Después de leerlo, podrá construir la declaración a partir del tratamiento de riesgos y redactar justificaciones que resistan una auditoría.
Definición
La cláusula 6.1.3 d detalla su contenido: los controles necesarios, el motivo de su inclusión, si están implantados y el motivo de la exclusión de cualquier control del anexo A.
El tratamiento de riesgos decide qué controles son necesarios. Pueden venir del anexo A, de otro marco o de su propio diseño.
Por qué importa
Vincula los riesgos con los controles y muestra qué controles aplica el sistema certificado. Los compradores suelen pedir una copia, y los auditores la usan para decidir qué probar.
Cómo funciona
Parta del plan de tratamiento de riesgos y enumere los controles elegidos. Después repase los 93 controles del anexo A para confirmar que no falta nada necesario.
Para cada control, escriba el motivo de su inclusión o exclusión, su estado de implantación y una referencia al documento o registro que lo demuestra.
Hágala aprobar, mantenga el control de versiones y actualícela cuando cambien los riesgos o los controles.
Un caso práctico
Control 7.10, soportes de almacenamiento. Una empresa sin soportes extraíbles en su alcance lo excluye, explicando que todos los datos permanecen en su plataforma en la nube y que la política de equipos desactiva los puertos USB.
Control 8.13, copias de seguridad de la información. Se incluye para tratar el riesgo de pérdida de datos y está implantado, con una referencia al procedimiento de copias y a la prueba de restauración del 12 de mayo.
Buenas prácticas
- Vincule cada control a un riesgo o a una obligación.
- Remita a la evidencia. Copiarla dentro hace el documento ilegible y lo deja pronto desfasado.
- Actualice la declaración tras cada revisión de riesgos y compruebe a qué versión se refiere el certificado.
Errores frecuentes
- Excluir un control porque resulta incómodo. El motivo debe venir de sus riesgos y de su alcance.
- Rellenarla antes de la evaluación de riesgos, lo que invierte la lógica de la norma.
- Marcarlo todo como implantado. Basta una muestra de tres registros para desmentirlo.
- Escribir «aplicable» como justificación, lo que no explica nada.
Preguntas
- ¿Hay que incluir todos los controles del anexo A?
- No, pero cada uno debe tratarse: incluido con un motivo o excluido con un motivo.
- ¿Es pública la declaración de aplicabilidad?
- No tiene por qué. Las empresas suelen compartirla con los compradores bajo un acuerdo de confidencialidad.
- ¿Puede contener controles ajenos al anexo A?
- Sí. La cláusula 6.1.3 admite controles de cualquier fuente, y se enumeran junto a los demás.
- ¿Quién aprueba la declaración de aplicabilidad?
- La norma exige que se elabore sin designar a quién la aprueba. Lo habitual es que la aprueben el responsable de seguridad y la dirección.
- ¿En qué se diferencia de un plan de tratamiento de riesgos?
- El plan dice cómo se tratarán los riesgos, quién lo hará y para cuándo. La declaración da la posición sobre cada control.