Tên đầy đủ của SRA:

Ở Hồng Kông, anh sẽ không bao giờ thoát được chỉ với một từ: SRAA. Tên đầy đủ Sự giúp đỡ và sự an toànTrong tiếng Trung Quốc, bản này được gọi là “Sự đánh giá rủi ro và kiểm toán viên (cũng được dịch là“ đánh giá rủi ro và kiểm toán). Nó không phải sản phẩm của nhà sản xuất, nó...Một bộ đánh giá an ninh bắt buộc được thiết lập bởi chính phủ Hồng KôngTất cả các cơ quan chính phủ, các bộ phận/công ty (B/D) và các cơ quan tài trợ của chính phủ được yêu cầu thực hiện và đệ trình các báo cáo xác nhận độc lập.

Bộ yêu cầu này dựa trên Văn phòng Chính sách kỹ thuật số, DPO, trước đây là OGCIO, Hướng dẫn thực tập cho Khả năng Phát âm & Phát âm an ninh mạo hiểm (Không. IPG-SM01Các tài liệu kèm theo đây cũng bao gồm các chính sách bảo mật cơ bản [S17] và IT Guidelines [G3]. Ấn bản mới nhất được xuất bản vào tháng 8 năm 2026, v2.2“ Tiến trình nghiên cứu và kiểm tra mật mã chuyển phát đã được thêm vào một bộ phận khác.

Những tham khảo có tính chất định vị của nó cũng có nghĩa là định vị: ISO/IEC 22000, 27001, 70002, 27005, ISO 31000: 2018 hướng dẫn quản lý rủi ro, và NERIR 8286 (trong việc tập hợp an ninh mạng vào việc quản lý rủi ro kinh doanh (ERM). Nói cách khác,SRAA là một cơ sở cấp chính phủ cho việc định vị các tiêu chuẩn quốc tếTôi không biết.

Phân biệt giữa SRA và SA

Rất nhiều người xem SRA là một, nhưng đó là sự kết hợp của hai thứ hoàn toàn khác nhau:

Khả năng an ninh được hỗ trợNhận dạng, phân tích, đánh giá rủi ro an toàn và xác định cách xử lý để giảm rủi ro đến mức chấp nhận được. Quan điểm là:Nguy hiểm“ Phạm vi đánh giá không nhất thiết liên quan đến chính sách an ninh.
Thử nghiệm an ninh (SA, kiểm tra an ninh)CommentMức độ tuân thủĐể xác minh rằng các biện pháp bảo vệ hiện có đã được thực hiện đúng. Quan điểm là:Độ tương thíchNgược lại với S17, G3 hoặc chính sách an ninh của khu vực.

Viên chức đã đưa cho chúng tôi một bàn so sánh mà làm cho sự khác biệt hoàn toàn rõ ràng:

Coi chừng.: SRA là một quan điểm rủi ro; SA là một quan điểm tuân thủ
Thực hiện ĐảngSRA có thể được đánh giá bởi chính bộ phận (tự lắp ráp) hoặc bởi các bên thứ ba;SA phải được thực hiện bởi một bên thứ ba độc lập
Name:SRA đầu hàngNguy hiểm bộ nhớ + biện pháp hủy bỏ rủi ro;SA đầu hàngDanh sách tính toán
Thời gian: hệ thống mới trong vòng đời phát triển (SDLC)ChạyDo SRA; các hệ thống trực tuyến đã thường xuyên được thực hiện trong vòng đời, hoặc khi những thay đổi quan trọng xảy ra trong môi trường IT

Ba trong những quan niệm sai lầm phổ biến nhất.

IPG-SM01, từ Phiên bản 2.0 (Apri 2024), đã làm sáng tỏ một số quan niệm sai lầm phổ biến mà đáng lẽ phải được nghe trong lĩnh vực này:

Hiểu nhầm một: SRA và SA phải làm điều đó với nhau, tạo ra một báo cáo "hai trên một".Sai. Bản chất của hai bên khác nhau, cũng như những đòi hỏi của Đảng thực thi (SA phải là một bên thứ ba độc lập), mà có thể được thực hiện riêng rẽ.
Hiểu sai 2: Một hoạt động của SRAA có thể bao gồm cả việc nhận dạng rủi ro lẫn việc tuân thủ ngân phiếu ở SDLC.Sai. Đây là hai loại công việc khác nhau.
Hiểu sai ba: SRAA là một bản scan rò rỉ hoặc kiểm tra thâm nhập.Sai lầm nhất.Kiểm tra thâm nhập chỉ là một phần của bài kiểm tra kỹ thuật trong SRA.Không phải SRA. Nhiều công ty tư vấn đã đọc sai mô tả dịch vụ của họ, nói rằng “SAS như thường bao gồm việc thử nghiệm bằng cách xâm nhập vào hệ thống.

Điều quan trọng là phải làm rõ điều này -- bởi vì nếu bạn định sử dụng bài kiểm tra sản xuất để chuẩn bị SRAA, nó đã đi theo hướng của sự khởi đầu.

SRA Làm thế nào: bốn bước

Đánh giá rủi ro an ninh ở mức độ hệ thống dựa trên một dòng chính bốn bước và kết thúc với việc xác nhận về việc ghi nhận rủi ro hệ thống:

Nhận diện mạo hiểm Ừ. Nguy cơ phân tích Ừ. Đánh giá Ừ. Nguy hiểm

Định nghĩa của rủi ro rất đơn giản:Nguy hiểm = đe dọa x lỗ hổng x va chạmTôi không biết. Mối đe dọa có thể đến từ mỗi cá nhân, tổ chức hoặc ngay cả môi trường, dẫn đến việc truy cập trái phép, phá hủy thông tin hoặc phủ nhận dịch vụ; lỗ hổng là những nhược điểm hoặc khoảng cách trong hệ thống an ninh có thể bị đe dọa lợi dụng.

Giai đoạn nhận diện rủi ro bao gồm rất nhiều khu vực, với 10 mục chính thức: an ninh nhân lực, quản lý tài sản, kiểm soát truy cập, mật khẩu, an ninh vật lý và môi trường, an ninh hoạt động, an ninh liên lạc, phát triển và bảo trì hệ thống, an ninh ngoài sức khỏe, và an ninh công ty. Quá trình nhận diện được chia thành hai ứng dụng phụ:

Nhận dạng hệ thống thông tin: mọi hệ thống thông tin trong thẩm quyền, bất kể nguồn tài trợ, được gỡ bỏ và thực hiệnLiệt kê và đánh giá tài sảnTôi không biết. Có ba loại giá trị tài sản - giá trị vật lý (cho phần mềm/ phần mềm/ thô/documenation/dimenation chi phí nhân sự), giá trị vô định (tốt, chất lượng dịch vụ), giá trị thông tin (CIA III+ dữ liệu phân loại).
Nhận diện hiện trường rủi ro• Hãy xem xét những nguồn rủi ro, nguyên nhân và sự kiện, mối đe dọa và cơ hội, lỗ hổng và khả năng, thay đổi môi trường bên trong và bên ngoài, những dấu hiệu rủi ro nổi lên, thiên nhiên và giá trị của tài sản, hậu quả và ảnh hưởng, giới hạn tri thức và các yếu tố thời gian, v.v...

Thông tin được thu thập trong quá trình nhận diện cũng đặc biệt: nhu cầu an ninh và mục tiêu; cấu trúc hệ thống/ Mạng làm việc và bản đồ quy mô; bằng chứng tuân theo môi trường vật lý của các phòng; mở rộng thông tin có thể tìm kiếm; tài sản vật lý; hệ thống điều hành và hệ thống quản lý mạng; cơ sở dữ liệu và tài liệu; ứng dụng và thông tin máy chủ; các giao thức và dịch vụ mạng; các quy trình truy cập; các tiến trình điều khiển; các tiến trình nhận dạng; các quy trình khác nhau; các quy trình điều khiển; các quy định chính sách; hệ thống phân loại.

trong số đóXem lại hệ thốngTập trung vào: tập tin và bản ghi hệ thống, tiến trình chạy, truy cập tập tin điều khiển, danh sách người dùng, thiết lập cấu hình, cấp vá, công cụ mã hóa hay xác thực, công cụ đường ống mạng, bản ghi, hoặc công cụ phát hiện xâm nhập - trong khi trông chừng bất kỳ hoạt động bất thường nào như cố gắng xâm nhập.

Làm khi cần thiết.Kiểm tra lỗ hổng kỹ thuậtQuét ổ cắm, kiểm tra thâm nhập, xem lại cấu hình, quét nguồn.Cơ sở khóaTrước khi làm thế, đội đánh giá phải đồng ý với bộ phận về phạm vi, tác động có thể xảy ra, quá trình phục hồi và ngụy trang; nếu có liên quan đến Tier 2 và trên, cần phải tham khảo kế hoạch Kinh doanh liên tục (BCP) và kế hoạch tái hiện thiên tai (DRP). Các bản scan của Gap bao gồm việc phát hiện lớp mạng lưới, kiểm tra lỗ hổng máy chủ, quét hệ thống (kể cả Web) và xác nhận rằng những thông báo an ninh liên quan do GovCETT.HK cung cấp đã được điền hoặc bồi thường.

Cách tính rủi ro: ma trận cấp 3

Đánh giá khả năng phân tích rủi roẢnh hưởngvàCó thểChúng ta cần nhận dạng chúng.Điều khiển tồn tạiVà đánh giá hiệu quả của chúng. Kiểm soát rơi vào ba loại: kiểm soát kỹ thuật (các bức tường lửa, mã hóa, phần mềm độc hại, kiểm soát truy cập), kiểm soát vật lý (CCTV, cửa ra vào, bảo vệ lửa, hủy hoại dữ liệu vật lý), quản lý (kế hoạch phản ứng khẩn cấp, đào tạo nhân viên an toàn, chính sách thông tin, kế hoạch chuẩn bị thảm họa).

Các phương pháp phân tích có tính toán và định lượng, và cũng có thể được sử dụng trong phương pháp tiếp cận ma trận. Một công thức thực tế là:

Cấp rủi ro = tác động x xác suất phân cấp hệ thống (Tier)

Mỗi người có giá trị 3 - cao / 2m/ vừa / 1-low, nhân phạm vi 1 đến 27:18-27 rủi ro cao, 9-17 rủi ro trung bình, 1-8 rủi ro thấpTôi không biết. Và...Khác Hệ thống Tier có ma trận rủi ro riêng.- Cùng " xác suất y tế + tác động cao" : Tier 1 mạo hiểm, Tier 2 thậm chí nếu nguy cơ cao, Tier 3 là nguy cơ cao hơn. Các cấp bậc cao hơn của hệ thống, các nhỏ hơn không gian cho lỗi.

Chính phủ cũng đưa ra hai kỹ thuật:Dựa trên các sự kiện đã qua(Trích dẫn các báo cáo an ninh, văn học công nghiệp, rò rỉ lịch sử của các nhà cung cấp dịch vụ);Phương pháp đánh giá ba điểmĐiều này cho phép các chuyên gia đưa ra những giá trị "O" lạc quan nhất, rất có thể là "M", và bi quan nhất P, đồng thời, với ba tiêu chuẩn trung bình. Nếu P và O quá xa nhau, M đáng tin cậy hơn, M có thể được cân (v. d. trọng lượng gấp bốn lần).

SA Làm thế nào: Sự thỏa thuận

Kiểm tra an ninh theo một đường dây khác: tuân thủ kiểm tra chống lại S17 và các chính sách an ninh của sở cảnh sát thông qua các bài phê bình tài liệu, các cuộc viếng thăm trang web, phỏng vấn đa cấp độ, hội thảo bảng điều khiển, câu hỏi, vân vân. Phạm vi phát âm phảiThỏa thuận riêng với thính giảVí dụ được chính thức cung cấp bao gồm an ninh Internet, an ninh mạng, thông tin Tier 2 hệ thống, an ninh máy chủ, an ninh mạng máy chủ (máy phục vụ mạng/ email, v.v...), thành phần mạng và thiết bị (các tường lửa, rạp), an ninh phòng, dịch vụ mạng ( dịch vụ hộp thư, dịch vụ thư, truy cập từ xa), tài liệu và hồ sơ hệ thống.

Đối với các cuộc kiểm tra cấp độ phân khu hoặc không cụ thể, việc kiểm tra kích thước và hiệu quả của ISM như được định nghĩa trong S17 hoặc khuôn khổ được tổ chức tên là ISM (chính trị/ tiêu chuẩn/ thẩm quyền/ giả).

Giao hàng và 10 hoạt động thông thường

Bản dịch chính thức của toàn bộ hoạt động của SRAA thành 10, về cơ bản là bản đồ con đường của sự chính trực:

Mở phiên chạy: công nhận tin tức, mục tiêu, tài liệu
Kế hoạch dự án: lịch và lịch trình giao hàng đồng ý
Chuẩn bị kiểm tra đi.: Xác nhận các đơn kiểm tra với các bộ phận
Chuẩn bị rút lui/phục hồi: các thử nghiệm kỹ thuật như quét lỗ hổng, kiểm tra thâm nhập, v.v...
Định dạng và đánh giá tài sản: Nhận diện và đánh giá tài sản trong những giới hạn đã thỏa thuận
Đánh giá rủi roĐánh giá nguy cơ phân tích mạo hiểm
Báo cáo giao hàng của SRA, kế hoạch gỡ bỏ rủi ro, ghi nhận rủi ro hệ thống
Báo cáo cho quản lýKết quả và khám phá
Kiểm tra an ninhBáo cáo kết quả kiểm toán.
Dữ liệu và kết quả bảo vệ, kế hoạch tiếp theo, bảo vệ xem xét, giao báo cáo hợp pháp, đóng vòng lặp báo cáo

Bạn có thể thấy,Giao hàng không phải là báo cáo.SRA ghi nhận rủi ro từ bên này sang bên kia, kế hoạch xử lý, bảng kiểm tra từ bên này sang bên kia và các báo cáo kiểm toán và cuối cùng, các báo cáo hợp pháp để xác nhận kết quả vượt quá mức của mỗi khám phá để kết thúc.

Ai sẽ làm? Chuyện gì sẽ xảy ra?

Các bên thứ ba độc lập rất khó để yêu cầu.— Các cuộc kiểm toán an ninh phải được điều hành bởi một bên thứ ba độc lập và lời đề nghị của SRA cũng phải được gửi đến bên thứ ba. Chính thức, nhiệm vụ của các nhà tư vấn/người phát ngôn được xác định rõ ràng: họ có những kỹ năng và chuyên môn cần thiết, họ hiểu được tác động của mỗi công cụ,Trước khi tiến hành kiểm tra hack, bạn phải có giấy phép viết tay từ các bên quan tâm như IP và cảnh sát.Dù bài kiểm tra có thành công hay không, báo cáo phản ánh chính sách an ninh s của bộ phận và nhu cầu hoạt động, xác định những rủi ro đáng kể hay không, báo cáo ngay lập tức, và hỗ trợ bằng chứng theo yêu cầu.

Bảo vệ dữ liệu là một điểm dễ bị bỏ qua: một lượng lớn cấu hình và dữ liệu nhạy cảm được thu thập trong quá trình đánh giá.Cần phải sắp xếp cho các công cụ mã hóa và tủ khóa tại giai đoạn lên kế hoạch; các công cụ đánh giá sẽ được kiểm soát, hoạt động bởi các chuyên gia trong đội và bị loại bỏ ngay sau khi họ đã kiệt sức; đánh giá báo cáo mà không được phép thăm dò trước khi sửa đổi là chính họ là một mối đe dọa trực tiếp, do đó quá trình và báo cáo cuối cùng sẽ được hoàn toàn bí mật; và, sau khi hoàn thành, tất cả các thông tin sẽ được trả lại và sau khi hoàn tất, tất cả các thông tin sẽ được hoàn tất.Rút lui quyền truy cập tạm thời được chấp thuận cho thính giảTôi không biết.

Các dịch vụ được tiền đề: cung cấp thông tin tài liệu như bản đồ mạng, sổ tay điều hành, danh sách điều khiển truy cập, chính sách bảo mật/ tiêu chuẩn/ tiền đề/ tiền đề; sự cung cấp hỗ trợ ngang hàng như mạng lưới, tường lửa, quản lý hệ thống; và tổ chức thăm viếng nơi Mạng.

Tiếp theo cũng đáng.

Có một tuyên bố chính thức:“ Giá trị của việc đánh giá rủi ro và kiểm toán không nằm trong lời đề nghị, nhưng trong việc thực hiện hiệu quả. Quản lý chịu trách nhiệm thực hiện khi đề nghị được đưa ra; nếu quyết định không được thực hiện, thì phải chấp nhận rủi ro tương ứng và hoàn toàn hợp lý. Tiếp theo là cấu trúc của ba lĩnh vực quan tâm: hiệu quả, khả năng và độ đúng giờ của sự thích nghi. Những vật có rủi ro cao được tìm thấy để được sửa đổi hoặc tăng cường càng sớm càng tốt và sẵn sàng cho thủ tục hồi quy.

Giá trị tham khảo của vùng không phải là Kong là gì?

Dù SRAA là sản phẩm của hệ thống chính phủ Hồng Kông, các bộ xương của nó rất phổ biến:Đánh giá rủi ro “có nguy cơ, kiểm toán an ninh tuân thủ, cả hai cách, khả thi và khép kínTôi không biết. Điều này tập hợp các ý tưởng và trong nội địa tương đương với đánh giá bảo mật, ISO/IEC 27001 là tương thích về thiêng liêng - đầu tiên rõ ràng tài sản và sau đó tính toán các rủi ro (thường là x phân loại), sau đó phân bổ tài nguyên với rủi ro và dưới, và cuối cùng sử dụng một cuộc kiểm tra độc lập để xác nhận sự tuân thủ.

Nếu tổ chức của bạn đang thiết lập một khuôn khổ quản lý an ninh, vòng lặp của SRAA đánh giá-diposal-auction set là một mẫu rất hữu ích. Đặc biệt là cái đó."Comment“ Ba bộ này vững chắc hơn nhiều so với việc chịu đựng chỉ một bản báo cáo thử nghiệm có tính khả thi.

Sự an toàn không phải là một sự đánh giá, mà là một vòng lặp khép kín liên tục.