针对保险公司的网络防卫评估

什么是 网络防卫评估框架 (CRAF)？

网络防卫评估框架 (CRAF) 是一种结构化的评估工具，专为授权保险公司设计，用于评估其在网络防卫方面的固有风险和成熟度。CRAF 提供了一套全面的风险指标、控制原则和方法，可指导组织识别漏洞并实施有效的网络安全措施。通过利用定性和定量评估标准，CRAF 使保险公司能够深入了解其网络防卫状况，确保他们能够主动管理风险并保护其关键资产免受不断演变的网络威胁。

CRAF 有什么好处？

网络防卫评估框架 (CRAF) 为寻求加强网络安全态势的授权保险公司提供了众多好处：

• 系统风险评估：CRAF 提供了一种结构化的方法来识别和评估固有的网络风险，使组织能够有效地优先考虑其安全工作。
• 监管合规性：该框架有助于遵守监管要求，帮助保险公司避免潜在的处罚并保持其运营诚信。
• 切实可行的见解：CRAF 提供定制建议，使组织能够实施有效的网络安全控制并提高其整体恢复能力。
• 提高声誉：通过采用 CRAF，保险公司可以与客户建立信任并提高其在市场上的声誉。
• 业务连续性：最终，CRAF 将带来更安全的运营环境，确保在不断演变的网络威胁下业务连续性。

CRAF 适合哪些人？

CRAF 适用于在香港或从香港运营的授权保险公司，包括从事各种保险业务的保险公司。该框架对于希望增强网络防卫并遵守保险业监管局 (IA) 规定的监管要求的组织尤其有益。CRAF 适用于大型保险公司和小型实体，提供灵活的评估方法，以满足每个组织的特定需求和复杂性。此外，它还是风险管理和网络安全团队的宝贵资源，帮助他们做出明智的决策，以加强其整体网络风险管理策略。

CRAF 需要提交的文件？

获授权保险公司需在规定的时间内向香港保险管理局（IA）提交评估结果：对于高固有风险评级的保险公司，需在12个月内提交，而对于低或中等风险评级的保险公司，则需在18个月内提交，起始于CRAF生效之日。初次提交后，评估结果需每三年提交一次。提交内容应包括：

1. 固有风险评估：使用规定模板提供评级及相关支持文件；
2. 网络安全成熟度评估：各控制原则的成熟度水平，以及针对识别的差距的详细改善计划，包括明确的行动点和目标完成日期；
3. 中/高风险保险公司：从基于威胁情报的攻击模拟（TIBAS）演练中识别的差距，包括评审发现和风险评级；
4. 其他信息：IA要求的任何其他相关信息。

所有提交的结果，包括完成的模板，必须由首席执行官或高级执行官、以及参与评估的评估者和验证者进行审核并签字。

DQS HK 的相关服务：

根据CRAF为保险公司提供网络防卫评估，包括以下其中一项或全部：

• 固有风险评估，
• 网络安全成熟度评估，
• 从基于威胁情报的攻击模拟（TIBAS）。