У багатьох компаніях створення Системи менеджменту інформаційної безпеки (СМІБ) зводиться до набору політик та кількох базових процедур — наприклад, “Політика інформаційної безпеки”, “Політика паролів” та “Методика проведення внутрішнього аудиту”. Це створює ілюзію впровадження системи. Проте без Statement of Applicability (SoA) — система нежиттєздатна.
SoA — не просто документ. Це наріжний камінь СМІБ, який:
- визначає, які саме контролі з Додатку A ISO/IEC 27001:2022 застосовуються в компанії;
- пояснює, чому деякі контролі не застосовуються;
- вказує, як реалізовано застосовані контролі;
- прив’язує відповідальність до конкретних осіб або ролей;
- є засобом перевірки для аудиторів, замовників, партнерів і самої організації.
📌 Важливо: Додаток A не є рекомендаційним — він обов’язковий до розгляду. Ваша організація має пройтись по кожному з 93 контролів і дати чітку відповідь щодо застосовності кожного з них.
Що містить SoA і скільки контролів?
Згідно з ISO/IEC 27001:2022, Додаток A містить 93 контролі, згруповані у 4 категорії:
- Організаційні заходи (37)
- Заходи, пов’язані з людьми (8)
- Фізичні заходи (14)
- Технологічні заходи (34)
У SoA компанія повинна вказати всі 93 контролі — незалежно від того, чи застосовуються вони, — і надати обґрунтування для кожного, якщо певні не застосовуються.
Як виглядає реальний SoA? — приклад фрагмента
№ | Контроль (з Додатку A) | Застосовується? | Обґрунтування | Як реалізовано | Відповідальний |
| A.5.11 | Політика прийнятного використання | ✅ | Компанія надає обладнання та канали зв’язку працівникам | СМІБ-П-02 «Політика прийнятного використання активів», доведена до всіх співробітників, включена до вступного інструктажу | Відповідальний за інформаційну безпеку (VIB) |
| A.7.4 | Розділення обов’язків | ❌ | Усі ІТ-операції виконує одна особа, ризик визнано прийнятним | Немає потреби, процеси ручні та не автоматизовані | — |
| A.8.9 | Безпечне знищення носіїв | ✅ | У компанії використовуються флеш-накопичувачі, диски, офісне обладнання | СМІБ-П-11 «Політика безпечної утилізації інформаційних носіїв та обладнання» + форма акту утилізації | Системний адміністратор |
| A.5.23 | Контроль змін | ✅ | В компанії часто оновлюються CRM, ERP | СМІБ-П-16 «Політика управління конфігураціями», журнал змін ведеться | Керівник ІТ-відділу |
Чому без SoA — СМІБ не працює
- Немає основи для перевірки
Аудитор не може підтвердити, що компанія врахувала всі потенційні ризики і впровадила відповідні заходи.
- Немає обґрунтування
Якщо контроль відсутній — чому? Відповідь “нам не потрібно” без аналізу ризиків — неприйнятна.
- Немає прозорості
Замовник не бачить, чи справді компанія управляє інформаційною безпекою, чи просто має формальні документи.
- Немає управління відповідальністю
SoA прив’язує контролі до конкретних осіб. Це забезпечує виконання, контроль і подальший моніторинг.
⚠️ Поширена помилка: “у нас уже є політики — значить, є система”
Так, політики — важливі. Але без SoA ви:
- не визначили, чи охоплюють ці політики всі сфери;
- не обґрунтували, що не використовується;
- не зафіксували, хто і як це виконує.
- не побачили, яких документів бракує.
🧩 SoA — це не ще один документ. Це — мапа контролю інформаційної безпеки в реальності.
Як впровадити SoA у вашій компанії
- 📋 Перевірте всі 93 контролі з Додатку A
Вивчіть кожен контроль з A.5–A.18, не пропускаючи жодного.
- ✅ Визначте, які контролі застосовні — і чому
Якщо контроль не застосовується — поясніть це обґрунтовано (наприклад, компанія не зберігає конфіденційних даних на паперових носіях).
- 📎 Прив’яжіть кожен контроль до чинної політики, методики чи запису
Наприклад, контроль A.5.17 має бути реалізований через Політику управління конфігураціями (СМІБ-П-16). Якщо документа не існує — його слід створити.
- 👤 Призначте відповідального за кожен контроль
Це може бути VIB, ІТ-відділ, керівник напрямку тощо. Без відповідального контроль — мертвий.
- 🔁 Регулярно оновлюйте SoA
Після змін у процесах, технологіях або після аудиту. SoA — це “живий” документ, що розвивається разом із компанією.
Під час складання SoA швидко виявляються “білі плями” — відсутність політик, записів або відповідальних. Усунення цих прогалин — запорука реальної, а не фіктивної, СМІБ.
Саме SoA допомагає зібрати все докупи: контролі, документи і тих, хто має їх реалізовувати. Це не додаток до СМІБ — це її “скелет”, без якого система не тримається.
