Statement of Applicability (även känt som SoA) är ett av de obligatoriska dokumenten för ISO 27001-certifiering. I ett nötskal förklarar SoA vilka säkerhetskontroller (av de nuvarande totalt 93) från ISO 27001-standarden som är relevanta för din organisation, om du redan har implementerat dem och hur du har gjort det.
Alltför ofta ses SoA som ett statiskt dokument, trots att det bör spela en aktiv roll i efterlevnaden, den kontinuerliga förbättringen och övervakningen av de övergripande ISO 27001-framstegen.
I den här bloggen går vi igenom huvudsyftet med och fördelarna med ett väl fungerande SoA-dokument. Vi kommer också att förklara dess viktigaste roller i en god hantering av informationssäkerhet som baseras på ISO 27001.
Statement of Applicability förklarar vilka säkerhetskontroller från Annex A-listan i ISO 27001-standarden som är relevanta för din organisation, om du redan har implementerat dem och hur du har gjort det.
I ett typiskt SoA-dokument listar du alla de 93 kontrollerna i ISO 27001:2022 (ofta i en Excel-fil) och visar följande saker för varjekontroll:
Det är viktigt att förstå att kontrollförteckningen i ISO 27001 noggrant har tagits fram av branschexperter och testats under årens lopp av hundratusentals organisationer. Av denna anledning kan du verkligen inte motivera vissa grundläggande kontroller som icke tillämpliga och du behöver starka skäl för alla kontroller som du har beslutat att inte implementera.
Också av det skäl som beskrivs ovan ser de flesta SoA-dokument från certifierade organisationer mestadels gröna ut (dvs. kontrollen har implementerats) med eventuellt ett par kontroller som definierats som icke tillämpliga. Men även i dessa fall kan det finnas stora variationer i hur långt man har kommit i implementeringen av de tillämpliga kontrollerna.
Ett smart SoA-dokument kan hämta mer implementeringsinformation från ditt ISMS, så att du också kan använda SoA som ett verktyg för att övervaka implementeringen och styrkan i implementeringen av varje kontroll direkt från SoA.
De viktigaste syftena med SoA är bland annat:
Nedan går vi igenom fyra viktiga roller som ett välstrukturerat SoA-dokument spelar i en effektiv hantering av informationssäkerhet. Att förstå dessa roller hjälper organisationer att implementera säkerhetskontroller på ett effektivt sätt och samtidigt säkerställa efterlevnad av lagstadgade krav och affärskrav.
SoA bör inte bara vara en lista över kontroller och länkar till statiska policyer som talar om dessa kontroller. Det bör vara en levande referens för säkerhetsstyrning.
När du skapar SoA genom ett ISMS-verktyg kan du spåra förbättringen av din efterlevnadspoäng och den grad av försäkran du har för att poängen är korrekt. Detta innebär i princip hur starkt du har implementerat relevanta kontroller och hur mycket detaljer det finns i ISMS för att backa upp denna implementeringsstatus (dessa detaljer är t.ex. namngivna ägare, genomförda granskningar, länkade tekniker, länkade register eller andra relaterade bevis som visar implementeringen).
Oavsett om du genomför en intern eller extern revision baserad på ISO 27001 kommer SoA att vara ditt viktigaste dokument. Revisorer förlitar sig på SoA för att se dina säkerhetsåtgärder med ISO 27001-strukturen.
Dina interna revisorer kan göra samma sak och granska dina egna säkerhetsrutiner med hjälp av SoA, vilket samtidigt säkerställer att revisionerna kan delas upp i mindre delar och ändå ha en påvisbar täckning av hela standarden.
Om din SoA också innehåller tillräckligt med information om kontrollernas genomförande kan dina internrevisioner fokusera på den första nivån för att undersöka om de detaljer som finns på SoA-nivån faktiskt är operativa.
SoA kommer också att bidra till ledningens genomgångar - genom att ge högsta ledningen en översikt över vår nuvarande implementering av ISO 27001-kontroller, innan vi går in på mer detaljer.
ISO 27001-standarden kan inte ge dig exakta detaljer om hur du implementerar varje kontroll. Det finns gott om utrymme för att implementera vissa kontroller med ett lättare tillvägagångssätt och gå djupare på vissa kontroller - de som du ser de största riskerna relaterade till.
Ett smart SoA-dokument kan användas för att vägleda dig i hur du ska tänka när det gäller att stärka implementeringen av kontroller. Du kan förstå vilka kontroller som redan är implementerade på ett mycket kraftfullt sätt och i vilka fall du kan ha enkla åtgärder tillgängliga.
Betydande förändringar i antingen verksamheten eller hotmiljön bör också synas som förbättringar i genomförandet av kontrollerna.
Statement of Applicability är också ett av de mest populära dokumenten som dina kunder eller andra intressenter kan vilja se. Eftersom alla ISO 27001-certifierade organisationer är väl förtrogna med SoA, kanske de vill se din version.
SoA är ett av de dokument som vissa organisationer gör tillgängliga för sina intressenter på begäran. Detta kan t.ex. göras på din webbplats /säkerhetssida eller t.ex. på en ISMS-apps sida för förtroendecenter, som kan tillhandahålla en länk "på begäran" till din senast publicerade live SoA.
Sammanfattningsvis kan sägas att ett korrekt använt Statement of Applicability-dokument hjälper dig att driva det löpande säkerhets- och efterlevnadsarbetet. Det är obligatoriskt för certifiering och ett nyckeldokument för alla som vill förbättra sin efterlevnad av ISO 27001.
Om du hanterar din informationssäkerhet i ett korrekt ISMS-verktyg behöver du inte göra något extra arbete för att sammanställa SoA-dokumentet - all nödvändig information bör alltid finnas tillgänglig i ditt ISMS! I det här fallet är SoA den viktigaste rapporten i ditt ISMS, som ger en översikt ur ISO 27001- och kontrollimplementeringsperspektiv.
.png)
