ISO/IEC 27001:2022: la Dichiarazione di applicabilità, cosa contiene e dove gli audit trovano rilievi

Che cos'è

La Dichiarazione di applicabilità (Statement of Applicability, SoA) è un'informazione documentata richiesta dalla clausola 6.1.3 d) di ISO/IEC 27001:2022. Collega il trattamento dei rischi ai controlli: per ogni controllo dell'Annex A dice se è applicato, perché, e in che stato si trova.

Nell'audit di certificazione è il documento da cui l'auditor parte per pianificare la verifica dei controlli. Il certificato fa spesso riferimento alla versione della SoA in vigore.

Cosa deve contenere: clausola 6.1.3 d)

• I controlli necessari, determinati nel trattamento dei rischi (clausole 6.1.3 b e c).
• La giustificazione della loro inclusione.
• Se i controlli necessari sono attuati o no.
• La giustificazione dell'esclusione di ciascun controllo dell'Annex A non adottato.

Da dove vengono i controlli

La sequenza della norma è: valutazione dei rischi (6.1.2), scelta delle opzioni di trattamento (6.1.3 a), determinazione dei controlli necessari (6.1.3 b), confronto con l'Annex A per verificare di non aver omesso controlli necessari (6.1.3 c), SoA (6.1.3 d), piano di trattamento dei rischi (6.1.3 e), approvazione del piano e accettazione dei rischi residui da parte dei titolari del rischio (6.1.3 f).

I controlli possono provenire da qualsiasi fonte. L'Annex A non è esaustivo: un controllo richiesto da un contratto, da una norma di settore o dall'analisi dei rischi va incluso nella SoA anche se non corrisponde a un controllo dell'Annex A.

La struttura dell'Annex A 2022

L'edizione 2013 aveva 114 controlli in 14 domini. La revisione del 2022 ha accorpato controlli esistenti e ne ha introdotti 11 nuovi, tra cui threat intelligence (5.7), sicurezza nell'uso dei servizi cloud (5.23), prontezza ICT per la continuità operativa (5.30), configuration management (8.9), cancellazione delle informazioni (8.10), data masking (8.11), prevenzione della perdita di dati (8.12), attività di monitoraggio (8.16) e secure coding (8.28).

ISO/IEC 27002:2022 associa a ogni controllo degli attributi (per esempio tipo di controllo e proprietà di sicurezza). Non sono obbligatori nella SoA, ma possono essere usati come colonne per filtrare e ordinare.

Esclusioni: quando sono giustificate

• Una giustificazione valida si basa sull'esito della valutazione dei rischi, sul perimetro del sistema di gestione o sull'assenza dell'attività a cui il controllo si riferisce.
• Esempio: un'organizzazione senza sviluppo software interno può motivare l'esclusione dei controlli sullo sviluppo sicuro, ma se affida lo sviluppo all'esterno il controllo sullo sviluppo esternalizzato (8.30) resta applicabile.
• "Non applicabile" senza motivazione non è una giustificazione.
• Il costo non giustifica un'esclusione se il rischio richiede il controllo: in quel caso si tratta di un rischio accettato, che va approvato dal titolare del rischio e documentato come tale.

Rilievi frequenti sulla SoA

• SoA non coerente con il piano di trattamento dei rischi: controlli citati nel piano assenti nella SoA, o viceversa.
• Esclusioni motivate con "non applicabile" o con formule generiche uguali per tutti i controlli.
• Controlli dichiarati attuati senza evidenze che lo dimostrino.
• Stato di attuazione non aggiornato dopo cambiamenti di sistemi, fornitori o perimetro.
• Riferimenti ancora alla numerazione dell'Annex A 2013.
• Controlli aggiuntivi, non presenti nell'Annex A, omessi.
• Versione, data e approvazione del documento non registrate.
• Perimetro della SoA diverso da quello del sistema di gestione dichiarato.

Checklist di revisione

• Tutti i 93 controlli dell'Annex A 2022 sono presenti, ciascuno con decisione di inclusione o esclusione.
• Ogni inclusione rimanda a uno o più rischi o a un obbligo esterno.
• Ogni esclusione ha una motivazione specifica.
• Lo stato di attuazione è indicato per ogni controllo incluso e corrisponde alle evidenze disponibili.
• I controlli aggiuntivi da altre fonti sono elencati.
• La SoA è coerente con il piano di trattamento dei rischi e con il perimetro.
• Versione, data, autore e approvazione sono registrati; la SoA viene riesaminata dopo ogni cambiamento rilevante e ogni nuova valutazione dei rischi.

In EVIDEVO

In Controlli e conformità applicabilità, motivazione e stato di ogni controllo sono registrati sul controllo stesso, collegati ai rischi in Gestione dei rischi e alle evidenze. La Dichiarazione di applicabilità si esporta da questi dati.