Declaración del alcance de la norma ISO 27001... suena mucho más grande de lo que es. En realidad, crear una es bastante sencillo. En esta guía de declaración del alcance, le explicamos el qué, el cómo y el por qué de redactar una declaración del alcance de la norma ISO 27001.
Hemos añadido unos cuantos ejemplos, una plantilla descargable y un vídeo superguay e informativo protagonizado por nuestra propia innovadora en materia de cumplimiento, Mari E. Curious.
¿Qué más se puede pedir?
¿Por qué necesita una declaración de alcance?
En su artículo 'Certificación ISO IEC 27001TUV afirma que las organizaciones implantan un SGSI para:
"Proteger los datos cruciales para la empresa, mitigar los riesgos y garantizar la estabilidad de las operaciones, ofrecer confianza a las partes interesadas y a los clientes".
La declaración del alcance de la norma ISO 27001 es un compromiso y un reflejo de esta ambición. Además, no solo es la única información obligatoria que debe proporcionar dentro del segmento de alcance de la norma, sino también la más importante.
Según Buenas prácticasEl concepto que subyace a la declaración del ámbito de aplicación es que entiendas lo siguiente:
- Leyes y reglamentos que debe cumplir
- Interfaces y dependencias que tiene con otros modelos
- Cuestiones internas y externas relevantes para la seguridad de la información de su SGSI
- Procesos y controles de seguridad necesarios para el funcionamiento de su empresa
La declaración del alcance de la norma ISO 27001 define:
- A qué se dedica su empresa.
- Qué información importante cubre el SGSI.
- Por qué la seguridad es importante para su organización.
- Qué partes de su empresa están certificadas.
Es lo que aparece en su certificado ISO 27001 para todo el mundo (bueno, no todos el mundo, pero ya sabe a qué nos referimos) para ver.
En resumen, es lo que les importa a sus clientes cuando se trata de seguridad.
¿Cuál es el alcance de la norma ISO 27001?
El propio alcance de la norma ISO 27001 define todo lo que está protegido por su SGSI, desde los datos hasta los productos, desde los procesos hasta los servicios, desde los sistemas hasta las zonas geográficas. También define todo lo que no está protegido.
Para compilar correctamente el alcance de su organización, debe determinar los límites y la aplicabilidad del SGSI.
Esto significa examinar todos los problemas externos e internos que encontrará definidos en la cláusula 4.1 de la norma ISO 27001Comprender las necesidades y expectativas de las partes interesadas (4.2) y determinar los vínculos entre las actividades realizadas por su organización y las organizaciones externas.
Examinar y comprender qué partes de la empresa participan en la creación, el acceso o el procesamiento de sus valiosos activos de información, y llevar a cabo una evaluación de riesgos le mantendrá en el buen camino a la hora de definir el alcance de su SGSI.
¿Por qué es tan importante definir el alcance de la norma ISO 27001?
Todo lo que entre en su ámbito de aplicación debe estar cubierto por su SGSI; todo lo que quede fuera del ámbito de aplicación no tiene por qué estar cubierto por su SGSI.
Por tanto, si deja fuera del alcance algo que debería haber estado en él, podría acabar con algunos problemas de seguridad no deseados, datos desprotegidos y clientes y/o partes interesadas insatisfechos.
Si incluyes en el alcance algo que no es necesario, estás dando más trabajo a tu equipo y, potencialmente, gastando dinero que realmente no necesitas. Además, un alcance demasiado amplio no es ágil en términos de permitir cambios en tecnologías y características.
¿Cómo se redacta una declaración de alcance para la norma ISO 27001?
Su declaración de alcance es un resumen de su alcance y debe dejar claro a sus clientes que lo que le están comprando, ya sea un producto o un servicio, está cubierto por su SGSI.
Además, al redactar su declaración de alcance, responda a las siguientes preguntas:
- ¿Qué hace mi organización?
- ¿Qué productos o servicios entran en el ámbito de aplicación?
- ¿Qué información debemos proteger?
- ¿Qué procesos están asociados a esa información?
- ¿Hay exclusiones (lugares, procesos, etc.) que puedan quedar fuera del ámbito de aplicación?
Apliquemos estas preguntas a una empresa ficticia para ver cómo funcionan para dar forma a una declaración de alcance. Llamaremos a la empresa FindMyPet.
- ¿Qué hace mi organización?
FindMyPet reúne a mascotas y dueños...
- ¿Qué productos o servicios entran en el ámbito de aplicación?
... utilizando tecnología de escáner y microchips...
- ¿Qué información debemos proteger?
...que almacenan datos personales de los clientes (nombre, dirección física, número de teléfono)...
- ¿Qué procesos están asociados a esa información?
...que también se almacena en una base de datos central ubicada en nuestras oficinas de Dogtown...
- ¿Hay exclusiones (lugares, procesos, etc.) que puedan quedar fuera del ámbito de aplicación?
...al que sólo puede acceder nuestro departamento informático.
Todos juntos ahora:
FindMyPet reúne a mascotas y dueños utilizando tecnología de escáner y microchips que almacenan los datos personales de los clientes (nombre, dirección física, número de teléfono) que se guardan en una base de datos central situada en nuestras oficinas de Dogtown a la que sólo puede acceder nuestro departamento informático.
Errores comunes a los que debe prestar atención al crear su declaración de alcance
Como con todo lo relacionado con la ISO, siempre debe tener en cuenta lo siguiente posibles escollos. Aunque la declaración del ámbito de aplicación es un trabajo sencillo y breve, debe ser precisa y clara, excluyendo los elementos superfluos e incluyendo todo lo que considere digno de protección del SGSI.
No saber qué información almacena, procesa y gestiona su organización puede llevarle a omitir un elemento vital de su declaración.
Para asegurarse de que sabe todo lo que hay que saber sobre los datos que maneja su empresa, puede que le interese asistir a sesiones de cumplimiento profesional.
Todo lo que queda fuera del ámbito definido se considera inseguro, por lo que dejar fuera cualquier cosa que su cliente no quiera comprar porque no ha sido certificada no es un buen plan.
Su declaración de alcance no debe ser ni demasiado ambiciosa ni demasiado ambigua. No apunte demasiado alto e incluya todos los departamentos, todas las personas y hasta el último dato. Al mismo tiempo, no intentes reducir los costes de implantación limitando el alcance.
Lea también: Las 10 mejores herramientas de software para la certificación ISO 27001
Ejemplos de buenas declaraciones de alcance ISO 27001
Para ayudarle a iniciar su propia declaración de alcance, aquí tiene algunos ejemplos de buenas declaraciones de alcance. Como puede ver, aparecen en el certificado ISO 27001 y remiten a la declaración de aplicabilidad.
1. Declaración del alcance de la norma ISO 27001 de BSI
En nuestro primer ejemplo se puede ver claramente que el SGSI de Online Computer Library Center se aplica a las actividades de seguridad de la información asociadas a los servicios de gestión, compartición de recursos, servicios de metadatos, descubrimiento y referencia e informe de infraestructura interna de la empresa. Observe cómo se hace referencia a la Declaración de Aplicabilidad.
2. Declaración de alcance ISO 27001 de MGM Technology Partners
MGM expone la naturaleza de su actividad (asesoramiento a clientes del sector público, seguros y comercio electrónico sobre la digitalización de sus procesos empresariales e informáticos; desarrollo de software para aplicaciones críticas para la empresa, consultoría de gestión para departamentos especializados e informáticos y pruebas e implantación de seguridad web).
Sin embargo, no indican explícitamente a qué se aplica el SGSI. Podemos suponer, por tanto, que su SGSI abarca todo lo relacionado con todas sus actividades y productos.
3. Declaración del alcance de la norma ISO 27001 de Monday.com
La declaración de alcance de Monday.com es muy clara. Su SGSI se aplica al departamento de operaciones de TI relacionadas con el desarrollo, la comercialización, la venta, la promoción, el soporte y el diseño de un sistema operativo de trabajo para gestionar el trabajo en equipo, ejecutar flujos de trabajo y procesos, y alojar contenidos y archivos.
Plantilla de declaración del alcance de la norma ISO 27001 (descargar)
Hemos elaborado una plantilla básica de declaración del alcance de la norma ISO 27001 que puede utilizar.
Este modelo puede utilizarse como plantilla para "rellenar los huecos" o como guía para crear su propia declaración de alcance.
No se demore, redacte hoy mismo el alcance de la norma ISO 27001.
Por último, se necesita tiempo para ser breve, así que empiece a elaborar su declaración de alcance lo antes posible. Recuerda no ser demasiado ambicioso ni demasiado ambiguo y asegúrate de que entiendes qué información maneja tu empresa.
Para obtener ayuda de profesionales o empezar a utilizar la mejor herramienta de cumplimiento DIY del mercado actual, reserve una demostración con Compleye.
Frequently Asked Questions
What is an ISO 27001 scope statement?
An ISO 27001 scope statement is a short summary of what an organisation’s information security management system (ISMS) covers: what the business does, which products, services and information are protected, and which parts of the business are certified. The scope statement appears on the ISO 27001 certificate, so customers can see exactly what the certification applies to.
What should an ISO 27001 scope statement include?
An ISO 27001 scope statement should state what the organisation does, which products or services are in scope, which information needs protecting, which processes handle that information, and any exclusions such as locations or departments. Answering these five questions in one or two clear sentences produces a scope statement that customers and auditors can understand.
What are the most common mistakes when writing an ISO 27001 scope statement?
The most common ISO 27001 scope statement mistakes are making the scope too broad, making it too narrow, and not knowing what information the organisation actually handles. A scope that is too broad adds cost and work. A scope that is too narrow leaves out products or data that customers expect to be certified.
What is the difference between an ISO 27001 scope statement and a Statement of Applicability?
An ISO 27001 scope statement defines the boundary of the ISMS: which products, services, locations and information are covered. The Statement of Applicability lists the Annex A security controls, states which ones apply within that boundary, and justifies each choice. The scope is required by clause 4.3 of ISO 27001 and the Statement of Applicability by clause 6.1.3.
Can an ISO 27001 scope cover only part of a company?
Yes. An ISO 27001 scope can be limited to a single product, service, department or location, which is a common choice for companies that certify their core product first. The scope must still account for interfaces and dependencies with everything outside it, and customers will see the limited scope on the ISO 27001 certificate.
