La Declaración de Aplicabilidad, conocida como SoA por sus siglas en inglés, es probablemente el documento más revisado en una auditoría de ISO 27001. En una sola tabla muestra qué controles de seguridad decidió aplicar la organización y por qué.
Qué exige la norma
La declaración debe contener:
- Los controles necesarios para tratar los riesgos.
- La justificación de su inclusión.
- Si están implementados o no.
- La justificación de la exclusión de cualquier control del Anexo A.
El Anexo A en su versión 2022
La versión vigente de la norma agrupa 93 controles en cuatro temas:
- Controles organizacionales (37).
- Controles de personas (8).
- Controles físicos (14).
- Controles tecnológicos (34).
El Anexo A es una lista de referencia para comprobar que no se omitió nada. La organización puede añadir controles propios si sus riesgos lo requieren.
Cómo elaborarla
- Liste los 93 controles en una tabla.
- Marque cuáles aplican, partiendo del plan de tratamiento de riesgos.
- Justifique cada inclusión: por un riesgo identificado, un requisito legal, una exigencia contractual o una buena práctica adoptada.
- Justifique cada exclusión con una razón real.
- Indique el estado de implementación y dónde está la evidencia: política, procedimiento o registro.
- Hágala aprobar por la dirección.
Exclusiones válidas y no válidas
Válida: "No aplica el control de desarrollo de software subcontratado porque la organización no desarrolla ni encarga desarrollo de software".
No válida: "No aplica por falta de presupuesto" o "no aplica porque es muy complejo". Si existe el riesgo, el control aplica; lo que se puede hacer es planificar su implementación.
Errores que detectan los auditores
- Controles marcados como implementados sin evidencia.
- Controles incluidos sin ningún vínculo con el análisis de riesgos.
- Exclusiones sin justificar.
- Una SoA que no se actualizó después de cambios en el alcance o en los riesgos.
- Una SoA basada todavía en la estructura de la versión anterior de la norma.
Un documento vivo
La SoA se revisa cada vez que se actualiza el análisis de riesgos. Lleve control de versiones: el certificado suele hacer referencia a una versión específica de la declaración.
La SoA es también una excelente herramienta de gestión: muestra de un vistazo el estado de la seguridad de la organización y lo que falta por hacer.
Elaboramos la Declaración de Aplicabilidad como parte de nuestra implementación de ISO 27001. Lea también la guía sobre los controles del Anexo A.
