SRAA Full adı: Güvenlik Risk Değerlendirme ve Denetim: Hong Kong Hükümeti neyi değerlendiriyor?

Hong Kong'da, asla bir kelime ile uzaklaşmayacaksınız: SRAA. Full name Full name Güvenlik Risk Değerlendirme ve YardımÇin'de, “Güvenlik risk değerlendirme ve denetim” olarak adlandırılır (ayrıca “Güvenlik risk değerlendirme ve denetim”). Bir üreticinin bir ürünü değil,...Hong Kong Hükümeti tarafından kurulan güvenlik değerlendirme ve denetim gereksinimlerinin zorunlu bir setiTüm hükümet departmanları, bölümler / ofisler (B/Ds) ve hükümet finanse edilen ajanslar bunları uygulamak ve bağımsız sertifika raporları sunmak için gereklidir.

Bu gereksinimlerin seti, Dijital Politika Ofisi, DPO, önceki OGCIO, Güvenlik Risk Değerlendirme ve Denetimi Uygulama Kılavuzuna dayanmaktadır (No. ISSG-SM01Buna eşlik eden belgeler de Basel IT Security Policy [S17] ve IT Security Guidelines [G3] içerir. 2026 Ağustos'ta yayınlanan son baskı, v2.2“SRAA Süreci ve Baseline Check Sheet” eklendi.

Onun normatif referansları da konumlandırmanın göstergesidir: ISO/IEC 27000, 27001, 70002, 27005, ISO 31000:2018 risk yönetimi yönergeleri ve NISTIR 8286 (aslında siber güvenlik) Başka bir deyişle,SRAA, uluslararası standartları yerelleştirmek için hükümet düzeyinde bir çerçevedirBilmiyorum.

SRA ve SAŞ arasında ayrım yapmak

Birçok insan bir şey olarak SRAA alır, ancak tamamen farklı olan iki şeyin bir kombinasyonu:

• Güvenlik Risk Değerlendirmesi (SRA)Tanımlama, analiz, güvenlik risklerinin değerlendirilmesi ve kabul edilebilir seviyelere riskleri azaltmak için tasarruf önlemlerinin tanımlanması. Perspektif şu:Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk Risk“ Değerlendirme kapsamı mutlaka güvenlik politikası ile bağlantılı değildir.
• Güvenlik Denetimi (SA, güvenlik denetimi)Güvenlik politikasına karşı Denetim / Standartlaruyumluluk seviyesiAncak mevcut koruyucu önlemlerin doğru uygulandığını doğrulayın. Perspektif şu:Uyumluluk“S17, G3 veya sektörün kendi güvenlik politikasına karşı.

Resmi bize farkı mükemmel bir şekilde net kılan karşılaştırmalı bir tablo verdi:

• Onu izleyin.SRA risk perspektifi; SA bir uyumluluk perspektifi
• Partiyi idam etmekSRAs, bölümün kendisi (kendi değerlendirme) veya üçüncü taraflar tarafından değerlendirilebilir;SA bağımsız bir üçüncü parti tarafından yapılmalıdır
• Anahtar teslim edilebilirler:SRA teslimiyetRisk kaydı + risk tasarrufu önlemleriSA teslimUyumluluk kontrol listesi
• Timing Timing: gelişim yaşam döngüsünde yeni sistem (SDLC)Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start Start StartDo SRA; zaten online sistemler yaşam döngüsü boyunca düzenli olarak yapılır veya IT ortamında önemli değişiklikler meydana geldiğinde

En yaygın yanlışların üçü.

ISSG-SM01, Version 2.0 ( 20 Kasım)'dan, bu işde duyması gereken birkaç yaygın paylaşılan yanlış anlamayı açıkça ifade etti:

• Birini yanlış anlama: SRA ve SA birlikte yapmalı, "iki-bir" raporu üretmelidir.Yanlış. İkisinin doğası farklıdır, çünkü enforcing partisinin gereksinimleri (SA bağımsız bir üçüncü parti olmalı), ayrı ayrı yapılabilir.
• Yanlış anlama 2: Bir SRAA aktivitesi hem risk kimliklerini hem de SDLC'deki uyumluluk kontrollerini karşılayabilir.Yanlış. Bunlar iki farklı çalışma türü.
• 3- Yanlış anlama: SRAA bir sızıntı tarama veya penetrasyon testidir.En yanlış.İnfil testleri SRA'daki teknik boşluk testinin sadece bir parçasıdır.SRAA'nın kendisi değil. Danışmanlık firmalarının çoğu hizmet açıklamalarını özlüyor, “SRAs genellikle penetrasyon testlerini içeriyor” diyor.

Bu açık yapmak önemlidir - çünkü SRAA hazırlamak için Oscillation Testini kullanacaksanız, başlangıçtan itibaren olmuştur.

SRA Nasıl: Dört Adım

Sistem seviyesindeki güvenlik risk değerlendirmesi dört adım ana çizgiye dayanıyor ve sistemin risk kaydının ayrıştırılmasıyla sona eriyor:

Risk Tanımlama Risk Tanımlama Risk Tanımlama Risk Tanımlama Risk Tanımlayıcı Evet. Risk Analizi Risk Analizi Risk Analizi Evet. Risk Değerlendirme Risk Değerlendirme Evet. Risk Disposal

Risk tanımı basittir:Risk = tehdit x döngü delik x etkisiBilmiyorum. Tehditler, bireysel, örgütsel veya hatta çevresel koşullardan gelebilir, yetkisiz erişime yol açan, bilgi yıkımı / hizmetlerin reddedilmesi veya reddedilmesine yol açabilir; boşluklar tehditler tarafından sömürülenebilecek güvenlik sistemindeki zayıflıklar veya boşluklardır.

Risk tanımlama aşaması, 10 resmi ürünle geniş bir alanı kapsar: insan kaynakları güvenliği, varlık yönetimi, erişim kontrolü, şifreler, fiziksel ve çevresel güvenlik, operasyonel güvenlik, iletişim güvenliği, sistem tedarik gelişimi ve bakımı, kaynaklanmış güvenlik ve iş sürekliliği BT güvenliği. Tanım süreci iki alt işlemeye ayrılmıştır:

• Bilgi sistemi tanıma: Tüm bilgi sistemleri, para kaynağının ne olursa olsun, kaldırılır ve uygulanır.Varlıkların listesi ve değerlemesiBilmiyorum. Varlık değerinin üç kategorisi vardır - fiziksel değer (eşem/yukanware/data/document/replacement cost of personel), somut değer (iyiler, hizmet kalitesi), bilgi değeri (CIA III+ veri sınıflandırması).
• Risk sahne tanıma• Risk, nedenler ve olaylar, tehditler ve fırsatlar, döngüler ve kabiliyetler, iç ve dış ortamda değişiklikler, ortaya çıkan risk göstergeleri, doğa ve varlık değeri, sonuçlar ve etkiler, bilgi sınırlamaları ve güvenilirlikleri, zaman faktörleri, vb.

Tanım sırasında toplanan bilgiler de özeldir: güvenlik ihtiyaçları ve hedefleri; sistemler/network yapıları ve ölçeklendirme haritaları; odaların fiziksel ortamına uyum; açık aramalanabilir bilgi; fiziksel varlıklar; işletim sistemleri ve ağ yönetimi sistemleri; veritabanı ve belgeler; uygulamalar ve sunucu bilgileri; ağ protokolleri ve hizmetleri; erişim kontrol önlemleri; çeşitli işletim süreçleri; kimlik mekanizmaları; düzenleyici sözleşme gereksinimleri; politika yönergeleri; sistem sınıflandırması.

hangisininSistem incelemesiFocus on: Sistem dosyaları ve logları, koşu süreçleri, erişim kontrol dosyaları, kullanıcı listeleri, konfigürasyon ayarları, yama seviyeleri, şifreleme veya kimlik doğrulama araçları, web boru araçları, loglar veya saldırgan algılama araçları - saldırı denemesi gibi alışılmadık bir aktiviteye göz kulak verirken.

gerektiğinde yapın.Teknik boşluk testleriGap taraması, filtrasyon testleri, konfigürasyon incelemesi, kaynak tarama.Key storeBunu yapmadan önce, değerlendirme ekibi, kapsamı, olası etki, geri / keşif süreci ile aynı fikirde olmalıdır; Eğer 2. ve yukarıda yer alıyorsa, referans Süreklilik Planı (BCP) ve Afet Kurtarma Planı (DRP) için yapılmalıdır. Gap taramaları ağ katmanı algılama / keşif, ana çerçeve boşluk testi, sistem/application ( Web dahil) taramaları ve GovCERT tarafından yayınlanan ilgili güvenlik duyurularının dolu veya telafi edildiğini doğrulayın.

Risk nasıl hesaplanır: Seviye 3 matris

Risk analizi değerlendirmekEtki EtkisiveOlası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olası olasıOnları tanımlamamız gerekiyor.Mevcut kontrol kontrolleriVe etkinliğini değerlendirin. Kontroller üç kategoriye girer: teknik kontrol (firewalls, şifreleme, kötü amaçlı yazılım, erişim kontrolü), fiziksel kontrol (CCTV, kapı-barrel, yangın koruması, fiziksel veri yıkımı), yönetim kontrolü (emergency response plan, personel güvenlik eğitimi, veri gizliliği politikası, felaket hazırlama planı).

Analitik yöntemler niteliksel ve sayısaldır ve aynı zamanda matrix yaklaşımlarında da kullanılabilir. Pratik bir formül:

Risk seviyesi = x olasılık x sistemi hiyerarşisi (Tier)

Her biri 3 yüksek / 2m / orta / 1-low değer alır, 1 ila 27 arasında çoğalır:18-27 Yüksek risk, 9-17 orta risk, 1-8 düşük riskBilmiyorum. Ve...Farklı Farklı Farklı Farklı Farklı Farklı Tier sistemleri kendi risk matrisine sahiptir.- Aynı "ortak olasılık + yüksek etki": Tier 1 risk sayar, Tier 2 yüksek risk olsa bile, Tier 3 daha yüksek risktir. Sistem hiyerarşisi, hataların daha küçük alanı.

Hükümet ayrıca iki teknik verdi:Geçmiş olaylara dayanarak(Güvenlik olayı raporlarına dikkat edin, endüstri literatürü, servis sağlayıcıları tarafından tarihi sızıntılar);Üç nokta tahmin yöntemi(Üç-Point Yönetimi) uzmanların en iyimser O, büyük olasılıkla M ve en karamsar P değerleri, ortalamanın triangülasyonuyla vermelerini sağlar. P ve O çok uzaksa, M daha güvenilirdir, M ağırlıklandırılabilir (örneğin dört kez ağırlık).

SA Nasıl: Uyum

Güvenlik denetimleri başka bir çizgi takip eder: S17 ve bölüm güvenlik politikalarına belge incelemeleri, site ziyaretleri, çok seviyeli görüşmeler, panel tartışmaları, anketler vs. karşı uyumluluk kontrolleri. Denetim kapsamının olması gerekirÖzel ve denetçilerle önceden anlaşmaResmi olarak verilen örnekler Internet güvenliği, Intranet güvenliği, Tier 2 bilgi sistemleri, ana çerçeve güvenliği, ağ sunucusu güvenliği (Web / e-posta sunucusu, vs.), ağ bileşenleri ve ekipmanları (firewalls, yönlendiriciler), oda güvenliği, ağ hizmetleri (katalog hizmetleri, posta hizmetleri, uzaktan erişim), sistem belgeleri ve kayıtları.

Sektör düzeyinde veya özel olmayan denetimler için, S17 veya kuruluş sahibi ISMs framework (politikalar/standartlar/procedurlar) olarak ISM'lerin boyutunu ve etkinliğini denetlemek için yaygın bir uygulamadır.

Teslimat ve 10 yaygın aktivite

SRAA'nın tüm normal aktivitesinin resmi çevirisi 10, temelde bir bütünlük haritası:

1. Açılış seansı: kapsamanın tanınması, hedefler, teslim edilebilirler
2. Proje planlama: Agreed teslimat programı ve programı
3. Kontrol etmeye hazır olun.Bölümler ile denetim formlarının onaylanması
4. Geri çekilme için hazırlanın /: boşluk taraması, penetrasyon testi gibi teknik testler, vb.
5. Varlık tanımlama ve değerleme: Kabul edilen sınırlar içinde varlıkların tanımlanması ve değerlendirilmesi
6. Risk değerlendirmeRisk tanımlama Risk analizi Risk Değerlendirme Risk Değerlendirme
7. SRA raporunun teslim edilmesi, risk tasarrufu planı, sistem riski kaydı
8. Yönetim için raporlamaSonuçlar ve bulgular
9. Güvenlik Denetimidenetim sonuçları hakkında rapor
10. Data and results protection, takip planları, korumalar inceleme, doğrulama raporlarının teslim edilmesi, kapalı döngü raporlaması

Görebilirsiniz,Teslimat bir rapor değildir.SRA side-to-side risk kaydı ve tasarruf planı, SA side-to-side uygunluk kontrol listeleri ve denetim raporları ve nihayet, her keşifin aşırı sonuçlarını kapatmayı doğrulama raporlarını bildiriyor.

Kim yapacak? Ne olacak?

Bağımsız üçüncü taraflar talep etmek zor.Güvenlik denetimleri bağımsız bir üçüncü parti ve SRA önerileri tarafından da yürütülmelidir. Resmi olarak, danışmanların görevleri açıkça tanımlanır: gerekli becerileri ve uzmanlığı vardır, her aracın etkisini anlarlar,hack testleri yapmadan önce, ISS ve polis gibi ilgilenen taraflardan yazılı izin almanız gerekir.Test başarılı olsun ya da olmasın, rapor bölümün 'güvenlik politikası ve operasyonel ihtiyaçları yansıtıyor, önemli riskleri veya non-conformities, raporları hemen tanır ve talep üzerine kanıtlar destekler.

Data protection başka kolayca ihmal edilen bir noktadır: değerlendirme sürecinde büyük miktarda yapılandırma ve hassas veriler toplanır.Planlama aşamasında şifreleme araçları ve kilitlenebilir kabinler için ayarlamanız gerekirDeğerlendirme araçları kontrol edilecek, sadece ekip uzmanları tarafından işletilecek ve hemen tükendikten sonra kaldırılacaktır; değiştirmeden önce ziyarete yetkili olmayan değerlendirme raporları doğrudan bir tehdittir, bu yüzden süreç ve son rapor kesinlikle gizli olacaktır; ve tamamlandığında tüm bilgiler geri dönecek ve tüm bilgiler geri dönecektir.denetçilere verilen geçici erişimin geri çekilmesiBilmiyorum.

Servisler önceden yapılandırılmıştır: ağ haritaları, işletim kılavuzları, erişim kontrol listeleri, güvenlik politikaları / standartları / kılavuzlar/procedurlar; ağlar, güvenlik duvarları, sistem yönetimi gibi bir destek sağlama; site ziyaretlerinin organizasyonu.

Takip buna değer.

Resmi bir açıklama var:“ Risk değerlendirme ve denetimin değeri, tavsiyelerde değil, etkili uygulamada.” Yönetim, tavsiye verildiğinde uygulanmasından sorumludur; karar uygulanmazsa, ilgili riskin kabul edilmesi ve tamamen haklı olması gerekir. Takip, üç endişe alanı etrafında yapılandırılmıştır: adaptasyonun etkinliği, nitelikleri ve zaman çizelgesi. Yüksek riskli öğeler mümkün olduğunca kısa sürede değiştirilmiş veya güçlendirilir ve regresyon prosedürleri için hazırdır.

non-Hong Kong bölgesi için referans değeri nedir?

SRAA, Hong Kong hükümetinin bir ürünü olmasına rağmen, iskeletleri yaygındır:Risk değerlendirme “risk”, güvenlik denetimi” uyum, hem ayrı hem de kapalı döngü doğrulamaBilmiyorum. Bu fikir seti ve inland garanti değerlendirmeleri, ISO/IEC 27001 sertifikalar ruhsal olarak uyumlu - ilk önce varlıkları açıklayın ve sonra riskleri hesaplar (görüntü x olasılık x sistem sınıflandırması), sonra tüm kaynakları risk ve aşağıdan ayırın ve sonunda uyum onaylayan bağımsız bir denetim kullanın.

Organizasyonunuz bir güvenlik yönetişim çerçevesi oluşturuyorsa, SRAA değerlendirme-disposal-audit-validasyon seti çok kullanışlı bir şablondur. Özellikle de bu.”Risk kayıt + tasarruf planı + geçerlilik raporu“Üç set sadece bir geçirgenlik testi raporunun sunulmasından çok daha sağlam.

Güvenlik bir değerlendirme değildir, ancak çakışmaya devam eden kapalı bir döngü.