Dichiarazione di applicabilità: cos'è
La Dichiarazione di applicabilità (SoA, Statement of Applicability) è il documento richiesto dalla norma ISO/IEC 27001 che riporta, per ciascun controllo di sicurezza dell'Allegato A, se è applicabile all'organizzazione, perché, e se è stato attuato.
In breve
La SoA è la sintesi di un sistema di gestione della sicurezza delle informazioni: in poche pagine dice quali misure l'azienda ha scelto e quali ha escluso, con le motivazioni. È uno dei primi documenti che l'auditor di certificazione chiede, e spesso anche il cliente che deve qualificare un fornitore.
Cosa contiene
La clausola 6.1.3 della ISO/IEC 27001:2022 chiede che la Dichiarazione riporti:
- i controlli necessari per trattare i rischi individuati;
- la giustificazione della loro inclusione;
- se i controlli necessari sono attuati o meno;
- la giustificazione dell'esclusione dei controlli dell'Allegato A che non si applicano.
Nella versione 2022 l'Allegato A conta 93 controlli in quattro temi: organizzativi (37), relativi alle persone (8), fisici (14) e tecnologici (34). Il periodo di transizione dalla versione 2013 si è chiuso il 31 ottobre 2025: oggi le certificazioni valide fanno riferimento alla versione 2022.
Perché è importante
La SoA collega l'analisi dei rischi alle misure concrete: ogni controllo incluso dovrebbe rispondere a un rischio, ogni esclusione dovrebbe essere difendibile. "Non applicabile" non può significare "non ci abbiamo pensato": un'azienda senza sviluppo software interno può escludere i controlli sullo sviluppo sicuro, ma non può escludere la gestione delle vulnerabilità. Dopo il trattamento resta il rischio residuo, che i responsabili devono accettare formalmente.
Il documento va tenuto aggiornato: ogni volta che cambiano i rischi o le misure, cambia anche la SoA, con la sua revisione. Per prepararti a una certificazione vedi la checklist ISO 27001.
Esempio
Un'azienda di servizi lavora interamente in cloud, senza un proprio data center. Nella SoA dichiara applicabili i controlli sulla sicurezza dei servizi cloud e sulla gestione dei fornitori, motivandoli con i rischi legati ai provider. Dichiara applicabili ma solo parzialmente attuati i controlli sulla registrazione degli eventi, con un'azione in corso. Esclude alcuni controlli fisici sulle aree di elaborazione, perché non ha locali tecnici propri, e scrive perché. L'auditor parte da qui per decidere cosa verificare.
Un anno dopo, l'azienda attiva un piccolo sviluppo interno per integrare il proprio sito con il gestionale. La SoA viene aggiornata: i controlli sullo sviluppo sicuro, prima esclusi, diventano applicabili, con la nuova motivazione e il piano di attuazione. Una nuova revisione del documento ne tiene traccia.
Termini collegati
Dove lo trovi in Dottor Box
Il modulo Compliance produce la Dichiarazione di Applicabilità in PDF: la tua decisione sul singolo controllo vince sempre, e dove non l'hai presa l'applicabilità si deduce dallo stato dei task collegati, così il documento non parte da un foglio vuoto.
Compliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più DimostrareDocumenti di conformità
SOA, verbali di riesame, fascicoli delle evidenze, rapporti di audit e registri.
Scopri di più ConformitàISO/IEC 27001
Il sistema di gestione della sicurezza delle informazioni, dalla SOA all'audit.
Scopri di più