Entre los documentos que exige la ISO 27001, la Declaración de Aplicabilidad (SoA, por sus siglas en inglés) es el que más miradas atrae en una auditoría. Es obligatoria para certificarse, y es el documento que mejor demuestra si el sistema de gestión está construido sobre riesgos reales o sobre plantillas.
¿Qué es la SoA?
Es el documento donde recoges, de entre los controles del Anexo A, cuáles aplicas, cuáles excluyes y por qué. Es el puente entre tu análisis de riesgos y las medidas de seguridad que realmente has implantado. Un auditor puede entender en pocos minutos cómo funciona tu sistema con solo leerla.
Qué debe incluir
- La lista completa de controles del Anexo A (93 en la versión 2022).
- Si cada control es aplicable o no, con la justificación de su inclusión o exclusión.
- El estado de implantación de cada control aplicable.
- La referencia a la política, procedimiento o evidencia que lo desarrolla.
Cómo elaborarla paso a paso
- Realiza el análisis de riesgos: identifica activos, amenazas y vulnerabilidades, y valora el riesgo de cada escenario.
- Define el plan de tratamiento: decide cómo vas a reducir, aceptar, transferir o evitar cada riesgo.
- Determina los controles necesarios: los que de verdad necesitas para tratar esos riesgos.
- Contrástalos con el Anexo A: así no te dejas ninguno y puedes justificar los que descartas.
- Documenta y aprueba: la dirección debe revisar y aprobar la SoA, y mantenerla actualizada.
Ejemplo de justificación
Una empresa que no desarrolla software propio puede excluir el control de codificación segura, indicando que no realiza desarrollo interno. En cambio, no tendría sentido excluir el control de copias de seguridad alegando que «ya hay una persona que se ocupa»: las exclusiones se justifican por la ausencia de riesgo, no por costumbre.
Errores habituales
- Copiar la SoA de otra empresa: los controles aplicables dependen de tu actividad real y el auditor lo detecta enseguida en la Fase 2, sobre el terreno.
- Excluir controles sin justificación o con motivos genéricos.
- Marcar como implantados controles que no funcionan en la práctica.
- No actualizarla cuando cambian los riesgos, los sistemas o los proveedores.
Qué mira el auditor
En la Fase 1 revisa que la SoA exista, que esté aprobada, que cubra todos los controles del Anexo A y que las exclusiones tengan una justificación razonable. En la Fase 2 va más allá: selecciona controles que figuran como implantados y pide ver la evidencia en la práctica, desde registros de acceso hasta actas de revisión. Si lo que dice la SoA no coincide con lo que ve, la discrepancia se convierte en una no conformidad.
Relación con el plan de tratamiento de riesgos
La SoA y el plan de tratamiento de riesgos son documentos distintos, pero deben ser coherentes. Cada riesgo que decides reducir debe estar vinculado a uno o varios controles, y cada control marcado como aplicable debería responder a algún riesgo o requisito legal o contractual. Si tienes controles aplicables que no tratan ningún riesgo, o riesgos sin control asociado, es una señal de que hay que revisar el análisis.
La SoA como documento vivo
No es un trámite que se redacta una vez para la auditoría. Debe revisarse cada vez que haya cambios relevantes: un nuevo proveedor cloud, una ampliación del alcance, un incidente significativo. En las auditorías de seguimiento se comprueba que sigue reflejando la realidad.
Todo el proceso de certificación está resumido en nuestra página de certificación ISO 27001.
Preguntas frecuentes
¿Qué es la Declaración de Aplicabilidad (SoA)?
Es el documento donde recoges qué controles del Anexo A aplicas, cuáles excluyes y por qué. Conecta el análisis de riesgos con las medidas realmente implantadas.
¿Es obligatoria para certificarse en ISO 27001?
Sí, es un documento obligatorio para la certificación.
¿Qué debe incluir la SoA?
La lista completa de controles del Anexo A, si cada uno es aplicable o no con su justificación, el estado de implantación y la referencia a la política o evidencia que lo desarrolla.
¿Cada cuánto hay que actualizarla?
Siempre que cambien los riesgos, los sistemas o los proveedores, y se revisa en las auditorías de seguimiento.
¿Necesitas ayuda con tu certificación? En MBV Calidad te acompañamos desde el diagnóstico hasta la auditoría. Solicita presupuesto sin compromiso.