《从零掌握ISO27001内审技能》
第4章 核心术语与定义
4、核心术语与定义
在ISO 27001:2022信息安全管理体系中，准确理解核心术语是构建内审能力的基础。本章节将逐一拆解组织、相关方、信息资产、风险、风险处理、适用性声明（SoA）等关键概念，并结合内审实务进行解析。
4.1 组织 (Organization)
定义：具有自身职能和行政管理体系的实体。在ISO 27001语境下，组织是建立、实施、维护和持续改进信息安全管理体系（ISMS）的责任主体。
- 内审视角：审核员需确认组织的边界和范围是否清晰定义，包括地理位置、部门、IT系统、外包服务等。
- 常见误区：将“组织”等同于“IT部门”。实际上，组织涵盖所有业务单元、人力资源、财务、法务等。
4.2 相关方 (Interested Party)
定义：能够影响、被影响或认为自己受到某项决策或活动影响的个人或实体。
4.3 信息资产 (Information Asset)
定义：对组织具有价值的信息或信息载体。资产可以是有形的（服务器、文档）或无形的（数据库、专利、客户信誉）。
内审技巧：检查资产清单是否完整，是否包含资产责任人、分类等级（如公开、内部、机密）。
4.4 风险 (Risk)
定义：不确定性对目标的影响。在信息安全中，风险通常表示为：风险 = 威胁 × 脆弱性 × 资产价值。
内审要点：审核风险评估报告是否采用了组织认可的方法论（如ISO 31000），风险等级划分是否合理，是否识别了关键业务风险。
4.5 风险处理 (Risk Treatment)
定义：选择并实施措施来改变风险的过程。ISO 27001提供了四种基本处理选项：
- 风险降低 (Risk Reduction) — 实施控制措施（如加密、防火墙）
- 风险保留 (Risk Retention) — 有意识地接受风险（需管理层批准）
- 风险规避 (Risk Avoidance) — 停止导致风险的活动（如关闭不安全的服务）
- 风险转移 (Risk Transfer) — 通过保险或外包分担风险
4.6 适用性声明 (SoA - Statement of Applicability)
定义：一份正式文档，列出ISMS范围内的所有控制措施，并说明哪些是适用的、哪些是不适用的，以及选择/排除的理由。
内审核心：SoA是审核的路线图。审核员必须逐项核对：声称“适用”的控制是否真正实施？声称“不适用”的理由是否合理？
图：核心术语之间的逻辑关系
内审实战小贴士
💡 审核SoA时的经典提问：
- “这个控制项为什么被标记为‘不适用’？是否有书面依据？”
- “对于标记为‘适用’的控制项，请展示实施证据（如策略文档、配置截图）。”
- “SoA的版本是否与当前风险评估结果一致？上次更新是什么时候？”
专注课程资料整理