SoA 为什么必查
适用性声明（Statement of Applicability，SoA）逐项列出附件 A 控制措施的适用性、不适用理由与实施状态。它是风险处置结果与体系范围之间的连接文件：风险处置决定了选哪些控制，SoA 则说明选了哪些、为什么不要剩下的那些。认证审核通常以 SoA 作为抽样与访谈的入口，所以它的质量直接影响审核体验。
基本信息
| 定位 | 风险处置与体系范围的连接文件 |
|---|---|
| 依据 | ISO/IEC 27001:2022 第 6.1.3 d 条与附录 A |
| 必备内容 | 控制编号、名称、是否适用、理由、实施状态与说明 |
| 维护字段 | 责任部门、相关制度或记录、上次复核日期 |
| 审核用法 | 抽样入口：从 SoA 挑控制，再倒查实施证据 |
典型使用场景
- 体系文件编制：先定范围与风险处置，再据此填写 SoA
- 认证审核：作为抽样与访谈的索引清单
- 新增控制评估：云服务、数据脱敏等新增控制判断适用性
- 年度复核：核对实施状态与责任部门是否仍然准确
- 内部审核：按编号抽查实施证据是否配套
SoA 表结构示例
SoA 表结构示例
控制编号 | 控制名称 | 是否适用 | 不适用理由 | 实施状态
实施说明 | 责任部门 | 相关制度或记录 | 上次复核日期
示例：A.8.24 | 密钥管理 | 适用 | - | 已实施
实施说明：密钥统一由 KMS 托管，轮换周期 12 个月
责任部门：信息安全部 | 记录：密钥台账 | 复核：2026-03-15填写检查要点
填写检查要点
1 不适用的必须写清理由，理由要与业务实际相符
2 实施状态分为已实施、部分实施、未实施并说明计划
3 实施说明要指向可调取的制度或记录，而不是空泛描述
4 责任部门与复核日期要维护，避免长期不更新
5 与风险处置表相互对应，两份文件不得互相矛盾抽样预演很有效：审核前按控制编号随机抽取若干条，核对实施说明与对应证据能否配套拿出。常见失分点是「全部适用」却拿不出实施证据。