La declaración de aplicabilidad, fila por fila

La cláusula 6.1.3 d pide una declaración de aplicabilidad que contenga cuatro cosas: los controles necesarios, la justificación de su inclusión, si están implementados o no, y la justificación de la exclusión de cualquier control del Anexo A. No pide que los 93 se apliquen. Pide que cada decisión, de incluir o de excluir, esté justificada.

Las columnas extra que se ven en las plantillas, como la evidencia, el dueño o el riesgo ligado, no son un requisito de la cláusula, pero son lo que permite que un auditor compruebe la decisión. Una justificación que dice «porque la norma lo pide» no sirve: la norma pide que se justifique, no que se aplique.

Excluir un control es legítimo cuando el riesgo que trata no existe en la organización. Pero la justificación debe ser verdadera: si un auditor la contrasta con el contexto y no coincide, la exclusión cae y se convierte en un hallazgo sobre la declaración entera. Una exclusión se prueba contra los hechos de la empresa, no contra lo que convenía escribir.

El borrador de Cedro excluye la codificación segura porque «el software lo desarrolla un tercero». Abre el contexto y comprueba quién escribe el software.

El estado «implementado» es una afirmación y la evidencia es lo que la sostiene. Una fila implementada sin evidencia citada no es todavía una no conformidad confirmada, pero sí una declaración que nadie puede comprobar, y un auditor pedirá el documento, el registro o la captura que la respalde. Cuando no existe, la fila baja de estado.

Filtra en el borrador las filas declaradas como implementadas y busca la que no cita ninguna evidencia.

El costo es una restricción real, pero no es una justificación de exclusión. Si un control trata un riesgo que existe y que supera el nivel aceptable, no aplicarlo no hace que el riesgo desaparezca. Lo que se puede hacer es tratar el riesgo con otro control que lo cubra, o aceptar el residual con la aprobación del dueño, y dejar escrito cuál de las dos cosas se hizo.

El borrador excluye la prevención de fuga de datos con una sola frase: «es muy caro». Fíjate en la última columna de esa fila, la que liga cada control con el riesgo que trata, y en el nivel de ese riesgo en el contexto.

Hay frases que suenan a justificación y no lo son. «Somos una empresa en la nube» excluye de un plumazo todo un tema, el de los controles físicos, cuando la organización tiene locales, personas y papel. Los controles físicos aplican a las oficinas, a los equipos que salen de ellas y a lo que se guarda en un archivo, aunque los servidores estén en el proveedor de nube.

Cruza la tabla de contexto con las filas excluidas del borrador y localiza el control físico cuyo argumento desmiente la oficina de Bogotá.