Declaración de alcance ISO 27001… suena mucho más grande de lo que es. En realidad, crear una es bastante sencillo. En esta guía de declaración de alcance, le contamos el qué, el cómo y el por qué de escribir una declaración de alcance ISO 27001.
Hemos añadido algunos ejemplos, una plantilla descargable y un vídeo súper chulo e informativo protagonizado por nuestra propia innovadora en cumplimiento, Mari E. Curiosa.
¿Qué más se puede pedir?
¿Por qué necesita una declaración de alcance?
En su artículo ‘Certificación ISO IEC 27001‘, TUV afirma que las organizaciones implementan un SGSI para:
“Proteger los datos que son cruciales para el negocio, mitigar el riesgo y garantizar operaciones estables, proporcionar confianza a las partes interesadas y a los clientes.”
La declaración del alcance de la norma ISO 27001 es un compromiso y un reflejo de esta ambición. Además, no sólo es la única pieza obligatoria de información que debe proporcionar dentro del segmento de alcance de la norma, sino también la más importante.
Según Best Practice Biz, ‘El concepto detrás de la declaración de alcance es permitirle entender lo siguiente:
- Leyes y reglamentos que debes cumplir
- Interfaces y dependencias que tienes con otros modelos
- Cuestiones internas y externas relevantes para la seguridad de la información de su SGSI
- Procesos y controles de seguridad necesarios para el funcionamiento de su negocio’
La declaración de alcance de la norma ISO 27001 define:
- Lo que hace su empresa.
- Qué información importante cubre el SGSI.
- Por qué la seguridad es importante para su organización.
- Qué partes de su empresa están certificadas.
Es lo que aparece en tu certificado ISO 27001 para que lo vea todo el mundo (bueno, no todo el mundo, pero ya nos entiendes).
En resumen, es lo que les importa a tus clientes cuando se trata de seguridad.
¿Cuál es el alcance de la norma ISO 27001?
El alcance de la ISO 27001 define todo lo que está protegido por su SGSI, desde los datos hasta los productos, desde los procesos hasta los servicios, desde los sistemas hasta las geografías. También define todo lo que no está protegido.
Con el fin de compilar correctamente el alcance de su organización, debe determinar los límites y la aplicabilidad del SGSI.
Esto significa examinar las cuestiones externas e internas que encontrará definidas en la cláusula 4.1 de la norma ISO 27001, comprender las necesidades y expectativas de las partes interesadas (4.2), y determinar los vínculos entre las actividades realizadas por su organización y las organizaciones externas.
Examinar y comprender qué partes de la empresa están involucradas en la creación, acceso o procesamiento de sus valiosos activos de información, y llevar a cabo una evaluación de riesgos le mantendrá en el buen camino al definir el alcance de su SGSI.
¿Por qué es tan importante definir el alcance de su ISO 27001?
Lo que entre en su alcance debe estar cubierto por su SGSI; lo que esté fuera del alcance no tiene por qué estar cubierto por su SGSI.
Así que, si dejas algo fuera del alcance que debería haber estado en el alcance, podrías terminar con algunos problemas de seguridad no deseados, datos desprotegidos y clientes y/o partes interesadas insatisfechos.
Si pones algo en el alcance que no necesita estar allí, sólo estás haciendo más trabajo para tu equipo y potencialmente gastando dinero que realmente no necesitas. Además, un alcance demasiado amplio no es ágil en términos de permitir cambios en tecnologías y características.
¿Cómo escribir una declaración de alcance para la norma ISO 27001?
Su declaración de alcance es un resumen de su alcance y debe dejar claro a sus clientes que lo que están comprando de usted, ya sea un producto o un servicio, está cubierto por su SGSI.
Además, cuando escriba su declaración de alcance, responda a las siguientes preguntas:
- ¿Qué hace mi organización?
- ¿Qué productos o servicios están en el ámbito de aplicación?
- ¿Qué información necesitamos proteger?
- ¿Qué procesos están asociados a esa información?
- ¿Hay exclusiones (lugares, procesos, etc.) que se puedan dejar fuera del ámbito?
Apliquemos estas preguntas a una empresa ficticia para ver cómo funcionan para dar forma a una declaración de alcance. Llamaremos a la empresa FindMyPet
- ¿Qué hace mi organización?
FindMyPet reúne a mascotas y dueños…
- ¿Qué productos o servicios están en el ámbito de aplicación?
… utilizando tecnología de escáner y microchips…
- ¿Qué información necesitamos proteger?
…que almacenan datos personales de los clientes (nombre, dirección física, número de teléfono)…
- ¿Qué procesos están asociados a esa información?
…que también se almacena en una base de datos central ubicada en nuestras oficinas de Dogtown…
- ¿Hay exclusiones (lugares, procesos, etc.) que se puedan dejar fuera del ámbito?
…que no es accesible a nadie más que a nuestro departamento de TI.
Todo junto ahora:
FindMyPet reúne a mascotas y dueños usando tecnología de escáner y microchips que almacenan los datos personales de los clientes (nombre, dirección física, número de teléfono) que se guardan en una base de datos central ubicada en nuestras oficinas en Dogtown a la que no puede acceder nadie más que nuestro departamento de TI.
Errores comunes a tener en cuenta al crear tu declaración de alcance
Como con todo lo relacionado con la ISO, siempre debe ser consciente de posibles escollos. Aunque la declaración de alcance es una pieza simple y corta de trabajo, debe ser precisa y clara excluyendo los elementos superfluos e incluyendo todo lo que considere digno de la protección del SGSI.
No comprender qué información almacena, procesa y gestiona su organización podría llevarle a dejar un elemento vital fuera de su declaración.
Para asegurarse de que sabe todo lo que hay que saber sobre los datos que maneja su empresa, puede que le interese asistir a sesiones profesionales sobre cumplimiento normativo.
Todo lo que queda fuera del ámbito definido se considera inseguro, por lo que dejar fuera cualquier cosa que su cliente no quiera comprar porque no ha sido certificada no es un gran plan.
Su declaración de alcance no debe ser ni demasiado ambiciosa ni demasiado ambigua. No apunte demasiado alto e incluya todos los departamentos, todas las personas y hasta el último dato. Al mismo tiempo, no intente reducir los costes de implantación reduciendo su alcance.
Su declaración de alcance no debe ser demasiado ambiciosa ni demasiado ambigua
También leer: Las 10 mejores herramientas de software para la certificación ISO 27001
Ejemplos de buenas declaraciones de alcance ISO 27001
Para ayudarte a empezar tu propia declaración de alcance, aquí tienes algunos ejemplos de buenas declaraciones de alcance. Como puede ver, aparecen en el certificado ISO 27001 y remiten a la Declaración de Aplicabilidad.
>
1. Declaración de alcance de la norma ISO 27001 de BSI
En nuestro primer ejemplo se puede ver claramente que el SGSI de Online Computer Library Center se aplica a las actividades de seguridad de la información asociadas con los servicios de gestión de la empresa, el intercambio de recursos, servicios de metadatos, descubrimiento y referencia, y el informe de infraestructura interna. Tenga en cuenta cómo se hace referencia a la Declaración de Aplicabilidad.
2. Declaración de alcance ISO 27001 de MGM Technology Partners
MGM expone la naturaleza de su negocio (Asesoramiento a clientes del Sector Público, Seguros y eCommerce en la digitalización de sus procesos de negocio y TI; Desarrollo de software para aplicaciones críticas de negocio, consultoría de gestión para departamentos especializados y de TI y pruebas e implantación de seguridad web).
Sin embargo, no indican explícitamente a qué se aplica el SGSI. Podemos suponer, por tanto, que su SGSI cubre todo lo relacionado con todas sus actividades y productos.
3. Declaración de alcance ISO 27001 de Monday.com
La declaración de alcance de Monday.com es muy clara. Su SGSI se aplica al departamento de operaciones de TI relacionadas con el desarrollo, comercialización, venta, promoción, soporte y diseño de un sistema operativo de trabajo para gestionar el trabajo en equipo, ejecutar flujos de trabajo y procesos, y alojar contenidos y archivos.
Plantilla de declaración de alcance ISO 27001 (descargar)
Hemos elaborado una plantilla básica de declaración de alcance ISO 27001 que puedes utilizar.
Esta plantilla se puede utilizar como una plantilla para “rellenar los huecos” o como una guía para crear su propia declaración de alcance.
¡No se demore, escriba el alcance de la ISO 27001 hoy!
Por último, se necesita tiempo para ser breve, así que empiece a redactar su declaración de alcance lo antes posible. Recuerda no ser demasiado ambicioso ni demasiado ambiguo y asegúrate de que entiendes qué información maneja tu empresa.
Para obtener ayuda de profesionales o para empezar a utilizar la mejor herramienta de cumplimiento DIY en el mercado hoy en día, reserva una demo con Compleye.
