Verklaring van Toepasselijkheid (ook bekend als SoA) is een van de verplichte documenten voor ISO 27001-certificering. In een notendop legt SoA uit welke beveiligingscontroles (van de huidige in totaal 93) uit de ISO 27001-norm relevant zijn voor uw organisatie, of u ze al hebt geïmplementeerd en hoe u dat hebt gedaan.
Maar al te vaak wordt een SoA gezien als een statisch document, hoewel het een actieve rol zou moeten spelen in naleving, voortdurende verbetering en het bewaken van uw algehele ISO 27001 voortgang.
In deze blog behandelen we het belangrijkste doel en de voordelen van een goed werkend SoA-document. We leggen ook uit wat de belangrijkste rollen zijn in goed informatiebeveiligingsmanagement dat is gebaseerd op ISO 27001.
In de Verklaring van Toepasselijkheid wordt uitgelegd welke beveiligingscontroles uit Bijlage A van de ISO 27001-norm relevant zijn voor uw organisatie, of u deze al hebt geïmplementeerd en hoe u dat hebt gedaan.
In een typisch SoA-document worden alle 93 controles van ISO 27001:2022 opgesomd (vaak in een Excel-bestand) en wordt voor elke controle het volgende weergegeven:
Het is belangrijk om te begrijpen dat de lijst met controles in ISO 27001 zorgvuldig is samengesteld door experts uit de industrie en door de jaren heen is getest door honderdduizenden organisaties. Daarom kunt u echt niet rechtvaardigen dat sommige fundamentele controles niet van toepassing zijn en hebt u sterke argumenten nodig voor controles die u hebt besloten niet te implementeren.
Ook om de hierboven beschreven reden zien de meeste SoA-documenten van gecertificeerde organisaties er overwegend groen uit (d.w.z. de controle is geïmplementeerd) met mogelijk een paar controles die niet van toepassing zijn verklaard. Maar zelfs in deze gevallen kan er veel variatie zijn in de diepgang van de implementatie van elk van de toepasbare controles.
Een slim SoA-document kan meer implementatie-informatie uit je ISMS halen, zodat je de SoA ook kunt gebruiken als hulpmiddel om de implementatie en kracht van de implementatie van elke controle direct vanuit de SoA te monitoren.
De belangrijkste doelen van SoA zijn:
Hieronder bespreken we vier belangrijke rollen die een goed gestructureerd SoA-document speelt in effectief informatiebeveiligingsbeheer. Inzicht in deze rollen helpt organisaties om beveiligingscontroles efficiënt te implementeren en tegelijkertijd te voldoen aan de regelgeving en bedrijfsvereisten.
SoA zou niet alleen een lijst met controles en links naar statische beleidsregels over deze controles moeten zijn. Het zou een levende referentie moeten zijn voor beveiligingsbeheer.
Als je de SoA maakt met behulp van een ISMS-tool, kun je bijhouden hoe je compliance score is verbeterd en hoe zeker je bent dat de score accuraat is. Dit betekent in feite hoe sterk je de relevante controles hebt geïmplementeerd en hoeveel details er in het ISMS zijn om deze implementatiestatus te ondersteunen (deze details zijn bijvoorbeeld benoemde eigenaren, uitgevoerde beoordelingen, gekoppelde technologieën, gekoppelde records of ander gerelateerd bewijsmateriaal dat de implementatie aantoont).
Of u nu een interne of externe audit uitvoert op basis van ISO 27001, SoA is uw belangrijkste document. Auditors vertrouwen op SoA om te zien of uw beveiligingsmaatregelen overeenkomen met de ISO 27001-structuur.
Uw interne auditors kunnen hetzelfde doen en uw eigen beveiligingspraktijken auditen met behulp van SoA, waarbij er tegelijkertijd voor wordt gezorgd dat audits in kleinere delen kunnen worden opgesplitst en nog steeds een aantoonbare dekking van de volledige norm hebben.
Als je SoA ook voldoende informatie bevat over de controle-implementatie, kunnen je interne audits zich richten op het eerste niveau om te onderzoeken of de details die je op SoA-niveau hebt gevonden ook echt operationeel zijn.
SoA helpt ook bij managementreviews, waarbij het topmanagement een overzicht krijgt van onze huidige ISO 27001 controle-implementatie, voordat we in meer details duiken.
De ISO 27001-norm kan u geen exacte details geven over de implementatie van elke controle. Er is veel ruimte voor het implementeren van sommige controles met een lichtere aanpak en het dieper ingaan op sommige controles - de controles waar u de grootste risico's mee ziet.
Een slim SoA-document kan worden gebruikt als leidraad om na te denken over het versterken van de controle-implementatie. Je kunt begrijpen welke controles al zeer sterk geïmplementeerd zijn en in welke controles je mogelijk eenvoudige hardening-acties beschikbaar hebt.
Significante veranderingen in je activiteiten of je bedreigingsomgeving moeten ook zichtbaar zijn als verbeteringen in je controle-implementatie.
De Verklaring van Toepasselijkheid is ook een van de meest populaire documenten die uw klanten of andere belanghebbenden willen zien. Aangezien elke ISO 27001 gecertificeerde organisatie goed bekend is met de SoA, willen zij wellicht uw versie zien.
SoA is een van de documenten die sommige organisaties op verzoek beschikbaar stellen aan hun belanghebbenden. Dit kan bijvoorbeeld op de /security pagina van uw website of bijvoorbeeld op de trust center pagina van een ISMS-app, die een "op verzoek" link kan bieden naar uw meest recent gepubliceerde live SoA.
Kortom, een goed gebruikt document met een Verklaring van Toepasselijkheid zal u helpen bij uw voortdurende inspanningen op het gebied van beveiliging en compliance. Het is verplicht voor certificering en een belangrijk document voor iedereen die zijn ISO 27001-naleving wil verbeteren.
Als u uw informatiebeveiliging uitvoert met een goede ISMS-tool, hoeft u geen extra werk te doen om het SoA-document samen te stellen - alle benodigde informatie zou altijd beschikbaar moeten zijn in uw ISMS! In dit geval is de SoA het belangrijkste rapport van uw ISMS, dat een overzicht geeft vanuit het perspectief van ISO 27001 en de implementatie van controles.
.png)
