ISO27001信息安全管理体系标准介绍之二

4.1 理解组织及其环境

组织应确定与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部情况。

注：对这些情况的确定，参见ISO31000：2018[5]，5.4.1 中建立外部和内部环境的内容。

4.2 理解相关方的需求和期望

组织应确定：

a) 信息安全管理体系相关方；

b) 这些相关方的相关要求；

c) 其中哪些要求将通过信息安全管理系统解决。

注：相关方的要求可包括法律法规要求和合同义务。