Declaración de aplicabilidad (Statement of Applicability)
La declaración de aplicabilidad es el documento, exigido por ISO/IEC 27001, que enumera los controles del anexo A, dice si cada uno es aplicable, justifica todas las inclusiones y todas las exclusiones, y deja constancia de su estado de implantación. Es el primer artefacto que pide un auditor y el que más veces no sobrevive al escrutinio.
Su función es unir el análisis de riesgos con los controles. Se supone que cada decisión es trazable: este riesgo se identificó, este control lo trata, por tanto es aplicable y este es su estado. Las exclusiones cargan con la misma exigencia a la inversa, y una justificación que se reduce a decir que el control no es relevante es, ella sola, el hallazgo de auditoría más frecuente contra el documento.
Dos cosas que hay que acertar con la edición vigente. La revisión de 2022 reestructuró el anexo A en 93 controles agrupados en cuatro temas, así que una declaración construida sobre la estructura anterior se identifica al instante como caducada, y una organización en transición tiene que poder enseñar la correspondencia. Y la frontera del alcance tiene que ser real: un SGSI cuyo alcance excluye los sistemas donde vive de verdad la información interesante produce un certificado que dice menos de lo que el cliente cree que dice, y eso conviene saberlo cuando se ofrece un certificado como garantía de un proveedor.
Donde esto se cruza con el trabajo técnico es en la evidencia. Marcar un control como implantado es una afirmación, y el auditor va a preguntar qué la demuestra. Ahí es donde un informe de pruebas, una línea de base de configuración o un inventario de activos se convierten en el artefacto de apoyo, y donde un control marcado como implantado sin nada detrás se convierte en una no conformidad. Producir esa evidencia forma parte del acompañamiento a la certificación donde la declaración de aplicabilidad se construye desde el análisis de riesgos.