CNITSEC CISM key terms

由最高管理层建立并监督的一套方向设定与问责安排，确保信息安全活动与组织战略目标一致，并通过明确职责、资源分配和绩效评价来落实。

由最高管理层批准的高层文件，阐明组织保护信息资产的总体意图、原则和方向，是下位标准、制度和流程的制定依据。

由业务、技术、法务、风险等跨部门高层代表组成的决策与协调机构，负责审批信息安全重大事项、分配资源并监督风险处置进展。

将相互冲突的职责分配给不同人员或岗位的控制原则，例如申请与审批、开发与上线、操作与审计分开，以降低错误和舞弊风险。

由总体方针、管理制度、操作规程和记录表单构成的分层文件结构，上层规定原则与要求，下层规定具体执行方法与证据留存方式。

识别信息资产面临的威胁与脆弱性，分析安全事件发生的可能性及其影响，从而确定风险等级并支持处置决策的系统化过程。

针对已识别风险选择并实施降低、转移、规避或接受等措施的过程，需明确责任人、时间表和预期效果，并跟踪至完成。

在实施风险处置措施之后仍然存在的风险。管理层需依据风险接受准则判断其是否可接受，并对不可接受部分继续处置。

组织预先设定的判断标准，说明何种程度的风险可以不采取进一步措施而予以承担，通常以风险等级、损失金额或业务影响表示。

组织在追求目标过程中愿意承担的风险总量与类型，由高层管理者确定，用于指导风险处置优先级和业务决策。

记录已识别风险及其描述、等级、责任人、处置措施和状态的台账，作为持续监控、报告和复审风险状况的基础。

用于监测风险水平变化趋势的可量化指标，当指标超过预设阈值时触发预警或行动，帮助在损失发生前发现控制失效迹象。

识别关键业务活动及其依赖的信息资产，评估中断造成的财务、运营、合规和声誉影响，并确定恢复时间目标与恢复点目标的过程。

组织为建立信息安全方针和目标并实现这些目标而采用的整体管理框架，包括组织环境、领导作用、策划、支持、运行、绩效评价和改进等相互关联的过程。

说明组织选用哪些控制目标与控制措施、为何选用，以及为何排除未选用控制项的正式文件，是信息安全管理体系的重要证据。

由组织内部或受托的独立人员按计划对信息安全管理体系进行的系统检查，判断其是否符合既定要求并得到有效实施与保持。

最高管理者按计划对信息安全管理体系的适宜性、充分性和有效性进行评审，输入包括审核结果、风险状况和绩效数据，输出改进决策。

审核或检查中发现的未满足规定要求的情况，需记录事实、分析原因并采取纠正措施，必要时评估其对体系有效性的影响。

为消除已发现不符合项或其他不良情况的原因而采取的行动，目的是防止问题再次发生，与仅修复表象的纠正行为不同。

组织不断提升信息安全绩效的循环活动，通过测量、分析、改进和再评价，使控制措施与管理过程随风险和业务变化而演进。

依据身份、角色或属性限制主体对信息资产和系统资源访问的技术与管理措施，目标是保证只有经过授权的主体在授权范围内进行操作。

只授予主体完成其工作所必需的最低限度权限，并限制权限持续时间，从而缩小误用、滥用或账户被攻破后造成的影响范围。

对具有高权限的系统账户实施集中管控的措施，包括凭据保管、按需授权、会话记录与定期复核，以降低滥用和横向移动风险。

要求用户提供两类或以上不同类型的凭证（如知识、持有物、生物特征）才能通过身份验证的机制，可显著降低仅凭密码被盗导致的入侵风险。

使用密码算法保护数据的机密性与完整性，并配套生成、分发、存储、轮换、吊销和销毁密钥的全生命周期管理措施。

按敏感程度和业务价值对数据划分等级并施加相应保护要求的活动，为访问控制、加密、留存和共享策略提供依据。

通过内容识别与通道管控，监测并阻止敏感数据被违规外发或越权使用的技术措施，常覆盖邮件、终端、网络和云存储等出口。

集中采集、保护和分析系统与网络活动记录，以发现异常行为、支持事件调查并满足留存要求，日志本身需防止未授权修改。

由人员、流程和技术组成的团队，持续监控安全告警与日志，进行关联分析、分级研判和初步处置，以缩短威胁发现与响应时间。

按准备、检测分析、遏制、根除、恢复和总结等阶段处置安全事件的结构化流程，目标是控制影响并防止同类事件再次发生。

在事件处置中按可采信方式识别、采集、记录和保存电子证据，保持其完整性与监管链，以支持内部调查或法律程序。

为在重大中断期间维持或及时恢复关键业务而制定的文档化安排，包括角色、资源、替代流程和演练要求，需定期测试更新。

业务活动或信息系统在中断后必须恢复的最长可接受时间，由业务影响分析确定，用于指导恢复策略与资源投入优先级。

在发现达到规定情形的安全事件后，按法定时限和渠道向监管机构提交信息的义务，内容通常包括事件性质、影响范围和已采取措施。

在收集、存储、使用、共享和删除个人信息的全过程中，遵循合法正当必要、告知同意和最小化等要求，保障个人权益的处理规则。

组织的信息安全活动满足法律法规、监管规定、合同义务和内部制度要求的状况，通常通过合规检查、审计和整改来验证与维持。

中国对网络实施分等级安全保护的管理制度，运营者需确定系统等级、完成备案、按标准建设整改并定期开展测评。