ISO27001 Statement of Applicability / Erklärung zur Anwendbarkeit (ISO27001 SOA)

Die Erklärung zur Anwendbarkeit (Englisch; Statement of Applicability) ist ein Schlüsseldokument, welches im Rahmen des Aufbaus und der ständigen Weiterentwicklung Ihres Informationssicherheitsmanagementsystems (ISMS) entsteht und gepflegt wird.

Es dient zur zentralen Dokumentation welche Controls (bzw. Maßnahmen) im Rahmen Ihres ISMS angewandt werden. Zumindest sollte die Erklärung eine schlüssige Erläuterung zu den 114 Controls aus dem ISO27001 Anhang A beinhalten. Sofern weitere Controls beispielsweise von PCI DSS oder dem FAIT1 ergänzt wurden, können diese auch hier dokumentiert werden. Wenn Sie Risiken identifiziert haben, die durch die Standard-Controls des ISO27001 Anhangs noch nicht hinreichend behandelt wurden, so können auch die dafür entwickelten, zusätzlichen Controls in der Erklärung ergänzt werden.

ISMS SOA

Besonders bedeutungsvoll ist, dass auf Basis der Erklärung für einen dritten transparent werden muss, wieso Controls aus dem Anhang A nicht angewendet werden. Hierbei ist eine nachvollziehbare Argumentation besonders wichtig.

Die Erklärung zur Anwendbarkeit kann somit ein guter Einstiegspunkt für die Zertifizierung des ISMS sein.

Prüfliste:

  • Sie haben eine Erklärung zur Anwendbarkeit erstellt und veröffentlicht sowie bei der Dokumentenlenkung berücksichtigt.
  • Die Erklärung geht auf alle Maßnahmen bzw. Controls des ISO27001 Anhang A ein.
  • Der Ausschluss von Maßnahmen bzw. Controls ist transparent dargelegt.
  • Die Erklärung der Anwendbarkeit berücksichtigt die Ergebnisse des Risikomanagements.
  • Es wurden keine Maßnahmen bzw. Controls ausgeschlossen, die wesentliche Risiken adressieren.
  • Risikomanagement: Alle wesentlichen Risiken werden durch die Maßnahmen so behandelt, dass sie unter der festgelegten Risikoakzeptanz liegen. Sofern im Ausnahmefall die Risikoakzeptanzkriterien nicht erreicht wurden, liegt eine entsprechend Risikoübernahme der obersten Leitung vor.
  • Für angewendete Maßnahmen ist eine entsprechende Verknüpfung zu relevanten Dokumenten und Aufzeichnung ersichtlich, die den tieferen Einstieg in Themenbereiche ermöglicht.

 

 

0 Antworten

Hinterlassen Sie einen Kommentar

Wollen Sie an der Diskussion teilnehmen?
Feel free to contribute!

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *