SRAA 安全风险评估及审核
盘点系统与数据、识别威胁及控制差距，整理风险级别、证据、负责人及修复优先次序。
- 自 2004 年 · 22 年
- 逾 5,000 个项目
- 204 个已上架应用程序MobPage
- 1,230+ 应用商店评价MobPage
服务机构包括医院管理局及多间公立医院，以及 NGO、教育、地区与义务工作机构。
应用程序数字属 MobPage 事业部
快速答案
这项服务包括什么？
由评估范围、测试、证据到修复复测——为需要独立审计证据的企业、学校、NGO 及医疗机构而设。
- 常见范围
- 独立于系统开发方——不评估自己建的系统，证据可直接呈交管理层或审计方 · 由范围界定到修复复测——不是一份扫描报告，而是可追踪到关闭的工作清单 · 可按风险及合规需要组合的服务
- 实施方式
- 先明确目标、现有流程、数据、权限及系统集成，再分阶段设计、验证、上线及交接。实际范围会按需求分析确认。
SRAA：资讯保安风险评估及审计
SRAA（Security Risk Assessment and Audit）在政府文件一般称为「资讯保安风险评估及审计」。按政府要求，政府部门须每两年为资讯系统进行一次；部分公营机构及资助机构的招标文件亦会要求承办商安排 SRAA。
网络安全与风险保证
可按风险及合规需要组合的服务
先确认资产、数据敏感度及用途，再选择合适的评估深度；不以单一扫描结果代替专业判断。
网站、API 及渗透测试
在书面授权及确认范围内，验证身份认证、权限、输入处理、数据暴露及常见攻击面的实际影响。
源代码、依赖组件及秘密扫描
结合静态分析、第三方组件风险及凭证／密钥泄漏检查，协助开发团队定位修复方向。
云端与配置安全检查
检查公开暴露、TLS、安全响应头、访问控制、备份、日志及部署配置。
你会收到什么
报告以决策及修复为目的，而不是堆砌扫描器输出。
| 交付项目 | 内容 | 用途 |
|---|---|---|
| 管理摘要 | 范围、主要风险、业务影响及优先次序 | 供管理层及项目负责人决策 |
| 技术发现 | 可复现证据、受影响组件、风险说明及修复建议 | 供开发、IT 或供应商处理 |
| 风险记录 | 严重程度、负责人、状态及建议时限 | 追踪修复与风险接受 |
| 修复复测 | 在约定范围内重新验证已处理项目 | 确认风险是否降低或仍需跟进 |
由授权到复测的四个阶段
测试前先写清楚目标、范围、时段、禁止动作、联系人及数据处理方式。
1
1. 范围与规则
确认资产、环境、测试账户、书面授权、风险容忍度及紧急停止安排。
2
2. 评估与验证
结合自动化与人工方法，并只保留修复所需证据。
3
3. 汇报与修复工作坊
解释风险、误报限制、可行修复次序及负责方。
4
4. 复测与收结
重新验证约定项目，并记录修复、风险接受或待跟进状态。
方法与参考框架
实际范围仍按系统及风险而定。SRAA 指引由香港政府数字政策办公室（DPO）／GovCERT 发布，以下链接打开官方原档。
SRAA 报价需要的资料
- 系统名称及用途
- 网站或应用程式数目及主要功能
- 伺服器、云端及网络范围
- 是否需要渗透测试及源码扫描
- 适用的要求（例如政府指引或招标文件条款）
- 完成期限及报告语言
如何判断服务是否适合
先要求清楚范围、方法、证据、数据处理及复测安排；一次测试不等于“永久安全”。
一般步骤：一、确认范围，包括系统、网站、伺服器及网络；二、按招标文件确认时间（例如上线前或每年）及报告格式；三、由独立于开发及维护团队的审计人员进行评估及审计，不评估自己开发的系统；四、根据报告修正问题并覆检；五、向机构提交报告及修正纪录。我们可以协助规划范围、安排审计及跟进修正。
SRAA 是 Security Risk Assessment and Audit（安全风险评估及审核），以已界定范围盘点资产、威胁、控制及风险，并形成可跟进记录。
SRAA 着重整体资产、威胁、控制及风险记录；渗透测试在授权范围内验证特定技术弱点。
通常不足够。扫描用于扩大覆盖，人工复核用于确认情境、业务影响及误报。
可以，但需要资产拥有者或获授权方的书面同意，并预先界定环境、账户、测试时段及禁止动作。
不会。评估只反映约定范围及测试时点内找到的证据，之后仍需要修复、监控及定期复核。