ISO/IEC 27000-2018，信息技术 安全技术 信息安全管理体系 概述和词汇

注1:一个事件可以导致一系列的后果。

注2:结果可以是确定的,也可以是不确定的,在信息安全的环境中,通常是负面的。

主3:结果可以定性或定量地表示。

注4:最初的后果可能会通过连锁反应逐步升级。

注1:控制包括任何修正风险(61)的过程54)、方针(53)、设备、做法或其他措施。

注2:有可能控制并不总是发挥预期的或假定的修正效果。

注1:文件化的信息可以是任何格式、媒体和任何来源。

注2:文件化的信息可能涉及:

管理体系(41),包括相关过程(54);

为组织(50)运行而创建的信息(文件化);

取得成果的证据(记录)。

注1:事态可以是一个或多个现象,并且可以有多个原因。

注2:事态可以由未发生的事情组成

注3:事态有时可以被称为“事件( incident)”或“事故( accident)”。

注1:外部环境可以包括以下内容:

国际、国家、区域或地方的文化、社会、政治、法律、规章、金融、技术、经济、自然和竞争环境

对组织(50)目标有影响的关键驱动因素和趋势;

与外部利益相关方(37)的关系、认知和价值观。

注1:此外,其他属性,如真实性(6)、可问责性、不可否认性(48)和可靠性(55)也可能涉及。

注1:组织(50)可能使个人。

注1:内部环境可以包括:

治理、组织结构、角色和责任

方针(53)、且标(49)和实现这些目标的战略;

从资源和知识(如资本、时间、人员、过程54)、系统和技术)方面理解的能力;

信息系统(35)、信息流和决策过程(正式和非正式);

与内部利益相关者(37)的关系、认知和价值观;组织文化;

组织采用的标准、指导方针和模式;

合同关系的形式和范围。

注1:一个管理系统可以处理一个或多个学科。

注2:体系要素包括组织的结构、角色和职责、规划和运作。

注3:管理体系的范围可以包括整个组织、组织的具体和确定的职能、组织的具体和确定的部分,或跨组织组的一个或多个职能。

注1:测量方法的类型取决于用于量化属性的操作的性质。可以区分两种类型:

主观性:涉及人的判断的量化;

目标:基于数字规则的量化。

注1:为了确定状态,可能需要检查、监督或批判性观察。

注1:目标可以是战略性的、战术性的或操作性的。

注2:目标可与不同学科相关(如财务、健康和安全以及环境目的),并可应用于不同级别(如战略、组织范围、项目、产品和过程(54))。

注3:目标可以其他方式表达,如预期的结果、目的、操作标准、信息安全目标或使用其他具有类似含义的词语。

注4:在信息安全管理体系的环境中,信息安全目标是由组织设定的,与信息安全政策一致,以达到特定的结果。

注1:组织的概念包括但不限于独资经营者公司、有限责任公司、商号、企业、权威机构、合伙企业、慈善机构或社会事业机构或其部分或组合,不论其是否为法人组织、公有或私有。

注1:外部组织不在管理体系(41)的范围内,尽管外包的职能或过程在该范围内。

注1:绩效可以与定量或定性结果相关。

注2:绩效可与活动、过程(54)、产品(包括服务)、系统或组织(50)的管理有关。

注1:“通常隐含的”是指对组织和相关方来说,考虑中的需要或期望是惯例或通常的做法。

注2:一个指定的要求是一个明示的要求,例如文件化信息。

注1:残余风险可能包含未识别风险。

注2:残余风险也可以称为“保留风险”。

注1:影响是与预期偏离的-正面的或负面的。

注2:不确定性是与事态、其后果或可能性的认知或知识的相关信息缺乏(甚至是部分的信息)的状况。

注3:风险通常是指潜在的“事态”和“后果”,或这些事态的组合。

注4:风险通常用事态的后果(包括环境变化)和相关的“可能性”的组合来表示

注5:在信息安全管理体系的背景下,信息安全风险可以表示为不确定性对信息安全目标的影响。

注6:信息安全风险与威胁利用信息资产或一组信息资产的脆弱性从而对组织造成损害的可能性有关。

注1:风险接受可在风险处置(72)或风险处置过程(54)中发生。

注2:可接受的风险要受到监视(46)和审查(58)。

注1:风险分析是风险评估(67)和风险处置(72)决策的基础

注2:风险分析包括风险估计。

注1:信息可涉及风险的存在、性质、形式、可能性(41)、重要性、评估、可接受性和处置。

注2:协商是组织(50)与其利益相关方之间,在对某一问题作出决定或确定该问题的方向之前,就该问题进行知情交流的双向过程。

协商是:

通过影响力而不是权力影响决策的过程;

参与决策,而不是共同决策。

注1:风险准则是基于组织目标,外部环境(22)和内部环境(38)。

注2:风险准则可来源于标准、法律、方针(53)和其他要求(56)。

(61)和/或其大小是否可接受或可容忍。

注1:风险评估有助于关于风险处置(72)的决策。

注1:风险识别包括对风险源、事态(2)、其原因及其潜在后果(12)的识别。

注2:风险识别可涉及历史数据、理论分析、知情者和专家意见以及利益相关方(37)的需要。

注1:ISO/IEC27005使用术语“过程(54)来全面描述风险管理风险管理(69)过程中的要素被称为“活动”。

注1:风险处置可涉及:

通过决定不开始或不继续导致风险的活动来避免风险;

为了追求机会而承担或增加风险消除风险源;

改变可能性(40)；

改变后果(12);

与他方(包括合同和风险融资)分担风险;

通过知情的选择来保留风险。

注2:处理负面后果的风险处置有时称为“风险缓解”、“风险消除”、“风险预防”和“风险减少”。

注3:风险处置可能造成新的风险或改变现有的风险。

注1:最高管理层有权在组织内授权和提供资源。

注2:如果管理体系(41)的范围只涵盖组织的一部分,则最高管理者是指那些指挥和控制组织的那一部分的人。

注3:最高管理层有时称为执行管理,可以包括首席执行官、首席财务官、首席信息官和类似的角色。