Wat is de Verklaring van Toepasselijkheid?
De Verklaring van Toepasselijkheid, in het Engels Statement of Applicability of SoA, is een verplicht document binnen ISO 27001. Het laat zien welke beheersmaatregelen u nodig acht, waarom, of ze zijn ingevoerd en waarom andere maatregelen niet van toepassing zijn. Het is daarmee de brug tussen uw risicoanalyse en de maatregelen in Annex A.
Wat moet erin staan?
De norm vraagt om een aantal vaste onderdelen. Veel organisaties voegen daar praktische kolommen aan toe die het document beter bruikbaar maken.
- De noodzakelijke beheersmaatregelen, ook als ze niet uit Annex A komen.
- De reden waarom elke maatregel is opgenomen.
- Of de maatregel is ingevoerd.
- De reden waarom een maatregel uit Annex A is uitgesloten.
Een goede motivering
De reden voor opname verwijst bij voorkeur naar een risico, een wettelijke eis of een contractuele afspraak. Alleen “best practice” als motivering zegt weinig. Een uitsluiting moet begrijpelijk zijn voor een buitenstaander. Een organisatie zonder eigen softwareontwikkeling kan maatregel 8.28 over veilig programmeren uitsluiten. Laat u software ontwikkelen door een leverancier, dan is de maatregel over uitbestede ontwikkeling meestal wel van toepassing.
Praktische kolommen die helpen
Voeg per maatregel een eigenaar, de implementatiestatus, de verwijzing naar beleid of procedure en de vindplaats van bewijs toe. Zo wordt de SoA een werkdocument dat u bij interne audits en directiebeoordelingen gebruikt, in plaats van een bijlage die eens per jaar wordt bijgewerkt.
Veelvoorkomende fouten
Auditors zien regelmatig een SoA die los staat van de risicoanalyse. Alle maatregelen zijn dan van toepassing verklaard met dezelfde algemene tekst. Andere fouten zijn een status “ingevoerd” zonder aantoonbaar bewijs, verouderde nummering uit de versie van 2013 en geen versiebeheer. Houd de SoA bij wanneer uw risico’s of uw organisatie veranderen en leg vast wie de wijziging heeft goedgekeurd.