Introduzione all’Statement of Applicability (SoA) ISO 27001

Cos’è lo Statement of Applicability e perché è fondamentale

La differenza tra Annex A, SoA e Risk Treatment Plan

Analisi dell’Annex A (ISO 27001:2022): I controlli da valutare

Panoramica delle quattro tematiche dell’Annex A aggiornato

Elenco dettagliato dei controlli (Control 5.1 – 5.37): Organizzativi

Elenco dettagliato dei controlli (Control 8.1 – 8.32): Tecnologici

Metodologia di Valutazione: Applicabilità vs Non-Applicabilità

Il principio del ‘Based on Business Needs’ (Necessità di business)

Criteri per la scelta ‘Applicable’ (Applicabile)

Criteri per la scelta ‘Not Applicable’ (Non Applicabile)

Il rischio di non giustificare la non-applicabilità: Errori comuni

Creare Evidenze Giustificative: La documentazione del ‘Non Applicabile’

Perché l’auditor richiede evidenze scritte e non solo verbali

Esempio pratico: Controllo 8.14 (Redundancy) – Giustificare il ‘No’

Esempio pratico: Controllo 5.16 (Identity Management) – Giustificare il ‘Si’

Tipi di evidenze accettate: Policy, diagrammi, report e log

Struttura dello Statement of Applicability: Template e Campi Obbligatori

Intestazione e metadati del documento (Versione, Data, Autore)

Tabella di riepilogo: ID Controllo, Descrizione, Applicabilità, Giustificazione

Collegamento con il Risk Treatment Plan (RTP) e il Statement of Applicability

Casi di Studio e Scenari Comuni di Giustificazione

Scenario 1: Azienda SaaS basata su Cloud (AWS/Azure) – Controlli fisici

Scenario 2: Software House – Sviluppo interno vs. Controllo 8.28 (Secure Coding)

Scenario 3: PMI con risorse limitate – Outsourcing e controlli 5.19 (Supplier)

Manutenzione e Aggiornamento del SoA nel tempo

Trigger di modifica: Nuovi progetti, change management e aggiornamenti normativi

Gestione delle versioni e approvazione del Management Review

Checklist di Pre-Audit: Verifica la qualità del tuo SoA

Verifica della completezza: Tutti i controlli dell’Annex A trattati?

Verifica della coerenza: Le giustificazioni corrispondono al Risk Assessment?

Domande Frequenti (FAQ)

Il Statement of Applicability è obbligatorio per la certificazione ISO 27001?

Sì, è uno dei documenti obbligatori richiesti dallo standard ISO 27001. L’annesso A dello standard è elencato come normativo, il che significa che un’organizzazione deve giustificare l’applicazione o meno di ogni controllo presente. Il SoA è il documento che raccoglie queste decisioni e dimostra all’auditor la conformità allo standard.

Quanto tempo serve per creare un Statement of Applicability?

Il tempo varia in base alla dimensione dell’organizzazione e alla complessità dell’IT. Per una piccola azienda (meno di 50 dipendenti) con processi standard, può richiedere da 2 a 4 settimane se il Risk Assessment è già completo. Per grandi organizzazioni, il processo può durare diversi mesi, poiché richiede l’analisi di ogni controllo e la raccolta delle evidenze giustificative.

Posso decidere di escludere un controllo perché è troppo costoso da implementare?

No. Lo standard ISO 27001 richiede che le decisioni si basino sulle ‘business requirements’ e sul rischio residuo accettabile, non sui costi. Se un controllo è ritenuto necessario per mitigare un rischio inaccettabile, deve essere implementato o devi accettare formalmente il rischio tramite una giustificazione scritta e l’approvazione del top management. Il costo non è una giustificazione valida per l’esclusione.

Qual è la differenza tra Statement of Applicability e Risk Treatment Plan?

Il Risk Treatment Plan (RTP) descrive *cosa* farai per ridurre i rischi (es. implementare un controllo, trasferire il rischio, accettarlo). Lo Statement of Applicability (SoA) è una tabella di riepilogo che elenca *tutti* i controlli dell’Annex A e dichiara se sono applicabili o meno, indicando il motivo della scelta. In pratica, il SoA include i controlli del RTP ma copre l’intero elenco dell’Annex A.

Devo giustificare anche i controlli applicabili?

Sì, ma in modo diverso. Per i controlli applicabili, la giustificazione è implicita: sono applicabili perché identificati come necessari durante il Risk Assessment per mitigare i rischi specifici dell’azienda. Tuttavia, devi essere in grado di dimostrare che il controllo è effettivamente implementato (evidenza operativa), non solo dichiararlo applicabile.

Contattaci

contattaci per saperne di più