Declaración de aplicabilidad ISO 27001: qué es y cómo prepararla correctamente
Una empresa está preparando su certificación ISO 27001. Ya ha identificado sus activos de información, ha evaluado los riesgos y ha empezado a implantar medidas de seguridad. Sin embargo, cuando llega el momento de preparar la declaración de aplicabilidad, aparecen las dudas: ¿hay que incluir todos los controles?, ¿cuáles pueden excluirse?, ¿cómo se justifica cada decisión?
La declaración de aplicabilidad ISO 27001, conocida también como SoA por sus siglas en inglés, es uno de los documentos que permiten entender qué controles de seguridad necesita una organización y por qué los ha seleccionado.
En Audita T, somos expertos en certificaciones, ayudamos a las empresas a implantar y revisar sistemas de gestión de seguridad de la información. Preparar correctamente este documento requiere conocer la actividad, los riesgos identificados y las medidas que ya están funcionando. Copiar una declaración de otra empresa suele generar más problemas que soluciones.
Qué es la declaración de aplicabilidad en ISO 27001
La declaración de aplicabilidad es un documento del Sistema de Gestión de Seguridad de la Información (SGSI) que identifica los controles necesarios para tratar los riesgos y explica su situación dentro de la organización.
El apartado 6.1.3 de ISO/IEC 27001:2022 exige elaborar esta declaración, incluyendo los controles necesarios, la justificación de su inclusión, si están implantados y las razones para excluir los controles del Anexo A que no resulten aplicables.
Su función es dejar constancia de las decisiones tomadas sobre los controles de seguridad. También permite comprobar si existe coherencia entre los riesgos detectados, las medidas previstas y lo que realmente se ha implantado.
Qué relación tiene con el análisis de riesgos
Antes de preparar la SoA, la empresa necesita identificar los riesgos que afectan a la información incluida en el alcance del sistema. Para ello debe conocer qué información maneja, dónde se encuentra, quién puede acceder a ella y qué consecuencias tendría una pérdida de confidencialidad, integridad o disponibilidad.
Imagina una asesoría que almacena documentación de clientes en una plataforma en la nube. Entre sus riesgos pueden encontrarse accesos indebidos, eliminación accidental de archivos o interrupciones del servicio. Las medidas seleccionadas deben responder a los riesgos identificados y a otros requisitos aplicables.
El análisis de riesgos orienta las decisiones, mientras que la declaración recoge los controles necesarios y su justificación. Ambos documentos deben mantener una relación coherente.
Cuántos controles incluye ISO 27001:2022
El Anexo A de ISO/IEC 27001:2022 contiene 93 controles de referencia, organizados en cuatro grupos: organizativos, de personas, físicos y tecnológicos.
Los controles abarcan cuestiones como políticas de seguridad, gestión de accesos, relaciones con proveedores, protección de instalaciones, copias de seguridad o respuesta ante incidentes.
Conviene aclarar algo: tener 93 controles en el Anexo A no significa que todos deban implantarse obligatoriamente. La organización debe determinar cuáles son necesarios y justificar las exclusiones de los que no correspondan.
Además, el Anexo A funciona como referencia para comprobar que no se han pasado por alto controles necesarios. La empresa puede necesitar otros controles adicionales que no aparezcan expresamente en esa relación.
Cómo preparar una declaración de aplicabilidad ISO 27001
1. Comprueba el alcance del sistema
El primer paso consiste en revisar qué actividades, instalaciones, procesos y activos de información forman parte del SGSI. Si el alcance está mal definido, será difícil decidir qué controles corresponden.
Una empresa con servidores propios tendrá necesidades distintas a otra que utiliza exclusivamente servicios en la nube. Los controles deben responder a las características de la organización, aunque ambas desarrollen una actividad parecida.
2. Identifica los controles necesarios
Con el análisis y tratamiento de riesgos preparados, toca determinar qué medidas son necesarias. Después hay que compararlas con el Anexo A para comprobar que no se ha omitido ningún control pertinente.
En esta fase también deben considerarse obligaciones legales, compromisos contractuales y necesidades de seguridad derivadas de la actividad. La selección no puede depender únicamente de las preferencias del responsable informático.
3. Justifica inclusiones y exclusiones
Una declaración debe explicar por qué se considera necesario cada control incluido. También debe recoger las razones por las que se excluyen los controles del Anexo A que no sean aplicables.
Por ejemplo, si una empresa no desarrolla software, puede que determinados controles relacionados específicamente con el desarrollo seguro no correspondan a su actividad. Sin embargo, la exclusión necesita una justificación basada en las circunstancias de la empresa.
Es importante no confundir un control que no resulta aplicable con otro que sí es necesario, pero todavía no se ha implantado. Son situaciones diferentes y deben reflejarse correctamente.
4. Indica el estado de implantación
La SoA debe mostrar si los controles necesarios están implantados. Durante un proyecto de implantación puede haber medidas pendientes o parcialmente desarrolladas, por lo que conviene mantener esta información actualizada.
Si se indica que existe un procedimiento de gestión de accesos, debería poder comprobarse cómo se aplica. La declaración tiene que coincidir con las medidas que utiliza la empresa, no con las que espera tener en el futuro.
Ejemplo de declaración de aplicabilidad
Supongamos que una empresa de servicios tecnológicos permite a sus trabajadores conectarse de forma remota. Durante el análisis identifica riesgos relacionados con accesos no autorizados y pérdida de dispositivos.
La declaración podría incluir controles de gestión de identidades, autenticación, dispositivos de usuario y trabajo remoto. Para cada uno se documentaría su necesidad, el estado de implantación y, cuando corresponda, las referencias a procedimientos o registros. El objetivo es poder seguir el razonamiento que llevó a seleccionar cada medida.
No hace falta redactar páginas enteras para justificar un control. Una explicación breve y concreta suele resultar más útil que una descripción extensa que no aporta información.
Errores frecuentes al preparar la SoA
Uno de los errores más habituales es utilizar una plantilla descargada y marcar todos los controles como aplicables sin revisar la actividad. También ocurre lo contrario: excluir medidas porque parecen complicadas o costosas, sin analizar si son necesarias.
Otro problema aparece cuando la declaración no coincide con el análisis de riesgos. Puede haberse identificado una amenaza importante y, sin embargo, no existir una explicación clara de cómo se ha decidido tratarla.
También conviene evitar que el documento quede olvidado después de la certificación. Una SoA desactualizada puede dejar de representar los controles que necesita la organización.
Si quieres ampliar información sobre la estructura de los controles, en nuestro blog explicamos los cambios introducidos en ISO 27002:2022 y su relación con la gestión de la seguridad de la información.
¿Cuándo hay que actualizar la declaración de aplicabilidad?
La declaración debe revisarse cuando cambian las circunstancias que justificaron la selección de controles. Puede ocurrir al incorporar nuevas tecnologías, modificar procesos, contratar proveedores o identificar riesgos que antes no se habían considerado.
Imagina que una empresa comienza a utilizar una plataforma externa para almacenar información confidencial. Ese cambio puede afectar al análisis de riesgos y a los controles relacionados con proveedores, accesos y protección de datos.
También las auditorías internas pueden detectar diferencias entre la documentación y las prácticas actuales. Actualizar la SoA permite mantener alineadas las decisiones de seguridad y su aplicación.
Cómo preparar la declaración antes de una auditoría ISO 27001
Durante una auditoría, el profesional puede revisar la declaración de aplicabilidad y solicitar evidencias de los controles seleccionados. También comprobará si las exclusiones están justificadas y si las decisiones guardan relación con el tratamiento de riesgos.
Por eso conviene revisar el documento con tiempo, comprobar su versión y verificar que las personas responsables conocen los controles que les afectan. Una declaración bien preparada facilita explicar cómo gestiona la empresa sus riesgos de seguridad.
En Audita T ofrecemos consultoría de Seguridad de la información ISO 27001 para ayudar a las organizaciones a implantar y mantener su sistema de gestión.
Si estás preparando tu primera declaración de aplicabilidad o necesitas revisar la que ya utiliza tu empresa, puedes consultarnos mediante nuestro formulario de contacto. Revisar el análisis de riesgos y las decisiones sobre controles es un buen punto de partida para preparar el sistema antes de la auditoría de certificación.
