所谓适用性声明，是指对适用于组织需要的目标和控制的评述。

即实施安全控制后，仍然存在的安全风险。

安全控制就是保护组织资产、防止威胁、减少脆弱性、限制安全事件影响的一系列安全实践、过程和机制。

所谓风险管理就是以可接受的费用识别、控制、降低或消除可能影响信息系统的安全风险的过程。

即对信息和信息处理设施的威胁、影响（Impact，指安全事件所带来的直接和间接损失）和脆弱性及三者发生的可能性的评估。