熱線：ISO27001適用性聲明SOA的編寫(xiě)
發(fā)布時(shí)間：2020-08-24 作者：廣匯聯(lián)合 來(lái)源：廣匯聯(lián)合
ISO27001適用性聲明SOA包含ISO27001適用性聲明SA選擇的控制項(xiàng)以及理由,包括控制項(xiàng)是否已實(shí)施的狀態(tài)描述(例如:已完全實(shí)施,正在實(shí)施中,還未開(kāi)始)
ISO27001適用性聲明SOA刪減控制項(xiàng)的理由:
選擇控制項(xiàng)的理由在一定程度上取決于控制項(xiàng)對(duì)降低信息安全風(fēng)險(xiǎn)方面的效果。參考信息安全風(fēng)險(xiǎn)評(píng)估結(jié)果和信息安全風(fēng)險(xiǎn)處理計(jì)劃,以及實(shí)施必要控制措施所期望的信息安全風(fēng)險(xiǎn)修正應(yīng)該是充分的
IO27001適用性聲明SoA刪減的原因可包括:
已確認(rèn)該控制項(xiàng)不是實(shí)現(xiàn)所選信息安全風(fēng)險(xiǎn)處理選項(xiàng)所必需的;
該控制項(xiàng)不適用因?yàn)樗辉贗SMS的范圍內(nèi)(例如果組織的所有系統(tǒng)開(kāi)發(fā)都是內(nèi)部開(kāi)發(fā),則A14.2.7包開(kāi)發(fā)可以不適用);
該控制項(xiàng)由自定義的控制項(xiàng)控制(例如如果已經(jīng)采用DLP系統(tǒng)管控移動(dòng)介質(zhì)的使用,則A.83.1移動(dòng)介質(zhì)的管理可以不適用,A.831的要求為編制移動(dòng)介質(zhì)使用的規(guī)程文件)。注:自定義的管控措施即不包含在ISO27001附錄A里的控制措施
如果需要,可以將一個(gè)有用的適用性聲明SOA作為一個(gè)表生成,該表包含ISO27001附錄A中所有114個(gè)控件,并加上ISO27001附錄A中未提及的其他控制措施。表中的一列可以指示控制項(xiàng)是否實(shí)施風(fēng)險(xiǎn)處理選項(xiàng)所需要,或者是否可以排除。下一列可以包含選擇或排除控件的理由。表的最后一列可以指示控件的當(dāng)前實(shí)施狀態(tài)?？梢允褂酶嗟牧?例如用于ISO27001不要求但通常對(duì)后續(xù)審查有用的詳細(xì)信息;這些詳細(xì)信息可以是對(duì)如何實(shí)施控制的更詳細(xì)描述,也可以是對(duì)更詳細(xì)描述的交叉引用,以及與實(shí)施控制相關(guān)的文件化信息或政策。所以可以對(duì)適用性聲明SoA的理解不應(yīng)停留在應(yīng)對(duì)ISO27001標(biāo)準(zhǔn)附錄的一個(gè)表,它其實(shí)是一個(gè)項(xiàng)目進(jìn)度表,記錄每一項(xiàng)對(duì)組織有價(jià)值的信息安全控制項(xiàng)的實(shí)施進(jìn)度。
