熱線：ISO27001適用性聲明SOA的編寫
發(fā)布時間：2020-08-24 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
ISO27001適用性聲明SOA包含ISO27001適用性聲明SA選擇的控制項以及理由,包括控制項是否已實施的狀態(tài)描述(例如:已完全實施,正在實施中,還未開始)
ISO27001適用性聲明SOA刪減控制項的理由:
選擇控制項的理由在一定程度上取決于控制項對降低信息安全風險方面的效果。參考信息安全風險評估結果和信息安全風險處理計劃,以及實施必要控制措施所期望的信息安全風險修正應該是充分的
IO27001適用性聲明SoA刪減的原因可包括:
已確認該控制項不是實現(xiàn)所選信息安全風險處理選項所必需的;
該控制項不適用因為它不在ISMS的范圍內(例如果組織的所有系統(tǒng)開發(fā)都是內部開發(fā),則A14.2.7包開發(fā)可以不適用);
該控制項由自定義的控制項控制(例如如果已經(jīng)采用DLP系統(tǒng)管控移動介質的使用,則A.83.1移動介質的管理可以不適用,A.831的要求為編制移動介質使用的規(guī)程文件)。注:自定義的管控措施即不包含在ISO27001附錄A里的控制措施
如果需要,可以將一個有用的適用性聲明SOA作為一個表生成,該表包含ISO27001附錄A中所有114個控件,并加上ISO27001附錄A中未提及的其他控制措施。表中的一列可以指示控制項是否實施風險處理選項所需要,或者是否可以排除。下一列可以包含選擇或排除控件的理由。表的最后一列可以指示控件的當前實施狀態(tài)?？梢允褂酶嗟牧?例如用于ISO27001不要求但通常對后續(xù)審查有用的詳細信息;這些詳細信息可以是對如何實施控制的更詳細描述,也可以是對更詳細描述的交叉引用,以及與實施控制相關的文件化信息或政策。所以可以對適用性聲明SoA的理解不應停留在應對ISO27001標準附錄的一個表,它其實是一個項目進度表,記錄每一項對組織有價值的信息安全控制項的實施進度。
