„să producă o Declarație de aplicabilitate care conține: controalele necesare (vezi 6.1.3 b) și c)); justificarea includerii lor; dacă acele controale necesare sunt implementate sau nu; și justificarea excluderii oricăruia dintre controalele din Anexa A.”ISO/IEC · ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements · 2022 · ISO/IEC 27001:2022, clauza 6.1.3 litera d) — conținutul obligatoriu al Declarației de aplicabilitate
Anexa A este plasa de siguranță a listei tale de controale, nu sursa ei.
Ordinea din 6.1.3 este citită greșit de aproape toți începătorii. Nu se pleacă de la Anexa A. Se aleg întâi opțiunile de tratare, ținând cont de rezultatele evaluării; apoi se determină toate controalele necesare pentru a pune în practică opțiunile alese — standardul spune limpede că ele pot fi proiectate de organizație sau luate din orice sursă; abia apoi se compară lista obținută cu Anexa A, ca verificare încrucișată că nu a fost omis nimic necesar. Rezultatul se consemnează în Declarația de aplicabilitate, singurul document care leagă riscurile de controale. Ea spune patru lucruri despre fiecare control: că este necesar, de ce a fost inclus, dacă este implementat sau nu, și de ce a fost exclus, când e cazul. Un control necesar dar neimplementat are voie să apară acolo; ce nu are voie e tăcerea. La final, planul de tratare și acceptarea riscului rezidual se aprobă de proprietarii riscurilor.
De ce contează Declarația de aplicabilitate e primul document cerut la etapa 1 și singurul care arată dacă sistemul chiar a pornit de la riscuri.