Terminy i definicje

Norma nie definiuje terminów sama — odsyła do ISO/IEC 27000. Poniżej najważniejsze pojęcia wyjaśnione własnymi słowami. To nie są definicje normatywne; te znajdziesz w ISO/IEC 27000 oraz w bazach terminologicznych:

Pojęcie	O co chodzi
SZBI (ISMS)	Część systemu zarządzania organizacji, która służy do ustanawiania, wdrażania, utrzymywania i doskonalenia bezpieczeństwa informacji: polityki, procesy, role, zasoby i zabezpieczenia.
Bezpieczeństwo informacji	Zachowanie poufności, integralności i dostępności informacji.
Poufność	Informacja nie trafia do osób, podmiotów ani procesów, które nie mają do niej prawa.
Integralność	Informacja jest dokładna i kompletna, nikt nie zmienił jej bez uprawnień.
Dostępność	Uprawniony podmiot może skorzystać z informacji wtedy, gdy jej potrzebuje.
Ryzyko	Wpływ niepewności na cele. W bezpieczeństwie informacji zwykle opisuje się je jako kombinację skutków zdarzenia i prawdopodobieństwa jego wystąpienia.
Właściciel ryzyka	Osoba lub jednostka, która ma odpowiedzialność i uprawnienia do zarządzania danym ryzykiem — także do akceptacji ryzyka rezydualnego.
Ryzyko rezydualne	Ryzyko, które pozostaje po zastosowaniu wybranego postępowania z ryzykiem.
Zabezpieczenie (control)	Środek, który utrzymuje lub zmienia ryzyko: polityka, procedura, praktyka, rozwiązanie techniczne.
Deklaracja Stosowania (SoA)	Dokument, który dla każdego zabezpieczenia z Załącznika A mówi, czy jest stosowane, dlaczego, czy jest wdrożone — a przy wyłączeniu podaje uzasadnienie.
Zdarzenie bezpieczeństwa informacji	Sytuacja wskazująca na możliwe naruszenie bezpieczeństwa albo błąd zabezpieczeń. Nie każde zdarzenie jest incydentem.
Incydent bezpieczeństwa informacji	Zdarzenie lub seria zdarzeń, które z dużym prawdopodobieństwem szkodzą działalności lub zagrażają bezpieczeństwu informacji.
Najwyższe kierownictwo	Osoba lub grupa, która kieruje organizacją (albo częścią objętą SZBI) na najwyższym szczeblu.
Zainteresowana strona	Ktoś, kto wpływa na decyzje organizacji, podlega im lub uważa, że podlega — np. klient, regulator, dostawca, pracownik.
Udokumentowana informacja	Informacja, którą organizacja musi nadzorować i utrzymywać, razem z nośnikiem. Obejmuje zarówno „dokumenty” (procedury), jak i „zapisy” (dowody).
Niezgodność	Niespełnienie wymagania — normy, prawa, umowy lub własnej procedury.
Korekta	Działanie usuwające wykrytą niezgodność (gaszenie pożaru).
Działanie korygujące	Działanie usuwające przyczynę niezgodności, żeby się nie powtórzyła.
Ciągłe doskonalenie	Powtarzające się działania prowadzące do lepszych wyników.