ISO/IEC 27001 术语 真实性 authenticity
在ISO/IEC 27001中，术语"真实性"（Authenticity）是信息安全管理体系（ISMS）中的一个重要概念，主要用于确保信息或系统的来源和内容是可信的，且没有被篡改或伪造。简单来说，真实性关注的是“信息是否来自预期的来源，并且是否没有被更改过”。
真实性的定义
真实性是确保信息的来源、传输和接收在过程中的完整性，保证信息在其整个生命周期内保持真实且未被篡改。它通过验证信息的源头和内容，确保所有数据和通信都是来自授权实体的，并且没有经过不正当的修改。
真实性与其他信息安全概念的关系
真实性通常与其他信息安全领域的基本原则（如机密性、完整性和可用性）密切相关，特别是以下几个方面：
1.完整性（Integrity）：
- 完整性保证信息在存储、传输过程中未被非法修改。真实性和完整性通常是紧密相连的。只有当信息的来源是真实的，它才可能被认为是完整的，未被篡改。
2.身份验证（Authentication）：
- 身份验证用于确认信息或操作的主体（如用户、系统或设备）是否为合法授权的实体，而真实性验证信息的来源是否可靠、未被伪造。
3.数据的非否认性（Non-repudiation）：
- 非否认性是指在通信或交易过程中，发送方或接收方不能否认其行为。通过确保真实性，非否认性有助于提供证据，以防止行为方否认其身份或操作。
真实性在ISO/IEC 27001中的应用
ISO/IEC 27001标准将真实性作为信息安全管理的一部分，特别是为了确保组织的敏感信息和通信的可靠性。真实性的保障措施不仅仅应用于用户身份的验证，还包括确保数据的来源和传输过程的可信性。
1.信息来源的真实性
确保信息来自正确的、可信的来源，是保持信息安全的基本要求之一。例如，在电子邮件通信中，通过使用数字签名技术可以验证邮件是否确实来自声称的发送者，并且在传输过程中未被篡改。
-数字签名：数字签名是确保信息来源真实性的一种常用方法。它通过公钥加密和私钥解密的方式，验证信息的发送者身份，并保证信息内容未被篡改。
2.信息传输的真实性
在信息传输过程中，确保信息不被篡改和伪造是确保真实性的关键。例如，采用加密协议（如TLS/SSL）可以确保信息在传输过程中不被第三方篡改或伪造。
-加密通信：采用端到端加密技术来确保信息在传输过程中只能由授权方读取，确保信息传输的真实性。
3.审计和记录
保持对信息系统和活动的完整审计和记录也能帮助验证信息的真实性。通过日志记录，可以追溯到每一个操作的来源和责任人，从而确保信息没有被伪造。
-审计日志：组织应保存详细的审计日志，以跟踪所有系统和用户的活动。通过这些日志，可以确认某一信息或行为是否符合预期，并且来源是否可信。
4.数字证书
数字证书（通常由受信任的证书颁发机构CA签发）也是确保信息真实性的一种方式。它用于验证网站、服务器、设备或用户身份，并确保通信双方身份的真实性。
-公钥基础设施（PKI）：PKI体系能够通过数字证书管理和分发公钥，保障信息传输双方的身份真实性。
真实性控制措施
ISO/IEC 27001中涉及真实性的控制措施主要集中在以下几个方面：
-访问控制（Access Control）：确保信息只能由授权用户访问和修改。通过身份验证、访问控制和审计日志来确保用户的操作是合法的，并且信息源和内容保持真实性。
-信息传输安全（Communications Security）：确保信息在传输过程中不被篡改、伪造或泄露。通常通过加密技术（如TLS/SSL）保障数据传输的真实性。
-数字签名和验证机制：通过数字签名和公钥基础设施（PKI）等技术手段，确保信息的来源和内容没有被篡改。
-审计和监控：实施审计控制措施，记录并监控信息的访问和修改，确保信息在使用和存储过程中没有被篡改，并且操作来源是可信的。
-信息备份和恢复：通过备份和灾难恢复控制，确保信息在被篡改或丢失的情况下能够恢复到原始状态，从而保障信息的真实性。
真实性与风险管理
在ISO/IEC 27001的风险管理过程中，真实性是防止数据泄露、篡改和伪造的重要防护措施。通过对信息的真实性进行评估和控制，组织能够识别潜在的风险点，如信息传输过程中被篡改或伪造的风险，并采取相应的控制措施。
真实性的实例
-电子邮件的真实性：通过使用数字签名技术，组织可以确保发出的电子邮件未被篡改，并且确实是来自预期的发件人。
-电子商务中的交易真实性：在电子商务网站上，通过使用SSL/TLS加密协议和数字证书，消费者可以确保他们的支付信息是安全的，且交易双方的身份真实可信。
-银行交易的真实性：银行采用多重身份验证和数字签名来确保客户交易的真实性，避免身份盗用和欺诈。
总结
真实性是信息安全的核心组成部分之一，它确保信息来源可靠、未被篡改或伪造，并且可以验证信息传递者的身份。在ISO/IEC 27001标准中，真实性的保障不仅依赖于技术手段（如数字签名、加密通信等），还需要管理措施（如访问控制、审计日志等）来有效防止和检测信息伪造及篡改。通过实施有效的真实性控制措施，组织能够提高信息安全性，增强数据的可信度，防范潜在的安全风险。
