La declaración de aplicabilidad se desarrolla luego del tratamiento de riesgos que a su vez es la actividad
posterior a una evaluación de riesgos.
El tratamiento tiene como objetivo la definición de las acciones a realizar para mitigar aquellos riesgos
que han sido identificados y analizados.
Uno de los documentos requeridos por la norma ISO veinti siete mil uno es la declaración de aplicabilidad
miremos qué es una declaración de aplicabilidad S o A y para qué sirve este documento.
Es un requisito del estándar ISO veinti siete mil uno pero puede ser utilizado para mantener registro
y control de las medidas de seguridad aplicadas.
Ese Opá por sus siglas en inglés enlista los controles de seguridad establecidos en el anexo A del estándar
ISO y veinti siete mil uno.
El anexo a suele ser utilizado como una referencia para la implementación de medidas de protección de
la información así como para comprobar que no se están dejando de lado medidas de seguridad necesarias
que no habían sido consideradas dentro de una organización un S o a no estar limitado a los que se encuentran
listados en el anexo por lo cual pueden ser utilizados otros controles y objetivos de control.
Si se considera necesario qué características tiene una declaración de aplicabilidad
o puede encontrarse en el formato que más convenga a una organización.
Lo relevante es su contenido que en general debe incluir los objetivos de control y controles seleccionados
del estándar.
Las razones por las cuales han sido seleccionados y medidas de seguridad adicionales si es el caso también
debe indicar si los objetivos de control y controles se encuentran implementados y operando los que
hayan sido descartados así como una justificación del por qué algunas medidas han sido excluidas las
que son innecesarias y la razón del porqué no son requeridas en una organización.
Los controles indicados en la declaración de aplicabilidad pueden ser seleccionados debido a distintas
razones por ejemplo como resultado de una evaluación de riesgos si se debe cumplir con algún requisito
legal.
Obligaciones adquiridas por contratos o regulaciones.
Nuevos requisitos del negocio.
Mejores prácticas a utilizar entre otras.
Posteriormente la selección de controles de seguridad deriva en la creación de un plan de tratamiento
de riesgos principalmente para la definición de las actividades necesarias para la aplicación de los
controles de seguridad que hayan sido seleccionados y que no se encuentren implementados.
Por ejemplo si a partir de una evaluación de riesgos y de recurrentes casos de infección por malware
se identificó la necesidad de aplicar un control contra códigos maliciosos se debe planear la adquisición
de licenciamiento de antivirus.
La actualización de procedimientos relacionados los encargados de las actividades de instalación y configuración
del software las fechas propuestas para la finalización de estas tareas los recursos necesarios y todo
lo que resulte del análisis previo.
Esta información debería formar parte del plan de tratamiento de riesgos pero además el control antivirus
deberá ser registrado en la declaración de aplicabilidad con las referencias necesarias que permitan
asociarla a un manual procedimiento o control técnico implementado.