Qué tener en cuenta
- Las cuestiones externas e internas (cláusula 4.1).
- Los requisitos de las partes interesadas (cláusula 4.2).
- Las interfaces y dependencias con actividades que realizan otros, como los proveedores de nube.
Cómo redactarlo
- Parta de lo que los clientes o los reguladores necesitan ver cubierto.
- Nombre las actividades, productos y servicios.
- Nombre las sedes, equipos y sistemas.
- Diga qué queda fuera y cómo se protegen las interfaces.
- Manténgalo lo bastante breve para que figure en el certificado.
Elegir la amplitud
Un alcance estrecho se certifica antes, pero puede no responder a lo que piden los clientes. Uno amplio da más garantía y cuesta más. Un alcance limitado a un producto o servicio se acepta si sus límites son claros y los controles lo protegen.
Errores frecuentes
- Excluir un proveedor o un equipo sin el que el servicio no funciona, e ignorar la interfaz.
- Un alcance que no coincide con lo que ventas dice a los clientes.
- Un alcance sin actualizar tras una mudanza, una adquisición o un producto nuevo.
Preguntas
- ¿Puede un SGSI cubrir solo una parte de la empresa?
- Sí, siempre que los límites, las interfaces y las dependencias estén definidos y los controles protejan lo que está dentro del alcance.
- ¿Figura el alcance en el certificado?
- Sí, una declaración del alcance figura en el certificado, para que los clientes comprueben que cubre el servicio que compran.