ISO∕IEC 27014-2020 信息安全、網(wǎng)絡(luò)安全與隱私保護-信息安全治理（中文版-雷澤佳譯2024）

（資料性）：治理關(guān)系信息安全治理與信息技術(shù)治理之間的關(guān)系如圖A.1所示。信息技術(shù)治理的總體范圍旨在獲取、處理、存儲和傳播信息所需的資源，而信息安全治理的范圍涵蓋信息的保密性、完整性和可用性。這兩種治理方案都可以通過以下治理過程來處理：評價、指導(dǎo)、監(jiān)視和溝通。（資料性）：信息安全管理體系組織類型管理信息安全管理體系的組織與實施信息安全管理體系的實體之間存在三種關(guān)系。這些關(guān)系也會影響信息安全管理體系最高管理者和實體治理機構(gòu)的成員構(gòu)成。以下列表和圖B.1展示了這些關(guān)系類型。類型A：實體與信息安全管理體系組織為同一實體。治理機構(gòu)與信息安全管理體系的最高管理者相同。類型B：實體包含信息安全管理體系組織（且該實體內(nèi)部可能運行多個信息安全管理體系）。治理機構(gòu)可以與每個信息安全管理體系共享部分成員，但成員構(gòu)成并不完全相同。類型C：多個實體共享一個信息安全管理體系：如果實體對信息安全管理體系有直接利益，則每個實體的治理機構(gòu)都可以成為信息安全管理體系最高管理者的成員；如果信息安全管理體系是由第三方作為服務(wù)提供的，那么信息安全管理體系最高管理者的成員不太可能包括共享信息安全管理體系的實體的治理機構(gòu)成員。實體范圍（包括治理機構(gòu)）信息安全管理體系的組織范圍（包括最高管理者）（資料性）：溝通示例溝通的一個例子可見于股票市場，由于法律或行業(yè)規(guī)則的規(guī)定，公司有義務(wù)披露信息安全風(fēng)險。另一個例子是環(huán)境、社會和治理（ESG）報告，作為組織向相關(guān)方解釋/溝通其在環(huán)境、社會和經(jīng)濟方面所做努力的一種手段。一些ESG報告描述了隱私數(shù)據(jù)保護的方法、信息安全活動以及預(yù)防安全事件的危機管理措施。設(shè)計溝通活動時，還應(yīng)考慮受眾誤解或推斷額外內(nèi)容，以及溝通信息傳達給非目標(biāo)受眾等非預(yù)期影響。參考文獻[1]ISO/IEC27001，信息技術(shù)—安全技術(shù)—信息安全管理體系—要求[2]ISO/IEC27002:2013，信息安全、網(wǎng)絡(luò)安全和隱私保護—信息安全控制實施規(guī)程[3]ISO/IEC27011:2016，信息安全、網(wǎng)絡(luò)安全和隱私保護—基于ISO/IEC27002的電信組織信息安全控制實施規(guī)程[4]ISO37001:2016，反賄賂管理體系—使用指南與要求[5]ISO/IEC38500:2015，信息技術(shù)—組織的IT治理[6]OHKIE.，HARADAY.，KAWAGUCHIS.，SHIOZAKIT.，KGAUAT.，信息安全治理框架，第一屆ACM信息安全治理研討會論文集，第1-6頁，2009年[7]IT治理研究所（ITGI），信息安全治理：信息安全管理者指南：2008年[8]ITGI，信息安全治理指南：為董事會和高級管理層提供指導(dǎo)（第二版）：2006年[9]ITGI，C