¿Qué es la declaración de aplicabilidad en la ISO 27001?

Es el documento que enumera cada control de referencia del anexo de la norma e indica, para cada uno, si lo aplica, por qué y cómo está implantado. La declaración de aplicabilidad (SoA) une su evaluación de riesgos con sus controles: un control se incluye porque trata un riesgo identificado o cumple una obligación legal o contractual, y solo se excluye con un motivo explícito, por ejemplo porque no tiene instalaciones propias. Los auditores la usan como mapa de su SGSI y prueban los controles que declara; los clientes a veces la piden para entender qué cubre de verdad su certificado. Manténgala breve y objetiva, indique la prueba de cada control implantado y actualícela cuando cambien sus riesgos o su entorno. Una buena entrada sobre vigilancia nombra la herramienta, los sistemas cubiertos, quién revisa los resultados y dónde se guardan los registros. Si NetSenX forma parte de su vigilancia, su mapa de red, su historial de alertas y su registro de auditoría pueden citarse como pruebas; la declaración en sí es documento suyo.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas