虽然适用性声明在ISMS中是至关重要的，并且附于认可的ISMS证书。适用性声明是一项科学态度，昆明亭长朗然科技有限公司信息安全管理顾问专员董志军补充说：针对风险评估结果，制定风险应对措施时，选择哪些控制措施，不选择哪些控制措施，控管结果可能会有差异。从科学角度讲，某些风险没有采取足够的控制措施，也是可以理解和接受的。但是总有人不明白，或者乘机捣乱，比如正好没采取控制措施的风险变成了事实。这时就不能随意说安全管理体系不行，或者安全管理者的水平不够。
从本文中，审计人员将开始确认是否有适当的控制措施部署到位和在运作之中，它的准备工作只能在风险评估计划完成，也就是风险处置计划制定完成时得到进行。
适用性声明是关于ISO 27001的附件A中的哪些控制适用于该组织，哪些不适用的声明。此外，它也可以包含来自其他来源的控制措施。
控制措施和附录A
标准中要求组织从ISO 27001的附件A中选择控制目标和控制项，这些已普遍被认为是一个组织所需要的，对这些控制的选择和排除需要有合理的解释。然而，它明确要求组织要彻底照章进行，并且表明，可以从其他的来源选择额外的控制。
ISO 27002提供了关于标准附件A中所列控制目标和部署的最佳实践。然而，一些组织可能需要做得比ISO 27002规定的要求更多，要多到何种程度，取决于其中技术和威胁的不断演进情况，毕竟ISO 27002的版本已经定稿、发布和更新。
控制
控制是安全漏洞的对策。正式的ISO 27002定义是“一种管理风险的措施，包括政策、程序、指引、实践或组织结构，它可以是一个行政的、技术的，管理的或法律的性质。”控制也用作“保障”或“对策”的代名词。
除了明知接受符合组织风险应对计划中关于风险接受准则要求的风险，以及通过合同或保险的方式转让风险之外，组织可以决定实施控制，以降低或减少风险。
残余风险
对每一项单独的风险提供全面所有的安全并不可能也不现实，但是可以通过将大多数风险控制到一个适当的水平以获得有效的安全，在这个水平管理层可接受剩余的风险。管理部门必须正式接受剩余的风险。
控制目标
从控制目标中选择控制。控制目标是一个组织企图来控制它的一些进程或资产，以及打算通过使用一些控制要达到的目的的声明。一个控制目标可能包含多项控制。
ISO 27001的附件A列出相应的控制目标，并列出要实现每项控制目标必需采用的最小控制措施。组织必须选择它的控制目标，以及选择相应的控制措施并执行，以便使它能够实现确定的目标。
安全事件响应计划
重要的是，在考虑控制时，可能出现的安全事故的检测也需要定义、考虑和计划。标准条文中要求实施控制措施以便“及时发现和响应安全事件”。实际上，在选择附录A所列的独立控制项时，应考虑包括需要搜集和保留哪些证据，控制的实施效果要得到什么样的测量。
关于实施效果的测量，要保证如下两点儿：
1.控制已得到实行，并得到有效地运作
2.如标准所要求的，每项风险都已经被降低到可接受的水平。实施控制过程中的任何错误，或执行过程中的失败，都能够被及时发现和得到及时的纠正，无论是通过自动或手动的方式，都能有效地减少或降低未来可能发生的任何风险到可接受的水平。
总之，SoA是一种科学，对于很多创新科技公司来讲，信息安全管理资源有限，要将资源用在关键的信息资产，比如核心部门和重要系统，列入到ISMS认证的范围之内，并采取尽可能全面综合的风险管控措施。
