„să producă o Declarație de aplicabilitate care conține: controalele necesare (vezi 6.1.3 b) și c)); justificarea includerii lor; dacă acele controale necesare sunt implementate sau nu; și justificarea excluderii oricăruia dintre controalele din Anexa A.”ISO/IEC · ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements · 2022 · ISO/IEC 27001:2022, clauza 6.1.3 litera d) — conținutul obligatoriu al Declarației de aplicabilitate
Anexa A este plasa de siguranță a listei tale de controale, nu sursa ei.
Ordinea din 6.1.3 este citită greșit de aproape toți începătorii. Nu se pleacă de la Anexa A. Se aleg întâi opțiunile de tratare, ținând cont de rezultatele evaluării; apoi se determină toate controalele necesare pentru a pune în practică opțiunile alese — standardul spune limpede că ele pot fi proiectate de organizație sau luate din orice sursă; abia apoi se compară lista obținută cu Anexa A, ca verificare încrucișată că nu a fost omis nimic necesar. Rezultatul se consemnează în Declarația de aplicabilitate, singurul document care leagă riscurile de controale. Ea spune patru lucruri despre fiecare control: că este necesar, de ce a fost inclus, dacă este implementat sau nu, și de ce a fost exclus, când e cazul. Un control necesar dar neimplementat are voie să apară acolo; ce nu are voie e tăcerea. La final, planul de tratare și acceptarea riscului rezidual se aprobă de proprietarii riscurilor.
Pasajul precedent a arătat ordinea corectă: riscuri, opțiuni, controale, apoi comparație cu Anexa A. Următorul pas e să înțelegem ce se întâmplă când comparația găsește o diferență. Dacă un control din Anexa A nu apare în lista ta, nu e o eroare automată. Poate fi exclus, dar numai cu o justificare care arată de ce riscurile tale nu îl cer. De exemplu, o firmă fără birou fizic poate explica de ce un control despre securitatea zonei de birouri nu are ce proteja. Ce nu e voie e să omiți controlul în tăcere, fără motiv scris. Justificarea nu e o formalitate pentru auditor; e gândirea ta pusă pe hârtie. Iar când justificarea lipsește, auditorul nu mai poate vedea de unde a pornit sistemul. Dar ce se întâmplă cu controlul necesar pe care l-ai identificat, dar nu l-ai implementat încă?
Controlul necesar dar neimplementat este permis, cu o condiție: să fie consemnat ca atare în Declarația de aplicabilitate. Documentul devine astfel și o hartă a muncii rămase. Un control marcat ca necesar dar neimplementat arată o decizie conștientă, nu o neglijare. De pildă, o firmă mică știe că are nevoie de o politică de parole puternice, dar o scrie abia luna viitoare; în declarație, statutul ei este onest. Auditorul vede diferența dintre un plan în derulare și o casă de cărți. Ce aruncă sistemul dezechilibrat e tăcerea: un control absent din listă fără motiv, sau unul declarat implementat deși nu e. Declarația trebuie să spună adevărul despre fiecare rând, chiar când adevărul e incomod. Rămâne întrebarea cine semnează, în final, aceste decizii și riscul care rămâne după ele.
De ce contează Declarația de aplicabilitate e primul document cerut la etapa 1 și singurul care arată dacă sistemul chiar a pornit de la riscuri.