SOA
SOA在信息安全管理领域通常指适用性声明(Statement of Applicability),是信息安全管理体系(ISMS)中的一份文件化陈述,用来说明组织选用了哪些信息安全控制、为何选用,以及未选用附录A中哪些控制及理由。它把风险评估与风险处置的结果落到具体控制上,是ISO/IEC 27001认证与审核中的必备文件;该缩写也指服务等级协议等概念,但作为信息安全管理术语主要指适用性声明。
定义
适用性声明是信息安全管理体系(ISMS)文件体系中的一份文档,内容是对与组织信息安全管理体系相关并适用的控制目标和控制措施的书面陈述,缩写为SOA或SoA。它所列的控制,依据的是风险评估与风险处置过程的结果和结论,同时也考虑法律法规要求、合同义务以及组织自身的业务安全需要。
在ISO/IEC 27001的框架下,适用性声明被列为风险处置环节的强制输出之一:组织需要写明为实现所选风险处置方式而必需的控制、选择这些控制的合理性说明、控制是否已实现,以及删减附录A中控制的理由[1]。因此它既是风险处置结论的载体,也是审核时核查控制选择是否成立的主要依据。
原理
适用性声明的编制以风险评估为起点。组织先按标准要求识别信息资产、威胁与脆弱性并评定风险水平,再从风险处置的几种方式中选择应对路径,包括降低、接受、转移和规避;附录A中的控制主要服务于风险降低这一选项,组织应按风险评估结果挑选,而非照单全收[2]。由此确定的必要控制,再与附录A的控制清单逐条比对,用来检查是否有必要控制被遗漏[1]。
比对完成后,组织按控制逐行填写适用性声明,记录控制编号与名称、是否适用、选择或排除的理由、实现状态以及支撑性的策略与制度文件;每一行的理由通常指向风险处置决定、法律法规义务、合同安全条款或业务运行需要中的一项[3]。国家标准在实施指导中说明,只有风险评估中识别出的控制才能进入声明,控制不能绕过风险评估直接列入,声明与风险处置计划之间应保持一致[4]。
声明中所有控制的实现状态可分别标注为已实现、部分实现或未实现,也可作整体描述;若声明写明全部控制均已实现,则无需再作额外分析[4]。文档需经管理层批准并纳入版本控制,当风险、系统或法规发生变化时同步更新[3]。
发展历程
适用性声明的概念随信息安全管理体系标准的演进定型。在ISO/IEC 27001:2005及其等同采用的国家标准中,该术语被定义为与组织信息安全管理体系相关并适用的控制目标和控制措施的文档化陈述,并明确其依据为风险评估、风险处置的结论以及法律法规与合同要求[5]。
ISO/IEC 27001于2013年修订,相关国家标准GB/T 22080—2016等同采用该版本,风险处置条款继续要求在将确定的控制与附录A比对之后,编制包含必要控制、选择理由、实现情况与删减理由的适用性声明[6]。2022年10月,ISO/IEC 27001:2022发布,附录A由2013版的114项控制、14个控制域重组为93项控制、4个主题,即组织类37项、人员类8项、物理类14项、技术类34项;控制总数虽有精简但并未删除原有控制,并新增威胁情报、云服务信息安全、数据脱敏等11项控制[7][2]。适用性声明随之需要在新的93项控制框架下重新评估适用性与实现状态[8]。
新版对应的国家标准为GB/T 22080—2025,于2025年6月30日发布,2026年1月1日起实施[8]。按过渡安排,基于2013版标准的认证证书有效期至2025年10月31日,此后需按2022版附录A重建声明[7]。
应用
适用性声明用于信息安全管理体系的建立与维护。组织推行ISO/IEC 27001时,它把风险评估、风险处置计划与具体控制连接起来,便于管理层掌握安全投入落在哪些控制上、哪些风险由哪些措施覆盖。因其中列明组织的控制选择与实施细节,该文件通常按保密文件管理,并由管理层或相关权责部门评审批准[7]。
在认证审核中,适用性声明是内部审核、初次认证审核和后续监督审核都会调阅的文件,审核方借此理解组织的安全状况与控制选择逻辑[9]。审核中通常既核对该文件对每项风险与所列控制的对应关系,也核查控制实现情况与实际证据[10]。此外,客户或合作方在了解组织的体系范围时也可能索取该文件[10]。
由于适用性声明以表格逐条列出控制,篇幅比动辄罗列数千项风险的评估报告短得多,便于日常查阅与更新,也便于在安全策略、技术手册等其他文件中引用具体控制[10]。
局限
适用性声明的效力取决于其是否贴合组织实际。从外部模板照搬的声明难以反映真实的风险与控制关系,排除过多控制而缺少充分理由也会削弱其可信度,因此声明需随系统、风险或法规变化定期更新[11]。仅标注适用或不适用而不说明理由,通常不被视为充分[3]。
该文件覆盖的范围也有边界。附录A所列控制并非穷尽,组织可根据自身情况引入来自其他来源的控制,这些控制同样应在声明中列明[10]。同时,声明中的控制选择只是风险处置决策的记录,并不直接证明控制有效;审核方仍需结合日志、扫描报告、培训记录等证据判断实施情况,存在但无法出示的证据通常被视为证据缺失[12]。
在法规与合同约束较强的场景下,某些控制即使从技术角度可被排除,也可能因法律或合同义务而实质上必须实施,声明中的排除理由因此需要兼顾这些外部要求[3]。
参见
-
ISO/IEC 27001 —— 规定信息安全管理体系要求、附录A列出控制清单的国际标准
-
信息安全管理体系 —— 适用性声明所处的体系框架
-
风险评估 —— 确定必要控制并构成声明依据的前置过程
-
ISO/IEC 27002 —— 为附录A各项控制提供实施指导的标准
-
服务等级协议 —— 同样常缩写为SLA的相关服务管理术语
参考资料
- 中华人民共和国国家标准 [引用日期2026-10-29]
- ISO27001信息安全管理体系Annex A控制项详解 [引用日期2026-10-29]
- statement-of-applicability [引用日期2026-10-29]
- 备份不能防止发生可能导致数据丢失的事态（例如，磁盘头碰损或笔记本电脑丢失），但它确实有助于减轻后果 [引用日期2026-10-29]
- ISO27001认证审核中关于“适用性声明”的合理性的探讨-山东世通国际认证有限公司 [引用日期2026-10-29]
- 中华人民共和国国家标准 [引用日期2026-10-29]
- sprinto.com 上的网页 [引用日期2026-10-29]
- ISO27001信息安全管理体系2026年新版解读：企业如何完成新标准认证？ [引用日期2026-10-29]
- Simplify Annex A Control Selection in ISO 27001 [引用日期2026-10-29]
- SOA ISO 27001 - What is it and why does it matter? | 6clicks [引用日期2026-10-29]
- SoA là gì? Cách quản lý Tuyên bố Áp dụng ISO/IEC 27001:2022 [引用日期2026-10-29]
- ISO 27001 Annex A Controls: Enterprise Implementation Guide [引用日期2026-10-29]