01
DPO SOA-QPS5 分判商認可
政府部門與資助機構可透過 SOA-QPS5 承辦商直接委聘 UD 執行 SRAA，毋須額外採購程序，免除重複技術審核，縮短採購至報告交付的時間表。
甚麼是 SRAA？
政府與資助機構的法定合規審計。
SRAA 是香港特區政府要求所有部門及政府資助機構（NGO / NPO）定期提交的資訊保安風險評估及審計報告，法定基礎為 DPO《資訊科技保安指引》。
它並非單一報告，而是 SRA 風險評估與 SA 安全審計兩項並行服務的合稱，必須由具獨立性的第三方審計師執行。
私營企業同樣適用 ·可作 ISO 27001 認證、HKMA 監管應對與 PDPO 合規的有效預備工作。
誰需要 SRAA
受 DPO 標準規管的機構屬強制要求；私營企業則可自願採用，作為合規與治理的先行一步。
為何由 UD 執行 SRAA
02
報告直接對應 DPO 提交格式
報告結構直接對應 ISPG-SM01 提交格式，可即時送交 DPO、決策局或董事會，無需二次整理。
03
獨立第三方審計，避免利益衝突
UD 不銷售審計範圍內的軟硬件，不推銷與結果掛鈎的方案。獨立性是 DPO 標準的法定前提，也是審計效力的核心保障。
04
由具攻擊測試認證的審計師執行
UD 審計師同時擁有攻擊測試認證，能識別純文檔審查無法發現的技術配置漏洞，把合規由「打勾」升級為實質風險識別。
05
自 1998 年在港執行 DPO 標準
服務逾 4,000 間機構，熟悉 DPO 提交格式與政府審計流程。100% 香港本地審計師，內部直聘，敏感資料不離境。
曾服務的機構類別
政府部門, 決策局, 政府資助 NGO, 社福機構, 教育機構, 醫療機構
審計團隊持有 17 項 網絡安全國際認證
服務流程
整個週期約 4–8 週
01
範圍界定與資料蒐集
與客戶會面，識別關鍵技術資產、敏感資料流向與適用合規對象，簽署保密協議與授權文件，蒐集現有安全政策與程序文檔。
步驟 02 – 03 SRA 與 SA 並行
· 由同一團隊同步進行02
SRA 風險評估
資產分類、威脅建模、漏洞掃描與影響評估，依 ISPG-SM01 控制清單逐項驗證並計算剩餘風險。
03
SA 安全審計
對防火牆、存取控制、加密、補丁與日誌進行技術抽樣審計，並審查政策文檔，必要時嵌入針對性滲透測試。
04
報告、解說與修補諮詢
提交整合 SRA 與 SA 結果的 SRAA 報告，內含風險登記冊、合規狀態與修補優先級，並安排解說會協助 IT、合規與管理層理解結果。
05
重新評估
針對已識別漏洞與差距項目重新評估，確認修補成果，簽發完成確認函，可直接提交 DPO 或相關監管機構。
取得報價或查詢
無論你想索取正式報價，還是一般查詢，UD 審計師將於 盡快與你聯絡，協助界定範圍、估算工時，並提供專屬報價。
專人跟進回覆
範圍界定會議後提供正式報價
100% 香港本地審計師，資料不離境
常見問題
SRAA 與滲透測試有何分別？
SRAA 是 DPO 標準的機構級合規審計，涵蓋管理、流程、技術三層，並包含風險評估（SRA）與安全審計（SA）兩項並行服務；滲透測試則專注於技術層的模擬攻擊，深入驗證系統可被利用的漏洞。SRAA 內可嵌入針對性滲透測試作為審計手段之一，但兩者覆蓋範圍與目的不同。
私營企業可以做 SRAA 嗎？
可以。雖然 SRAA 原本針對政府部門與政府資助機構，但其框架同樣適用於私營企業作 ISO 27001 預備、HKMA 應對、PDPO 合規或內部 IT 治理之用，可顯著提升 IT 治理成熟度，並縮短後續正式認證的時程。
完整 SRAA 需要多久？
典型 4 至 8 週，視乎機構規模、site 數量、技術複雜度與配合度。多 site 整合方案需要更長時間，但每 site 的單位成本可下降。
通過 SRAA 後多久要再做？
建議每年一次，或在重大系統變更後即時補做。常見觸發點包括新核心系統上線、雲端遷移、收購合併，以及合規對象升級（例如新增 PCI-DSS）。
SRA 與 SA 可以分開做嗎？
DPO 標準要求兩者同時提交，因此分開做意義有限。少數情況下，機構可先做 SRA 識別風險、6 個月後再做 SA 驗證修補成果；但此安排會延長合規取得時間，並非優選。
SRAA 報告可以直接提交 DPO 或相關監管機構嗎？
可以。UD 的 SRAA 報告結構與內容直接對應 DPO ISPG-SM01 標準，可即時送交 DPO、決策局、董事會、審計委員會，或作為政府投標的合規文件。
UD 是否為 DPO SOA-QPS5 認可承辦商？
是。UD 已列入 DPO「優質資訊科技專業服務常備承辦協議第五代（SOA-QPS5）」分判商名單。政府部門與資助機構可透過 SOA-QPS5 承辦商直接委聘 UD 執行 SRAA，毋須另行採購程序。
如何取得報價？需要提供甚麼資料？
提交頁底查詢表單，註明機構類別、site 數量、應用系統範圍、合規對象（DPO 或同時對應 ISO 27001、PCI-DSS、HKMA）與目標完成時間，UD 審計師將盡快回覆並安排範圍界定會議，會議後提供正式報價。