1、范 围 本 文 件 提 供 了 一 套 通 用 信 息 安 全 控 制 的 参 考 集 ， 包 括 实 施 指 南 。 本 文 件 旨 在 供 以 下 组 织 使 用 ： a）在 基 于 I S O / I E C 2 7 0 0 1 的 信 息 安 全 管 理 系 统 （ I S M S ） 范 围 内 ； b）根 据 国 际 公 认 的 最 佳 实 践 实 施 信 息 安 全 控 制 ； c）用 于 制 定 特 定 于 组 织 的 信 息 安 全 管 理 指 南 。 2、 规 范 性 引 用 文 件 本 文 件 中 没 有 规 范 性 引 用 文 件 。 3、术 语 、 定 义 和 缩 写 术 语 3 . 1 术 语 和 定 义 以 下 术 语 和 定 义 适 用 于 本 文 件 。 I S O 和I E C 在 以 下 地 址 维 护 用 于 标 准 化 的 术 语 数 据 库 ： - I S O 在 线 浏 览 平 台 ： 可 访 问 h t t p s : / / w w w . i s o . o r g / o b p - I E C 电 子 百 科 ： 可 在 h t t p s : / / w w w . el e c t r o p e d i a . o r g / 3 . 1 . 1 访 问 控 制 确 保 对 资 产 （ 3 . 1 . 2 ） 的 物 理 和 逻 辑 访 问 根 据 业 务 和 信 息 安 全 要 求 3 . 1 . 2 资 产 任 何 对 组 织 有 价 值 的 东 西 注1： 在 信 息 安 全 方 面 ， 可 以 区 分 两 种 资 产 ： -主 要 资 产 ： -信 息 ； -业 务 流 程 （ 3 . 1 . 2 7 ） 和 活 动 ； -所 有 类 型 的 支 持 性 资 产 （ 主 要 资 产 所 依 赖 的 资 产 ）， 例 如 ：-硬 件 ； -软 件 ； -网 络 ； -人 员 （ 3 . 1 . 2 0 ）； -场 地 ； -组 织 结 构 。 3 . 1 . 3 袭 击 未 经 授 权 破 坏 、 更 改 、 禁 用 或 获 取 资 产 访 问 权 的 成 功 或 失 败 尝 试 （ 3 . 1 . 2 ） 或 任 何 试 图 暴 露 、 盗 窃 或 未 经 授 权 使 用 资 产 的 行 为 （ 3 . 1 . 2 ） 3 . 1 . 4 认 证 保 证 实 体 （ 3 . 1 . 1 1 ） 声 称 的 特 征 是 正 确 的 3 . 1 . 5 真 实 性 一 个 实 体 （ 3 . 1 . 1 1 ） 是 其 声 称 的 实 体 3 . 1 . 6 物 证 连 续 保 管 从 一 个 时 间 点 到 另 一 个 注1： 材 料 包 括 I S O / I E C 2 7 0 0 2 中 的 信 息 和 其 他 相 关 资 产 （ 3 . 1 . 2 ）。 [来 源 ： I S O / I E C 2 7 0 5 0 - 1 : 2 0 1 9 ，3 . 1 ， 修 改 -添 加 了 条 目 注 释 1 ] 3 . 1 . 7 机 密 信 息 不 打 算 向 未 经 授 权 的 个 人 、 实 体 提 供 或 披 露 的 信 息 （3 . 1 . 1 1 ） 或 过 程 （ 3 . 1 . 2 7 ） 3 . 1 . 8 控 制 维 持 和 修 改 风 险 的 措 施注1： 控 制 包 括 但 不 限 于 任 何 流 程 （ 3 . 1 . 2 7 ）、 政 策 （ 3 . 1 . 2 4 ）、 设 备 、 实 践 或 维 持 /修 改 风 险 的 其 他 条 件 /措 施 。 注2： 控 件 可 能 并 不 总 是 发 挥 预 期 或 假 定 的 修 改 效 果 。 [来 源 ： I S O 3 1 0 0 0 : 2 0 1 8 ，3 . 8 ] 3 . 1 . 9 扰 乱 事 件 ， 无 论 是 预 期 的 还 是 意 外 的 ， 都 会 导 致 计 划 外 的 负 面 偏 差 根 据 组 织 目 标 预 期 交 付 的 产 品 和 服 务 [来 源 ： I S O 2 2 3 0 1 : 2 0 1 9 ，3 . 1 0 ] 3 . 1 . 1 0 端 点 装 置 网 络 连 接 信 息 和 通 信 技 术 （ I C T ） 硬 件 设 备 注1： 终 端 设 备 可 以 指 台 式 电 脑 、 笔 记 本 电 脑 、 智 能 手 机 、 平 板 电 脑 、 瘦 客 户 端 、， 打 印 机 或 其 他 专 用 硬 件 ， 包 括 智 能 仪 表 和 物 联 网 （ i o t ） 设 备 。 3 . 1 . 1 1 实 体 与 具 有 明 显 不 同 存 在 的 领 域 的 运 营 相 关 的 项 目 注1：一 个 实 体 可 以 有 一 个 物 理 或 逻 辑 实 施 例 。例 如 ，一 个 人 、一 个 组 织 、一 台 设 备 、一 组 这 样 的 项 目 、 一 个 电 信 用 户 服 务 、 S I M 卡 、 护 照 、 网 络 接 口 卡 、 软 件 应 用 程 序 、 服 务 或 网 站 。 [来 源 ： I S O / I E C 2 4 7 6 0 - 1 : 2 0 1 9 ，3 . 1 . 1 ] 3 . 1 . 1 2 信 息 处 理 设 施 任 何 信 息 处 理 系 统 、 服 务 或 基 础 设 施 ， 或 其 所 在 的 物 理 位 置 [来 源 ： I S O / I E C 2 7 0 0 0 : 2 0 1 8 ，3 . 2 7 ， 修 改 — — “ 设 施 们 ”已 替 换 为 设 施 。 ] 3 . 1 . 1 3 信 息 安 全 漏 洞 危 害 信 息 安 全 ， 导 致 意 外 的 破 坏 、 丢 失 、 更 改 、 泄 露 传 输 、 存 储 或 以 其 他 方 式 处 理 的 受 保 护 信 息 的 ， 或 对 受 保 护 信 息 的 访 问3 . 1 . 1 4 信 息 安 全 事 件 表 明 可 能 存 在 信 息 安 全 漏 洞 （ 3 . 1 . 1 3 ） 或 控 制 失 败 （ 3 . 1 . 8 ） 的 事 件 [来 源 ： I S O / I E C 2 7 0 3 5 - 1 : 2 0 1 6 ，3 . 3 ， 修 改 — — “ 违 反 信 息 安 全 ”已 被 替 换 为 “信 息 安 全 漏 洞 ”] 3 . 1 . 1 5 信 息 安 全 事 件 一 个 或 多 个 相 关 且 已 识 别 的 信 息 安 全 事 件 （ 3 . 1 . 1 4 ）， 可 能 会 损 害 组 织 的 安 全 资 产 （ 3 . 1 . 2 ） 或 损 害 其 运 营 [来 源 ： I S O / I E C 2 7 0 3 5 - 1 : 2 0 1 6 ，3 . 4 ] 3 . 1 . 1 6 信 息 安 全 事 件 管 理 对 信 息 安 全 事 件 的 处 理 采 取 一 贯 有 效 的 办 法 （ 3 . 1 . 1 5 ） 3 . 1 . 1 7 信 息 系 统 一 组 应 用 程 序 、 服 务 、 信 息 技 术 资 产 （ 3 . 1 . 2 ） 或 其 他 信 息 处 理 组 件 [来 源 ： I S O / I E C 2 7 0 0 0 : 2 0 1 8 ，3 . 3 5 ] [来 源 ： I S O / I E C 2 7 0 3 5 - 1 : 2 0 1 6 ，3 . 5 ] 3 . 1 . 1 8 利 害 关 系 方 利 益 相 关 者 能 够 影 响 、 被 某 一 决 定 或 行 为 影 响 ， 或 认 为 自 己 受 到 该 决 定 或 行 为 影 响 的 人 或 组 织 活 动 [来 源 ： I S O / I E C 2 7 0 0 0 : 2 0 1 8 ，3 . 3 7 ] 3 . 1 . 1 9 不 可 否 认 证 明 声 称 的 事 件 或 行 动 及 其 起 源 实 体 发 生 的 能 力 （ 3 . 1 . 1 1 ） 3 . 1 . 2 0 全 体 人 员 在 组 织 指 导 下 工 作 的 人 员注1： 人 员 的 概 念 包 括 组 织 的 成 员 ， 如 管 理 机 构 、 高 层 管 理 人 员 管 理 层 、 员 工 、 临 时 员 工 、 承 包 商 和 志 愿 者 。 3 . 1 . 2 1 个 人 身 份 信 息 P I I （a） 可 用 于 在 信 息 和 自 然 人 之 间 建 立 联 系 的 任 何 信 息 该 等 信 息 与 之 相 关 （b） 与 自 然 人 直 接 或 间 接 相 关 。 注1： 定 义 中 的 “自 然 人 ”是P I I 委 托 人 （ 3 . 1 . 2 2 ）。 确 定 P I I 委 托 人 是 可 识 别 的 ， 应 考 虑 隐 私 权 人 可 以 合 理 使 用 的 所 有 手 段 持 有 数 据 的 利 益 相 关 者 或 任 何 其 他 方 ， 以 建 立 P I I 集 和 自 然 资 源 之 间 的 联 系 人 [来 源 ： I S O / I E C 2 9 1 0 0 : 2 0 1 1 / A m d . 1 : 2 0 1 8 ，2 . 9 ] 3 . 1 . 2 2 P I I 负 责 人 与 个 人 身 份 信 息 （ P I I ）（3 . 1 . 2 1 ）