ISO∕IEC 27001-2022《信息安全、网络安全和隐私保护-信息安全管理体系-要求》“第6章 策划”解读和应用指导材料（雷泽佳编制2024）.docx

ISO/IEC27001:2022“第6章：策划”解读和应用指导材料

PAGE3

PAGE3

ISO/IEC27001:2022

《信息安全、网络安全和隐私保护-信息安全管理体系-要求》

“第6章：策划”解读和应用指导材料

策划

应对风险和机遇的措施

总则

本条款涉及策划应对与信息安全管理体系（ISMS）相关的所有类型风险和机遇的措施。这包括风险评估和风险处置的策划，确保组织能够系统地识别、分析、评价和处理信息安全风险。

信息安全风险管理的核心地位：

信息安全风险管理被视为ISMS的核心要素之一。在构建和保持ISMS时，组织必须给予信息安全风险管理特别强调和关注；

组织应确保对信息安全风险的评估和应对措施与ISMS的其他过程和要素（如策略、目标、监控、改进等）相协调，以形成一个综合、一致的管理体系

风险的分类；

在策划阶段，风险被分为两类进行处理：

第一类风险：这类风险与ISMS的整体预期结果紧密相关。它涉及ISMS的构建和实施、范围界定、最高管理者对信息安全的承诺，以及确保ISMS有效运行所需的资源等方面。相应地，第一类机遇则与ISMS的实施成果、为组织带来的商业价值，以及提升运行过程和信息安全控制效率的可能性相关。简言之，第一类风险和机遇主要关注ISMS的宏观层面和其对组织整体目标的影响。

第二类风险：

这类风险特指与ISMS范围内信息丧失必威体育官网网址性、完整性和可用性直接相关的信息安全风险。它涵盖了所有可能导致信息泄密、被篡改或不可用的风险情形，并需要按照专门的风险评估和应对流程进行处理。第二类风险的识别和处置是确保组织信息安全的核心环节，直接关系到信息资产的保护和业务的连续稳定运行。

组织应按照一套详细完整的信息安全风险评估和处置流程来应对这些风险。这个流程应包括以下几个关键步骤：风险的识别（识别出可能对信息必威体育官网网址性、完整性和可用性构成威胁的因素）、风险的分析（评估这些威胁发生的可能性和潜在影响）、风险的评价（确定风险的大小和优先级），以及制定相应的风险处置措施（如风险降低、风险避免、风险接受等）。

风险处置的细分要求；

与其他管理体系标准的一致性：对于已经将质量、环境、信息安全等不同管理体系整合在一起的组织，鼓励在实施信息安全风险管理时与其他管理体系标准保持一致性。这种一致性的做法有助于简化管理流程，提高管理效率，并确保各管理体系之间的协同作用。

信息安全风险评估和处置流程的定义与应用：组织应规定并应用一套详细完整的信息安全风险评估和处置流程。这个流程应该包括风险的识别、分析、评价以及处理措施的选择和实施等环节，确保组织能够全面、系统地管理信息安全风险。

信息安全风险管理的核心地位：信息安全风险管理被视为ISMS的核心要素。组织在构建和运行ISMS时，必须始终将信息安全风险管理作为重中之重，确保所有相关活动都围绕这一核心展开，以实现信息资产的有效保护和业务的稳定运行。

策划信息安全管理体系的考虑因素。

当策划信息安全管理体系时，组织应考虑上述提及的因素和要求，并确定需要应对的风险和机遇，以下：

确保信息安全管理体系能够实现其预期结果。例如，风险所有者知悉信息安全风险并处置到可接受的水平；与此相关的风险包括过程和责任不明确、员工意识不足、管理层的参与度低等。

预防或减少不良影响。例如，通过适当的机制发现和改正管理过程中的不足或利用机会提高信息安全；与此相关的风险包括风险管理不完善或风险意识不足。

实现持续改进。

组织应积极寻找并抓住那些能够推动其ISMS持续改进的机遇。这可能包括但不限于改进ISMS的流程和文档、提升信息安全控制的效率，或者发现并利用新的商业机会；

例如，通过优化流程接口、降低不必要的管理开销、淘汰那些不具成本效益的流程环节，或者引入新的、更高效的信息技术，组织不仅可以提升其ISMS的整体性能，还可能发现新的增长点，从而推动业务的持续发展和创新。

风险处置技术的选择；

组织在应对信息安全风险时，可以根据实际情况灵活选择不同的风险处置技术。这种选择应基于风险的全面评估，以确保所采用的技术能够有效地降低或消除风险。

活动对组织环境与风险的影响及策划应对。

当组织在开展各项活动时探寻新的机遇，这些活动很可能会对组织的内外部环境（见4.1）以及相关方的需求和期望（见4.2）产生影响，进而可能改变组织当前的风险状况；

鉴于这些潜在的变动和影响，组织在策划阶段就应当进行充分的预见和考虑，并提前制定相应的应对措施，以确保在抓住机遇的同时，也能有效地管理由此带来的新风险。

策划的内容与要求

组织应策划：

应对这些风险和机遇的措施；

如何：

整合措施与多管理体系的协同实现。将这些措施整合到信息安全管理体系过程中，并予以实现。对于实施了整合的组织（如将质量、环境和信息安全等不同方面的管理体系整合在一起的组织），鼓