Alcance mínimo defendible

El alcance es la lista de sistemas, personas y lugares que la certificación cubre. La tentación de una startup es dejarlo lo más pequeño posible. Un alcance mínimo no es un alcance recortado: es el menor conjunto que todavía describe de verdad el servicio que se vende. Lo que el cliente quiere saber es si sus datos están protegidos, así que todo sistema que los toca tiene que estar dentro.

Para que una exclusión resista la pregunta de un auditor, necesita una regla previa y una razón escrita.

El criterio de alcance está en criterio_de_alcance. Aplica R1 y R2 al inventario de sistemas: entra todo sistema que toca datos de clientes o que sirve para operar la plataforma. Cuenta cuántos de los nueve sistemas entran, sin mirar la columna propuesta, que es lo que el equipo técnico quería.

Mira ahora la columna propuesta. Hay un sistema que el equipo propone dejar fuera aunque cumple una de las dos reglas de entrada. Es el caso clásico: una herramienta «de otro» que, sin embargo, recibe datos reales de los clientes.

R3 exige un motivo por escrito para cada exclusión. La tabla exclusiones_propuestas los recoge. Una exclusión que correctamente queda fuera por no tocar datos ni la plataforma sigue siendo débil si nadie escribió por qué. Hay una que no lo tiene.

R4 dice que las personas con acceso a algún sistema del alcance quedan dentro: se les exigen las políticas, la capacitación y las revisiones. La tabla personas_por_area da las 38 personas por área y si acceden. Si dejas fuera un área que sí accede, el auditor lo verá en la lista de accesos.