Hvad er omfattet af et typisk omfang og erklæring om anvendelighed i forbindelse med et ISMS?
What is included in a typical ISMS scope and statement of applicability?
En typisk erklæring om omfanget af en ISMS-certificering omfatter aktiviteter i forbindelse med levering af produkter og tjenester. Det behøver ikke at omfatte interne aktiviteter eller ISMS-processer. Formålet er at sikre læseren, at de oplysninger, der gives ved modtagelse af produktet eller tjenesten, er beskyttet.
Erklæringen om anvendelighed henviser til listen over valgte kontroller. Den indeholder ikke nærmere oplysninger om disse kontroller, men en sporbar henvisning til en kontrolerklæring, der blev anvendt som grundlag for den seneste ISO 27001-revision. Nogle gange har organisationer en offentlig udgave, der kan deles, og som blot indeholder en liste over de kontroller, der er valgt i ISO 27001-bilaget, men dette er ikke et obligatorisk krav.
A typical ISMS certificate scope statement includes activities relating to the delivery of products and services. It does not need to include internal activities or ISMS processes. The aim is to assure the reader that the information provided when receiving the product or service is protected.
The statement of applicability refers to the list of selected controls. It does not provide details of those controls but a traceable reference to a control statement used as the basis of the last ISO 27001 audit. Sometimes organisations have a sharable public version that simply lists the controls selected from ISO 27001 Annex A, but this is not a mandatory requirement.