ISO∕IEC 27014-2020 信息安全、網(wǎng)絡(luò)安全與隱私保護(hù)-信息安全治理（中文版-雷澤佳譯2024）

（資料性）：治理關(guān)系信息安全治理與信息技術(shù)治理之間的關(guān)系如圖A.1所示。信息技術(shù)治理的總體范圍旨在獲取、處理、存儲(chǔ)和傳播信息所需的資源，而信息安全治理的范圍涵蓋信息的保密性、完整性和可用性。這兩種治理方案都可以通過以下治理過程來處理：評(píng)價(jià)、指導(dǎo)、監(jiān)視和溝通。（資料性）：信息安全管理體系組織類型管理信息安全管理體系的組織與實(shí)施信息安全管理體系的實(shí)體之間存在三種關(guān)系。這些關(guān)系也會(huì)影響信息安全管理體系最高管理者和實(shí)體治理機(jī)構(gòu)的成員構(gòu)成。以下列表和圖B.1展示了這些關(guān)系類型。類型A：實(shí)體與信息安全管理體系組織為同一實(shí)體。治理機(jī)構(gòu)與信息安全管理體系的最高管理者相同。類型B：實(shí)體包含信息安全管理體系組織（且該實(shí)體內(nèi)部可能運(yùn)行多個(gè)信息安全管理體系）。治理機(jī)構(gòu)可以與每個(gè)信息安全管理體系共享部分成員，但成員構(gòu)成并不完全相同。類型C：多個(gè)實(shí)體共享一個(gè)信息安全管理體系：如果實(shí)體對(duì)信息安全管理體系有直接利益，則每個(gè)實(shí)體的治理機(jī)構(gòu)都可以成為信息安全管理體系最高管理者的成員；如果信息安全管理體系是由第三方作為服務(wù)提供的，那么信息安全管理體系最高管理者的成員不太可能包括共享信息安全管理體系的實(shí)體的治理機(jī)構(gòu)成員。實(shí)體范圍（包括治理機(jī)構(gòu)）信息安全管理體系的組織范圍（包括最高管理者）（資料性）：溝通示例溝通的一個(gè)例子可見于股票市場，由于法律或行業(yè)規(guī)則的規(guī)定，公司有義務(wù)披露信息安全風(fēng)險(xiǎn)。另一個(gè)例子是環(huán)境、社會(huì)和治理（ESG）報(bào)告，作為組織向相關(guān)方解釋/溝通其在環(huán)境、社會(huì)和經(jīng)濟(jì)方面所做努力的一種手段。一些ESG報(bào)告描述了隱私數(shù)據(jù)保護(hù)的方法、信息安全活動(dòng)以及預(yù)防安全事件的危機(jī)管理措施。設(shè)計(jì)溝通活動(dòng)時(shí)，還應(yīng)考慮受眾誤解或推斷額外內(nèi)容，以及溝通信息傳達(dá)給非目標(biāo)受眾等非預(yù)期影響。參考文獻(xiàn)[1]ISO/IEC27001，信息技術(shù)—安全技術(shù)—信息安全管理體系—要求[2]ISO/IEC27002:2013，信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)—信息安全控制實(shí)施規(guī)程[3]ISO/IEC27011:2016，信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)—基于ISO/IEC27002的電信組織信息安全控制實(shí)施規(guī)程[4]ISO37001:2016，反賄賂管理體系—使用指南與要求[5]ISO/IEC38500:2015，信息技術(shù)—組織的IT治理[6]OHKIE.，HARADAY.，KAWAGUCHIS.，SHIOZAKIT.，KGAUAT.，信息安全治理框架，第一屆ACM信息安全治理研討會(huì)論文集，第1-6頁，2009年[7]IT治理研究所（ITGI），信息安全治理：信息安全管理者指南：2008年[8]ITGI，信息安全治理指南：為董事會(huì)和高級(jí)管理層提供指導(dǎo)（第二版）：2006年[9]ITGI，C