Qu’est-ce que la SoA, ou déclaration d’applicabilité ?
La déclaration d’applicabilité (SoA, pour Statement of Applicability) de la norme ISO 27001 sur les systèmes de management de la sécurité de l’information (SMSI) est le document qui recense l’ensemble des mesures de sécurité de l’information de l’annexe A de la norme. Dans l’édition en vigueur, ISO/IEC 27001:2022, il y en a 93, réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Vous pouvez les consulter une par une dans notre article sur les mesures de l’ISO 27001.
L’organisation y indique pour chaque mesure si elle s’applique ou non, avec les raisons et son état de mise en œuvre. C’est une exigence du 6.1.3 de la norme : la SoA doit contenir les mesures nécessaires, la justification de leur inclusion, leur mise en œuvre ou non et la justification des exclusions.
L’annexe A sert de référence pour mettre en place les mesures de protection de l’information, mais l’organisation peut ajouter des mesures issues d’autres sources si elle en a besoin, et la SoA doit aussi les reprendre.
Si votre SoA suit encore la version de 2013 (114 mesures réparties en 14 domaines), il faut la refaire : la période de transition s’est terminée le 31 octobre 2025 et les certificats fondés sur l’ancienne version ne sont plus valables.
Voici à quoi peut ressembler une partie de la SoA avec des mesures de l'annexe A de l'ISO/IEC 27001:2022. Chaque ligne répond aux quatre questions vérifiées en audit : la mesure s'applique-t-elle, pourquoi, où en est-elle et où se trouve la preuve.
À quel moment de la mise en place du SMSI élabore-t-on la SoA ?
Une fois l’analyse et l’évaluation des risques réalisées, l’organisation doit choisir les options de traitement des risques et appliquer les mesures de sécurité qui permettront de les réduire. C’est généralement à ce stade qu’on élabore la SoA, où sont consignées les mesures de sécurité applicables.
Exemple : si l’appréciation des risques fait apparaître le besoin d’une mesure contre les logiciels malveillants (la 8.7 de l’annexe A), on définit un plan de traitement qui comprend l’achat, la configuration et l’installation d’un antivirus, les dates de déploiement, l’affectation des ressources, etc. Une fois la mesure en place, on consigne dans la déclaration d’applicabilité la justification de sa mise en œuvre et les références aux procédures ou aux mesures techniques déployées.
Caractéristiques de la SoA
La SoA peut prendre la forme que l’organisation juge la plus pratique. Ce qui compte, c’est son contenu, qui comprend en général :
- les mesures de la norme,
- leur applicabilité et sa justification,
- leur état de mise en œuvre,
- la documentation associée (procédures, preuves, etc.),
- toute autre donnée qu’il paraît nécessaire de consigner.
Importance et avantages de la SoA
- La SoA assure la traçabilité entre les mesures de la norme et ce que fait réellement l’organisation. Elle donne une vue d’ensemble de ce qui est fait pour protéger l’information et aide à identifier, organiser et consigner les mesures de sécurité en place.
- Elle permet de justifier l’inclusion ou l’exclusion de chaque mesure, ce que ne fait pas le rapport d’appréciation des risques.
- Les organisations qui mettent en place un système de management de la sécurité de l’information (SMSI) et veulent obtenir la certification ISO 27001 doivent obligatoirement disposer d’une SoA.
- Comme elle documente chaque mesure applicable et indique si elle est mise en œuvre, elle devient le guide principal des auditeurs internes et externes. En général, l’auditeur part de la déclaration d’applicabilité pour conduire l’audit et vérifier que ce qui est documenté est bien appliqué.
Revue et mise à jour
- La SoA est un document vivant. Elle doit être revue et approuvée par la plus haute autorité en matière de sécurité de l’organisation, et mise à jour dès qu’une des situations suivantes oblige à appliquer de nouvelles mesures ou à revoir celles déjà en place :
- De nouvelles informations, produites en interne, transmises par des tiers (clients, fournisseurs, etc.) ou liées à la conformité légale ou réglementaire.
- L’acquisition ou le remplacement d’actifs qui contiennent ou traitent de l’information (appareils mobiles, logiciels, fournisseurs, nouvelles technologies de communication, etc.), susceptibles de faire apparaître de nouvelles menaces et vulnérabilités.
- Des changements organisationnels ou opérationnels qui modifient la gestion de l’information.
- Des changements dans le contexte ou dans les besoins et exigences des parties intéressées : exigences contractuelles ou clauses de confidentialité, nouvelles lois ou réglementations, ouverture de nouveaux marchés, nouvelles cybermenaces, etc.
Il faut tenir un historique des versions de la déclaration d’applicabilité, en consignant les modifications apportées.
Chez GlobalSuite Solutions, nous vous accompagnons et vous conseillons dans la mise en place de votre système de management de la sécurité de l’information (SMSI).
Nous disposons aussi du logiciel GlobalSuite®, entièrement développé par nos équipes, qui permet de mettre en œuvre, de gérer et de maintenir toutes les exigences de la norme ISO 27001 dans tout type d’organisation et de secteur.
