Cómo redactar la declaración de alcance de tu SGSI (con ejemplos)

Una declaración de alcance define los límites y la aplicabilidad de tu sistema de gestión de la seguridad de la información: qué servicios, ubicaciones, entidades jurídicas y tecnología cubre y, con la misma importancia, dónde termina tu responsabilidad. Suele ocupar un solo párrafo, se imprime en tu certificado ISO 27001 y es lo primero que un auditor lee sobre tu organización.

Esa combinación —muy corta, muy determinante— explica por qué tantos equipos la fallan. Esta guía cubre qué pide realmente la cláusula 4.3, qué debe nombrar un alcance utilizable, tres ejemplos desarrollados que puedes adaptar y los errores de límites que hacen la certificación más difícil de lo necesario.

Qué exige la cláusula 4.3 de ISO 27001

La cláusula 4.3, «Determinación del alcance del sistema de gestión de la seguridad de la información», te pide determinar los límites y la aplicabilidad del SGSI. Para hacerlo, la norma exige que consideres tres entradas concretas:

• Las cuestiones externas e internas de la cláusula 4.1: el contexto en el que operas, tu mercado, tu entorno regulatorio, tus decisiones tecnológicas, tu tamaño.
• Los requisitos de las partes interesadas de la cláusula 4.2: lo que esperan de ti clientes, reguladores, inversores y empleados. (Desde la modificación de 2024, esto incluye explícitamente valorar si el cambio climático es una cuestión relevante; mira la modificación de la que nadie te avisó.)
• Las interfaces y dependencias entre las actividades que realizas tú y las que realizan otras organizaciones: tus proveedores de nube, tus subencargados, tu servicio de soporte externalizado.

Después, la cláusula exige que el alcance «esté disponible como información documentada». Ese es todo el requisito. No hay plantilla prescrita, ni longitud mínima, ni formato obligatorio, y por eso mismo los equipos se quedan mirando la página en blanco.

La tercera entrada es la que más se salta. Un alcance que no menciona nunca a tu proveedor de nube ni a tu soporte externalizado le dice al auditor que no has pensado dónde acaba tu control y dónde empieza el de otro, y eso es lo primero que va a sondear.

Qué debe nombrar un alcance utilizable

Un alcance que sobrevive al contacto con un auditor nombra seis cosas. No hace falta que las seis estén en la frase que va al certificado, pero sí que las seis estén determinadas y documentadas en algún sitio:

1. Los productos y servicios cubiertos. Lo que vendes de verdad, con las palabras que usan tus clientes.
2. Las unidades organizativas y entidades jurídicas. Qué empresas, qué equipos. Si tienes filiales, nómbralas o exclúyelas de forma explícita.
3. Las ubicaciones. Oficinas, regiones de centros de datos y —en equipos distribuidos— el hecho de que hay personal trabajando en remoto, lo que activa los controles de teletrabajo.
4. La tecnología y la infraestructura. La plataforma, las regiones de nube, el IT corporativo de apoyo.
5. Las interfaces y dependencias. Dónde traspasas el testigo a un proveedor y qué sigue siendo responsabilidad tuya a tu lado de esa línea.
6. Las exclusiones, con sus motivos. Cualquier cosa que un lector daría razonablemente por incluida y no lo está.

Tres ejemplos desarrollados

Adáptalos a tus propios hechos en lugar de copiarlos: un auditor que lea un alcance que no encaja con lo que ve en tus sistemas empezará la auditoría escéptico.

Ejemplo 1: SaaS con toda la empresa dentro

El SGSI cubre el diseño, desarrollo, operación y soporte de la plataforma de software como servicio [Producto], incluidos todos los procesos de negocio y el IT corporativo de apoyo, prestada por [Empresa S.L.] desde su domicilio social en [Ciudad, País] y por personal que trabaja en remoto. La plataforma está alojada en infraestructura de [Proveedor de Nube] en la región [región]. Las interfaces con [Proveedor de Nube] y con los subencargados listados en el registro de proveedores del SGSI, y las dependencias de ellos, se gestionan mediante el proceso de gestión de proveedores; la responsabilidad sobre la infraestructura física subyacente recae en dichos proveedores.

Esta es la forma correcta para la mayoría de las startups. Todo lo que hace la empresa está dentro del alcance, lo que suena expansivo pero en realidad es la opción más barata cuando la empresa solo hace una cosa.

Ejemplo 2: Alcance por unidad de negocio

El SGSI cubre la prestación del servicio [Pagos] por parte de la unidad de negocio [Pagos] de [Grupo S.L.], incluidas las funciones de ingeniería, operaciones y atención al cliente que dan soporte a ese servicio, en la oficina de [Ciudad] y sobre infraestructura de [Proveedor de Nube] en [región]. Otras unidades de negocio de [Grupo S.L.], entre ellas [Servicios de Marketing] y [Consultoría], quedan fuera del alcance del SGSI. Los servicios corporativos compartidos (RR. HH., finanzas, IT corporativo) están dentro del alcance en la medida en que dan soporte al servicio [Pagos].

La última frase es la que te salva. Los servicios compartidos son justo donde el alcance por unidad de negocio suele romperse: si el IT corporativo entrega los portátiles que usan tus ingenieros dentro del alcance, el IT corporativo está dentro del alcance para ese fin, quisieras o no.

Ejemplo 3: Con una entidad excluida

El SGSI cubre el desarrollo y la operación de la plataforma [Producto] por parte de [Empresa S.L.] ([Ciudad, País]). [Empresa GmbH] ([Ciudad, País]), adquirida en [Mes Año] y que opera un producto distinto sobre una infraestructura separada sin flujos de datos hacia o desde la plataforma [Producto], queda excluida del alcance del SGSI.

Las exclusiones son legítimas, pero la justificación tiene que ser un hecho sobre aislamiento, no una declaración de conveniencia. «Sin flujos de datos hacia o desde» es un hecho que un auditor puede comprobar. «Todavía no integrada» es un plan, y un plan invita a una pregunta de seguimiento en cada visita de seguimiento.

Las exclusiones de alcance no son exclusiones de controles

Esta es la confusión más habitual de todas, y le cuesta tiempo a los equipos en la primera auditoría de certificación.

Las exclusiones de alcance son límites: entidades, ubicaciones, servicios o sistemas que el SGSI no cubre. Van en la declaración de alcance, bajo la cláusula 4.3.

Las exclusiones de controles son controles del Anexo A que has determinado que no son aplicables: controles de soportes físicos cuando no manejas soportes físicos, por ejemplo. Esas van en tu Declaración de Aplicabilidad, donde la cláusula 6.1.3 exige una justificación para cada una.

Meter exclusiones de controles en la declaración de alcance hace que tu certificado parezca más estrecho de lo que tu negocio es en realidad, que es exactamente lo que el equipo de compras de un cliente va a notar. Deja que cada documento haga su trabajo.

Demasiado amplio frente a demasiado estrecho

Los dos modos de fallo son caros, cada uno en su moneda.

Demasiado amplio te cuesta esfuerzo de auditoría. Cada sistema dentro del límite necesita un responsable, una evaluación de riesgos, evidencias y cobertura de auditoría interna. Los equipos que definen como alcance «todo el grupo» antes de tener un SGSI que funcione acaban evidenciando herramientas de marketing y filiales dormidas que ningún cliente pidió nunca.

Demasiado estrecho te cuesta el sentido del ejercicio. Un certificado cuyo alcance es «la función de seguridad de la información en la sede central» es técnicamente válido y comercialmente inútil: un cliente que lo lea no puede saber si el producto que está comprando está cubierto. Si tu alcance no nombra lo que vendes, cuenta con que el certificado siga suspendiendo las revisiones de compras.

La prueba que merece la pena aplicar: dale tu declaración de alcance a alguien de ventas y pregúntale si un cliente que la lea creería que el producto que compra está cubierto. Si la respuesta es no, el límite está en el sitio equivocado.

Deriva del alcance y cuándo revisarlo

El alcance no se escribe una sola vez. Es información documentada sujeta a control de cambios y debe revisarse cuando el negocio cambia de forma. Disparadores concretos que merece la pena escribir en tu SGSI:

• Una nueva línea de producto, o un cambio material en una existente
• Una adquisición, una nueva entidad jurídica o una nueva oficina
• Una nueva región de nube o una migración entre proveedores
• Una nueva categoría de datos de cliente, o una nueva obligación regulatoria
• Externalizar algo que antes hacías tú, o volver a internalizarlo

Los cambios de alcance son además una entrada permanente de la revisión por la dirección de la cláusula 9.3. Si tu declaración de alcance tiene un año y tu arquitectura no, esa brecha va a salir en tu próxima auditoría de seguimiento, y un alcance que ya no encaja con la realidad es un hallazgo, no una formalidad.

La conclusión

Escribe el alcance que tu negocio puede defender de verdad: nombra los servicios con las palabras que usan los clientes, nombra las entidades y las ubicaciones, sé explícito sobre dónde empieza la responsabilidad de tus proveedores y justifica las exclusiones con hechos en vez de con intenciones. Y mantenlo al día, porque es el único documento del SGSI que tus clientes van a leer.

Siguiente paso: el recorrido completo por las cláusulas 4 a 10 para ver cómo el alcance alimenta el resto del SGSI, cómo escribir una Declaración de Aplicabilidad para el documento a nivel de control que viene después, o el inventario de activos que convierte tu límite en una lista que puedes evidenciar de verdad.