Che cos’è la dichiarazione di applicabilità nella ISO 27001?

È il documento che elenca ogni controllo di riferimento dell’allegato della norma e indica, per ciascuno, se lo applica, perché e come è attuato. La dichiarazione di applicabilità (SoA) collega la valutazione dei rischi ai controlli: un controllo è incluso perché tratta un rischio individuato o soddisfa un obbligo di legge o contrattuale, ed escluso solo con una motivazione, per esempio perché non dispone di locali propri. Gli auditor la usano come mappa del Suo SGSI e verificano i controlli che dichiara; i clienti a volte la chiedono per capire che cosa copre davvero il certificato. La tenga breve e concreta, indichi la prova di ogni controllo attuato e la aggiorni quando cambiano rischi o organizzazione. Una buona voce sul monitoraggio indica lo strumento, i sistemi coperti, chi esamina i risultati e dove sono conservate le registrazioni. Se NetSenX fa parte del Suo monitoraggio, la mappa di rete, lo storico degli alert e il registro di audit possono essere citati come prove; la dichiarazione resta un Suo documento.

Questa risposta compare anche, con più contesto, qui: Standard di sicurezza: ISO 27001, SOC 2

← Tutte le 15 domande su Standard di sicurezza: ISO 27001, SOC 2Tutti i temi