดที่ทับซ้อนอย่างต่อเนื่อง