4、ISO 27001:2022核心术语与定义：理解组织、相关方、信息安全管理体系、风险、风险准则、控制等关键术语
ISO 27001:2022作为信息安全管理体系（ISMS）的国际化标准，其条文中的每一个术语都承载着精确的法律、管理与技术含义。对于体系构建者而言，若对核心术语的理解存在偏差，往往会导致体系设计偏离标准要求，甚至出现“两层皮”现象。本章将围绕组织、相关方、ISMS、风险、风险准则与控制这六大核心术语，结合标准条款与审核实践，进行深度拆解，帮助学员建立统一、严谨的术语认知框架。
4.1 组织（Organisation）与相关方（Interested Parties）
核心原理：在ISO 27001:2022的语境中，“组织”并非泛指一般企业，而是指具有明确职责、权限和相互关系，且能够独立做出管理决策的实体。标准第4.1条要求组织必须确定影响ISMS预期结果的内外部议题，第4.2条则要求识别与ISMS相关的相关方及其要求。这两个条款是体系策划的起点，决定了后续风险管理的边界与输入。
判断方法：识别相关方时，可采用“权力-利益矩阵”进行筛选。内部相关方通常包括董事会、管理层、IT部门、人力资源部门、内部审计；外部相关方包括客户、监管机构（如网信办、工信部）、云服务商、外包开发商、审计机构等。需要特别注意的是，标准要求的是“相关方”而非“所有利益相关者”，只有那些其要求可能影响ISMS有效性或受ISMS影响的一方，才应纳入管理范围。
| 相关方类别 | 典型示例 | 常见要求/期望 | 对ISMS的影响 |
|---|---|---|---|
| 内部-治理层 | 董事会、股东 | 合规经营、降低安全事件损失 | 提供资源与政策方向 |
| 内部-执行层 | IT运维、安全团队 | 明确职责、工具支持 | 体系落地的执行主体 |
| 外部-监管方 | 网信办、行业主管 | 符合《网络安全法》、等保2.0 | 强制合规输入 |
| 外部-业务伙伴 | 云服务商、SaaS供应商 | SLA、数据保密协议 | 延伸风险与供应链控制 |
| 外部-客户 | B端客户、C端用户 | 隐私保护、服务连续性 | 影响信任与合同义务 |
常见误区：将“相关方要求”等同于“法律法规要求”。实际上，相关方要求范围更广，包括内部政策、合同义务、行业最佳实践甚至市场声誉压力。同时，不要试图管理所有相关方的所有要求，而应聚焦于那些“若不满足则可能导致ISMS失效”的关键要求。
4.2 信息安全管理体系（ISMS）与过程方法
核心原理：ISMS不是一套文档体系，而是组织整个管理体系中用于建立、实施、运行、监视、评审、保持和改进信息安全的部分。ISO 27001:2022强调过程方法（PDCA循环），即：策划（Plan）—建立风险处置计划；实施（Do）—执行控制措施；检查（Check）—监视绩效与有效性；处置（Act）—持续改进。ISMS的边界（范围）必须清晰定义，包括组织单元、地理位置、资产边界和技术边界。
操作流程：构建ISMS通常遵循以下步骤：
- 确定范围：明确ISMS覆盖的部门、系统、数据、物理位置，形成《ISMS范围说明书》。
- 制定方针：由最高管理者批准信息安全方针，包含目标框架与承诺。
- 风险评估：基于资产、威胁、脆弱性识别风险，并应用风险准则进行评价。
- 风险处置：选择适当的控制目标与控制措施（参考附录A），制定风险处置计划。
- 运行与监视：实施控制措施，通过日志、审计、KPI进行持续监视。
- 管理评审与改进：定期评审ISMS适宜性，纠正预防措施。
常见误区：许多组织将ISMS等同于“编写一套四级文档”，认为只要文档齐全即可通过认证。实际上，ISO 27001:2022更关注体系是否真正运行并产生有效结果。审核员会通过访谈、现场观察、记录抽查来验证体系的有效性，而非仅检查文件是否存在。
4.3 风险（Risk）与风险准则（Risk Criteria）
核心原理：ISO 27000:2018将风险定义为“不确定性对目标的影响”。在信息安全语境下，风险通常表示为威胁利用脆弱性，对资产造成损害的潜在可能性。风险准则则是组织用于评价风险严重程度的“标尺”，包括风险接受准则、风险评价准则以及风险等级划分规则。标准第6.1.2条明确要求组织必须定义风险准则，且该准则应基于组织的风险偏好和业务目标。
判断方法：风险计算通常采用“风险值 = 资产价值 × 威胁发生可能性 × 脆弱性严重程度”的定性或半定量模型。风险准则的制定需考虑以下维度：
- 影响维度：机密性、完整性、可用性损失对业务的影响程度（如财务损失、声誉损失、法律后果）。
- 可能性维度：威胁源动机、能力、历史发生频率、现有控制措施的强度。
- 等级划分：通常分为5级（极低、低、中、高、极高），并定义每个等级的量化区间或定性描述。
- 接受准则：明确哪些等级的风险可以接受（如“低”以下），哪些必须处置（如“高”以上）。
| 风险等级 | 影响程度（业务中断时间） | 可能性（年度发生概率） | 处置要求 |
|---|---|---|---|
| 极高 | > 24小时 | > 50% | 立即处置，启动应急预案 |
| 高 | 4-24小时 | 20%-50% | 1个月内完成整改 |
| 中 | 1-4小时 | 5%-20% | 3个月内完成整改或接受 |
| 低 | < 1小时 | 1%-5% | 持续监视，可接受 |
| 极低 | 无影响 | < 1% | 无需处置 |
常见误区：将风险准则与风险偏好混为一谈。风险准则是具体的评价工具，而风险偏好是组织对风险的总体态度（如“保守型”或“进取型”）。另外，不要直接照搬其他组织的风险准则，因为不同组织的业务连续性要求、合规义务和资源能力差异巨大。
4.4 控制（Control）与附录A的关系
核心原理：控制是指为消除或降低风险而采取的任何措施、机制、策略或活动。ISO 27001:2022的附录A提供了93项控制措施，分为4大类：组织控制（A.5）、人员控制（A.6）、物理控制（A.7）和技术控制（A.8）。但附录A并非强制全部实施，组织应根据风险评估结果和风险处置计划，选择必要的控制措施。标准第6.1.3条要求，组织应确定并实施必要的控制措施，以应对风险评估中识别的风险。
操作流程：选择控制措施时，建议遵循以下逻辑：
- 针对每个“高”及以上等级的风险，列出所有可能降低风险的控制选项。
- 评估每个控制措施的实施成本、技术可行性、运维复杂度。
- 优先选择“预防性控制”（如防火墙、访问控制），其次考虑“检测性控制”（如入侵检测、日志审计），最后是“纠正性控制”（如备份恢复、应急预案）。
- 将选定的控制措施写入《适用性声明》（SoA），说明选择或排除的理由。
常见误区：许多组织在编写SoA时，简单地将附录A的93项控制全部勾选为“适用”，而不进行实际的风险关联分析。这种做法不仅增加了不必要的合规成本，还会导致审核员质疑风险评估的真实性。正确的做法是：每一项控制措施都应能追溯到具体的风险场景或合规要求。