Del tratamiento a la declaración de aplicabilidad

5 tareas · 38 min · Principiante

En El Cántaro, el plan de tratamiento y la declaración de aplicabilidad los redactaron personas distintas, en semanas distintas. Ahora hay que comprobar que cuentan la misma historia: que cada control del plan aparezca en la declaración con su estado, que cada fila de la declaración se pueda rastrear hasta un riesgo que existe y que ningún riesgo importante se quede sin tratamiento. Todo es lectura de documentos ficticios.

0 de 5 · 0%

Objetivo de la sala

La cláusula 6.1.3 de ISO/IEC 27001:2022 construye una cadena: se eligen las opciones de tratamiento, se determinan todos los controles necesarios para ejecutarlas, se comparan con los del Anexo A para verificar que no se omitió ninguno necesario, se produce la declaración de aplicabilidad y se redacta el plan de tratamiento. El Anexo A es una lista de referencia, no un límite: si el tratamiento necesita un control que no está allí, se diseña o se toma de otra fuente.

Eso hace que cada control que importa se pueda rastrear en ambos sentidos: del riesgo al control y del control al riesgo.

Responde para continuar

Un tratamiento necesita un control que no aparece en el Anexo A. ¿Qué se hace?

Se descarta el tratamiento, porque lo que no está en el Anexo A no se puede exigir en una auditoría Se sustituye por el control del Anexo A que más se le parezca, aunque no trate el riesgo Se incorpora como control adicional y se registra en la declaración con su justificación

Ver pista de ayuda

El Anexo A no es una lista cerrada.

Un control excluido en la declaración con una justificación que el propio plan desmiente es una contradicción que un auditor encuentra en minutos: la declaración dice que no se necesita y el plan lo usa para tratar un riesgo.

Compara cada control del plan con la columna aplica de la declaración.

Responde para continuar

Escribe el control que el plan de tratamiento usa y la declaración marca como no aplicable.

Ver pista de ayuda

Ejecuta `SELECT * FROM plan_de_tratamiento` y `SELECT * FROM declaracion_de_aplicabilidad`.

La columna riesgo_ligado de la declaración debe apuntar a un riesgo del registro. Si cita un identificador que no existe, la trazabilidad se rompe: nadie puede decir qué riesgo justifica el control ni quién es su dueño, y la fila no se puede defender.

Cruza los identificadores de la columna riesgo_ligado con el registro de riesgos.

Responde para continuar

Escribe el control de la declaración cuya fila cita un riesgo que no está en el registro.

Ver pista de ayuda

Ejecuta `SELECT * FROM registro_de_riesgos` y compara con la columna riesgo_ligado de la declaración.

La trazabilidad también se mira desde el riesgo: cada riesgo del registro debe tener una decisión (tratar, retener, evitar o compartir) y, si se trata, un control en el plan. Un riesgo de nivel Alto sin ningún tratamiento ni decisión registrada es un hueco más grave que un control mal justificado.

Busca en el registro los riesgos de nivel Alto y comprueba que cada uno aparezca en el plan.

Responde para continuar

Escribe el identificador del riesgo de nivel Alto que no tiene ningún tratamiento en el plan.

Ver pista de ayuda

Ejecuta `SELECT * FROM registro_de_riesgos` y `SELECT * FROM plan_de_tratamiento`.

Una declaración puede incluir un control por razones que no son un riesgo: un requisito legal, una cláusula de contrato. Eso es una justificación válida si se escribe. Lo que no sirve es la frase «lo pide la norma»: la cláusula 6.1.3 pide justificar la inclusión, no repetir que el Anexo existe.

Cuenta los controles marcados como aplicables que no tienen riesgo ligado y cuya única justificación es esa frase.

Responde para continuar

Escribe cuántos controles aplicables no tienen riesgo ligado y solo dicen «Lo pide la norma» como justificación.

Ver pista de ayuda

Ejecuta `SELECT * FROM declaracion_de_aplicabilidad` y mira las columnas justificacion y riesgo_ligado de las filas con aplica en Sí.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Una cadena con eslabones

2 Excluido, pero necesario Lab

3 Un riesgo que no existe Lab

4 Un riesgo sin tratamiento Lab

5 Justificar con algo más que la norma Lab

Whoami-Labs Pro utiliza cookies