ISO27001适用性声明（SOA）
目的
为描述与组织的信息安全管理体系相关的和适用的控制目标和控制措施的文档，制定此文件。
范围
本文件适用于公司ISMS覆盖范围内的所有员工和所有活动。
适用性声明
条款
目标
控制措施
是否选择/及理由
A.5 安全方针
A.5.1 信息安全方针
A.5.1.1
信息安全方针文件
依据业务要求和相关法律法规提供管理指导并支持信息安全。
信息安全方针文件应由管理者批准、发布并传达给所有员工和外部相关方。
选择
信息安全工作要求所确定，见《信息安全管理体系方针》。
A.5.1.2
信息安全方针的评审
应按计划的时间间隔或当重大变化发生时进行信息安全方针评审，以确保它持续的适宜性、充分性和有效性。
选择
信息安全工作要求所确定，见《信息安全管理体系方针》。
A.6信息安全组织
A.6.1内部组织
A.6.1.1
信息安全的管理承诺
在组织内管理信息安全。
管理者应通过清晰的说明、可证实的承诺、明确的信息安全职责分配及确认，来积极支持组织内的安全。
选择
？？？？
A.6.1.2
信息安全协调
信息安全活动应由来自组织不同部门并具备相关角色和工作职责的代表进行协调。
选择，风险评估结果所确定，见《信息安全管理体系方针》。
A.6.1.3
信息安全职责的分配
所有的信息安全职责应予以清晰地定义。
选择，？？，见《信息安全岗位职责描述》。
A.6.1.4
信息处理设施的授权过程
新信息处理设施应定义和实施一个管理授权过程。
选择，（写进信息安全策略）
A.6.1.5
保密性协议
应识别并定期评审反映组织信息保护需要的保密性或不泄露协议的要求。
选择，满足客户合同和公司的要求，见《保密制度》。
A.6.1.6
与政府部门的联系
应保持与政府相关部门的适当联系。
选择，？？，见《对外联络表》。
A.6.1.7
与特定权益团体的联系
应保持与特定权益团体、其他安全专家组和专业协会的适当联系。
选择，获取欧亿·体育（中国）有限公司信息，见《对外联络表》。
A.6.1.8
信息安全的独立评审
组织管理信息安全的方法及其实施（例如信息安全的控制目标、控制措施、策略、过程和程序）应按计划的时间间隔进行独立评审，当安全实施发生重大变化时，也要进行独立评审。
选择，根据业务需要适时进行安全机构的第三方独立评审，见《信息安全策略》。
A.6.2外部各方
A.6.2.1
与外部各方相关风险的识别
保持组织的被外部各方访问、处理、管理或与外部进行通信的信息和信息处理设施的安全。
应识别涉及外部各方业务过程中组织的信息和信息处理设施的风险，并在允许访问前实施适当的控制措施。
选择，，见《信息安全策略》。
A.6.2.2
处理与顾客有关的安全问题
应在允许顾客访问组织信息或资产之前处理所有确定的安全要求。
选择，，见《信息安全策略》。
A.6.2.3
处理第三方协议中的安全问题
涉及访问、处理或管理组织的信息或信息处理设施以及与之通信的第三方协议，或在信息处理设施中增加产品或服务的第三方协议，应涵盖所有相关的安全要求。
选择，，见《信息安全策略》。
A.7资产管理
A.7.1资产责任
实现和保持对组织资产的适当保护。
A.7.1.1
资产清单
应清晰的识别所有资产，编制并维护所有重要资产的清单。
选择，，见《重要信息资产清单》。
A.7.1.2
资产责任人
与信息处理设施有关的所有信息和资产应由组织的指定部门或人员承担责任。
选择，，见《重要信息资产清单》。
A.7.1.3
资产的允许使用
与信息处理设施有关的信息和资产使用允许规则应被确定、形成文件并加以实施。
选择，，见《管理手册》。
A.7.2信息分类
A.7.2.1
分类指南
确保信息受到适当级别的保护。
信息应按照它对组织的价值、法律要求、敏感性和关键性予以分类。
选择，，见《重要信息资产清单》见《风险评估》。
A.7.2.2
信息的标记和处理
应按照组织所采纳的分类机制建立和实施一组合适的信息标记