01
DPO SOA-QPS5 分判商认可
政府部门与资助机构可透过 SOA-QPS5 承办商直接委聘 UD 执行 SRAA，毋须额外采购程序，免除重复技术审核，缩短采购至报告交付的时间表。
什么是 SRAA？
政府与资助机构的法定合规审计。
SRAA 是香港特区政府要求所有部门及政府资助机构（NGO / NPO）定期提交的信息保安风险评估及审计报告，法定基础为 DPO《信息科技保安指引》。
它并非单一报告，而是 SRA 风险评估与 SA 安全审计两项并行服务的合称，必须由具独立性的第三方审计师执行。
私营企业同样适用 ·可作 ISO 27001 认证、HKMA 监管应对与 PDPO 合规的有效预备工作。
谁需要 SRAA
受 DPO 标准规管的机构属强制要求；私营企业则可自愿采用，作为合规与治理的先行一步。
为何由 UD 执行 SRAA
02
报告直接对应 DPO 提交格式
报告结构直接对应 ISPG-SM01 提交格式，可即时送交 DPO、决策局或董事会，无需二次整理。
03
独立第三方审计，避免利益冲突
UD 不销售审计范围内的软硬件，不推销与结果挂钩的方案。独立性是 DPO 标准的法定前提，也是审计效力的核心保障。
04
由具攻击测试认证的审计师执行
UD 审计师同时拥有攻击测试认证，能识别纯文档审查无法发现的技术配置漏洞，把合规由“打勾”升级为实质风险识别。
05
自 1998 年在港执行 DPO 标准
服务逾 4,000 间机构，熟悉 DPO 提交格式与政府审计流程。100% 香港本地审计师，内部直聘，敏感资料不离境。
曾服务的机构类别
政府部门, 决策局, 政府资助 NGO, 社福机构, 教育机构, 医疗机构
审计团队持有 17 项 网络安全国际认证
服务流程
整个周期约 4–8 周
01
范围界定与资料搜集
与客户会面，识别关键技术资产、敏感资料流向与适用合规对象，签署保密协议与授权文件，搜集现有安全政策与程序文档。
步骤 02 – 03 SRA 与 SA 并行
· 由同一团队同步进行02
SRA 风险评估
资产分类、威胁建模、漏洞扫描与影响评估，依 ISPG-SM01 控制清单逐项验证并计算剩余风险。
03
SA 安全审计
对防火墙、存取控制、加密、补丁与日志进行技术抽样审计，并审查政策文档，必要时嵌入针对性渗透测试。
04
报告、解说与修补咨询
提交整合 SRA 与 SA 结果的 SRAA 报告，内含风险登记册、合规状态与修补优先级，并安排解说会协助 IT、合规与管理层理解结果。
05
重新评估
针对已识别漏洞与差距项目重新评估，确认修补成果，签发完成确认函，可直接提交 DPO 或相关监管机构。
取得报价或查询
无论你想索取正式报价，还是一般查询，UD 审计师将于 尽快与你联络，协助界定范围、估算工时，并提供专属报价。
专人跟进回覆
范围界定会议后提供正式报价
100% 香港本地审计师，资料不离境
常见问题
SRAA 与渗透测试有何分别？
SRAA 是 DPO 标准的机构级合规审计，涵盖管理、流程、技术三层，并包含风险评估（SRA）与安全审计（SA）两项并行服务；渗透测试则专注于技术层的模拟攻击，深入验证系统可被利用的漏洞。SRAA 内可嵌入针对性渗透测试作为审计手段之一，但两者覆盖范围与目的不同。
私营企业可以做 SRAA 吗？
可以。虽然 SRAA 原本针对政府部门与政府资助机构，但其框架同样适用于私营企业作 ISO 27001 预备、HKMA 应对、PDPO 合规或内部 IT 治理之用，可显著提升 IT 治理成熟度，并缩短后续正式认证的时程。
完整 SRAA 需要多久？
典型 4 至 8 周，视乎机构规模、site 数量、技术复杂度与配合度。多 site 整合方案需要更长时间，但每 site 的单位成本可下降。
通过 SRAA 后多久要再做？
建议每年一次，或在重大系统变更后即时补做。常见触发点包括新核心系统上线、云迁移、收购合并，以及合规对象升级（例如新增 PCI-DSS）。
SRA 与 SA 可以分开做吗？
DPO 标准要求两者同时提交，因此分开做意义有限。少数情况下，机构可先做 SRA 识别风险、6 个月后再做 SA 验证修补成果；但此安排会延长合规取得时间，并非优选。
SRAA 报告可以直接提交 DPO 或相关监管机构吗？
可以。UD 的 SRAA 报告结构与内容直接对应 DPO ISPG-SM01 标准，可即时送交 DPO、决策局、董事会、审计委员会，或作为政府投标的合规文件。
UD 是否为 DPO SOA-QPS5 认可承办商？
是。UD 已列入 DPO“优质信息科技专业服务常备承办协议第五代（SOA-QPS5）”分判商名单。政府部门与资助机构可透过 SOA-QPS5 承办商直接委聘 UD 执行 SRAA，毋须另行采购程序。
如何取得报价？需要提供什么资料？
提交页底查询表单，注明机构类别、site 数量、应用系统范围、合规对象（DPO 或同时对应 ISO 27001、PCI-DSS、HKMA）与目标完成时间，UD 审计师将尽快回覆并安排范围界定会议，会议后提供正式报价。