Deklaracja stosowania (SoA) (SoA)

SoA (Statement of Applicability) to jeden z najważniejszych dokumentów ISO 27001. Dla każdej z 93 kontroli Załącznika A deklarujesz, czy ją stosujesz, a jeśli nie, to uzasadniasz dlaczego. SoA pokazuje audytorowi, że dobór kontroli wynika z analizy ryzyka, a nie z kopiowania listy.

Najczęstszy błąd to odhaczenie wszystkich kontroli na tak. Audytor widzi to w pięć minut, bo żadna organizacja nie potrzebuje wszystkiego po równo. Brak kontroli to nie wstyd, o ile jest uzasadniony.

SoA żyje razem z systemem: zmienia się ryzyko, zmienia się dobór kontroli i ich status. Aktualna SoA to dowód, że ISMS realnie działa, a nie powstał raz przed certyfikacją.