„Sistemul de management al securității informației păstrează confidențialitatea, integritatea și disponibilitatea informației prin aplicarea unui proces de management al riscului și oferă încredere părților interesate că riscurile sunt gestionate adecvat.”ISO/IEC · ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements · 2022 · ISO/IEC 27001:2022, Introducere, 0.1 «General»
Anexa A e consecința evaluării riscului, nu punctul de plecare al implementării.
Un SMSI — sistem de management al securității informației — nu e o listă de controale, ci mecanismul care decide ce controale sunt necesare, le pune în funcțiune și verifică dacă mai sunt potrivite. Standardul o spune direct în introducere: sistemul păstrează confidențialitatea, integritatea și disponibilitatea informației aplicând un proces de management al riscului. Controalele din Anexa A, 93 la număr, grupate în ediția din 2022 în patru teme — organizaționale, oameni, fizice, tehnologice — sunt consecința evaluării riscului, nu punctul de plecare. Cerințele auditabile sunt clauzele 4–10: context, leadership, planificare, suport, operare, evaluarea performanței, îmbunătățire. Structura e comună tuturor standardelor de sistem de management scrise după 2012, ceea ce are o urmare practică: ISO 9001, ISO 22301 sau ISO/IEC 42001 pentru inteligența artificială folosesc aceleași clauze-cadru. O organizație care rulează deja unul dintre ele adaugă a doua schemă fără să reconstruiască politica, auditul intern sau analiza de management.
Pasul următor e decizia asupra domeniului de aplicare. Înainte de orice risc sau control, standardul cere să spui exact ce acoperă sistemul: ce servicii, ce sedii, ce date. Alegerea nu e formală. Un domeniu prea larg promite ceva ce nu poți susține; unul prea îngust lasă afară exact riscurile care contează. Exemplu concret: o firmă cu un singur magazin online poate declara doar platforma de vânzări, cu plățile și baza de clienți, nu și contabilitatea internă. Domeniul devine apoi granița la care auditorul verifică totul. O întrebare naturală urmează: cine, în organizație, răspunde pentru că acestă graniță există și e respectată?
Pasajul 1 s-a încheiat cu o întrebare: cine răspunde pentru graniță? Clauza 5 dă răspunsul: conducerea de sus. Nu departamentul IT, ci cei care decid bugete și priorități trebuie să demonstreze implicare și să stabilească o politică de securitate. Practic, asta schimbă locul discuției. Dacă un magazin online decide că datele clienților contează, decizia nu se ia în echipa de dezvoltare, ci la nivelul care alege între creștere și protecție. Auditorul vorbește cu conducerea, nu doar cu specialiștii. Securitatea devine astfel o decizie de afaceri, cu un responsabil numit. Dar cine conduce ceva trebuie să știe spre ce ținte merge — și aici intră planificarea din clauza 6.
De ce contează Cine începe cu Anexa A construiește o listă de sarcini; cine începe cu clauzele 4–10 construiește sistemul pe care îl va audita organismul de certificare.