Das Statement of Applicability (auch bekannt als SoA) ist eines der obligatorischen Dokumente für die ISO 27001-Zertifizierung. Kurz gesagt, erklärt das SoA, welche Sicherheitskontrollen (von derzeit insgesamt 93) aus der ISO 27001-Norm für Ihre Organisation relevant sind, ob Sie sie bereits implementiert haben und wie Sie das getan haben.
Allzu oft wird das SoA als statisches Dokument betrachtet, obwohl es eine aktive Rolle bei der Einhaltung der Vorschriften, der kontinuierlichen Verbesserung und der Überwachung des Gesamtfortschritts Ihrer ISO 27001-Norm spielen sollte.
In diesem Blog werden wir den Hauptzweck und die Vorteile eines gut funktionierenden SoA-Dokuments behandeln. Wir erläutern auch seine Hauptaufgaben in einem guten Informationssicherheitsmanagement, das auf ISO 27001 basiert.
In der Erklärung zur Anwendbarkeit wird erläutert, welche Sicherheitskontrollen aus der Auflistung in Anhang A der ISO 27001-Norm für Ihre Organisation relevant sind, ob Sie diese bereits umgesetzt haben und wie Sie dies getan haben.
In einem typischen SoA-Dokument würden Sie alle 93 Kontrollen der ISO 27001:2022 auflisten (oft in einer Excel-Datei) und für jede die folgenden Dinge anzeigen:
Es ist wichtig zu verstehen, dass die Liste der Kontrollen in ISO 27001 sorgfältig von Branchenexperten erstellt und im Laufe der Jahre von Hunderttausenden von Organisationen erprobt worden ist. Aus diesem Grund können Sie nicht rechtfertigen, dass einige grundlegende Kontrollen nicht anwendbar sind, und Sie brauchen eine überzeugende Begründung für alle Kontrollen, die Sie nicht implementieren wollen.
Auch aus dem oben beschriebenen Grund sehen die meisten SoA-Dokumente von zertifizierten Organisationen überwiegend grün aus (d. h. die Kontrolle wurde implementiert), wobei möglicherweise einige Kontrollen als nicht anwendbar definiert sind. Aber selbst in diesen Fällen kann die Umsetzungstiefe der einzelnen anwendbaren Kontrollen sehr unterschiedlich sein.
Ein intelligentes SoA-Dokument kann weitere Umsetzungsinformationen aus Ihrem ISMS einbeziehen, so dass Sie das SoA auch als Instrument zur Überwachung der Umsetzung und der Stärke der Umsetzung jeder Kontrolle direkt aus dem SoA verwenden können.
Zu den wichtigsten Zielen der SoA gehören:
Im Folgenden werden vier Schlüsselrollen untersucht, die ein gut strukturiertes SoA-Dokument für ein effektives Informationssicherheitsmanagement spielt. Das Verständnis dieser Funktionen hilft Unternehmen, Sicherheitskontrollen effizient zu implementieren und gleichzeitig die Einhaltung gesetzlicher und geschäftlicher Anforderungen zu gewährleisten.
SoA sollte nicht nur eine Liste von Kontrollen und Links zu statischen Richtlinien sein, die sich mit diesen Kontrollen befassen. Es sollte eine lebendige Referenz für Security Governance sein.
Wenn Sie die SoA mit einem ISMS-Tool erstellen, können Sie die Verbesserung Ihrer Konformitätsbewertung und den Grad der Sicherheit, dass die Bewertung korrekt ist, verfolgen. Dies bedeutet im Wesentlichen, wie stark Sie relevante Kontrollen implementiert haben und wie viele Details im ISMS vorhanden sind, um diesen Implementierungsstatus zu untermauern (diese Details sind z. B. benannte Verantwortliche, durchgeführte Überprüfungen, verknüpfte Technologien, verknüpfte Aufzeichnungen oder andere verwandte Nachweise, die die Implementierung belegen).
Ob Sie ein internes oder externes Audit auf der Grundlage von ISO 27001 durchführen, das SoA wird Ihr wichtigstes Dokument sein. Auditoren verlassen sich auf das SoA, um Ihre Sicherheitsmaßnahmen mit der ISO 27001-Struktur zu vergleichen.
Ihre internen Auditoren können dasselbe tun und Ihre eigenen Sicherheitspraktiken mit Hilfe von SoA auditieren, wobei gleichzeitig sichergestellt wird, dass Audits in kleinere Teile aufgeteilt werden können und immer noch eine nachweisbare Abdeckung des gesamten Standards haben.
Wenn Ihr SoA auch genügend Informationen über die Umsetzung der Kontrollen enthält, können sich Ihre internen Audits auf die erste Ebene konzentrieren, um zu untersuchen, ob die auf der SoA-Ebene gefundenen Details tatsächlich funktionieren.
SoA hilft auch bei Management-Reviews, indem es der obersten Führungsebene einen Überblick über die derzeitige Umsetzung der ISO 27001-Kontrollen verschafft, bevor es in weitere Details geht.
Die ISO 27001-Norm kann Ihnen keine genauen Angaben zur Umsetzung der einzelnen Kontrollen machen. Es gibt viel Spielraum für die Umsetzung einiger Kontrollen mit einem leichteren Ansatz und die Vertiefung einiger Kontrollen - derjenigen, mit denen Sie die größten Risiken verbunden sehen.
Ein intelligentes SoA-Dokument kann als Leitfaden für Ihre Überlegungen zur Verstärkung der Kontrollimplementierung dienen. Sie können nachvollziehen, welche Kontrollen bereits sehr stark implementiert sind und in welchen Fällen Sie einfache Härtungsmaßnahmen ergreifen können.
Signifikante Änderungen an Ihren Abläufen oder Ihrer Bedrohungslage sollten auch als Verbesserungen bei der Umsetzung Ihrer Kontrollen sichtbar werden.
Die Anwendbarkeitserklärung ist auch eines der beliebtesten Dokumente, die Ihre Kunden oder andere Interessengruppen sehen möchten. Da jede ISO 27001-zertifizierte Organisation mit der Anwendbarkeitserklärung gut vertraut ist, möchten sie vielleicht auch Ihre Version sehen.
SoA ist eines der Dokumente, die einige Organisationen ihren Interessengruppen auf Anfrage zur Verfügung stellen. Dies kann z. B. auf der Seite /Sicherheit Ihrer Website geschehen oder z. B. auf der Trust Center-Seite einer ISMS-App, die einen "by-request"-Link zu Ihrem zuletzt veröffentlichten Live-SoA bereitstellen kann.
Zusammenfassend lässt sich sagen, dass ein ordnungsgemäß verwendetes Anwendbarkeitsdokument Ihnen helfen wird, Ihre laufenden Bemühungen um Sicherheit und Konformität voranzutreiben. Es ist für die Zertifizierung obligatorisch und ein Schlüsseldokument für alle, die ihre ISO 27001-Konformität verbessern wollen.
Wenn Sie Ihre Informationssicherheit mit einem geeigneten ISMS-Tool verwalten, brauchen Sie keine zusätzliche Arbeit für die Zusammenstellung des SoA-Dokuments zu leisten - alle benötigten Informationen sollten in Ihrem ISMS immer verfügbar sein! In diesem Fall ist die SoA der Schlüsselbericht Ihres ISMS, der einen Überblick über die ISO 27001 und die Umsetzung der Kontrollen gibt.
.png)
