Los 93 controles en cuatro temas

La edición de 2022 del Anexo A reúne 93 controles en cuatro temas: los organizacionales (A.5, 37 controles), los de personas (A.6, 8), los físicos (A.7, 14) y los tecnológicos (A.8, 34). La edición de 2013 tenía 114 controles repartidos en 14 dominios. Muchos controles viejos se fundieron en uno solo y 11 son nuevos; no se trata de «quitar 21».

La numeración dice dónde mirar. Un control que empieza por A.8 es técnico; uno que empieza por A.6 depende de las personas; uno por A.7 es de locales y equipos físicos; y el A.5 recoge lo que decide y organiza la empresa: políticas, roles, proveedores, continuidad.

De los 11 controles nuevos de 2022, varios responden a cosas que las organizaciones ya hacían a medias: inteligencia de amenazas, uso de servicios en la nube, preparación de las TIC para la continuidad, vigilancia física, gestión de la configuración, eliminación de información, enmascaramiento y prevención de fuga de datos, monitoreo, filtrado web y codificación segura. La columna nuevo_2022 del catálogo marca cuáles son.

En Cedro, el entorno de pruebas es una copia reciente de producción, con nóminas y cuentas bancarias reales, y la usan los 22 desarrolladores. Hace falta que sigan teniendo datos realistas sin ver el dato real. Busca en el catálogo, entre los controles nuevos, el que pide justamente eso.

La declaración que dejó la consultoría cita la edición de 2013. Para traducirla, la norma publica una correspondencia entre controles viejos y nuevos, y la tabla equivalencias del expediente es la que Cedro armó con ella. Úsala como ayuda y no como sustituto: un control de 2013 puede haberse fundido con otros, y lo que cambia no es solo el número, también el alcance de lo que se pide.

La declaración heredada cita un control de 2013 sobre el desarrollo seguro. Averigua con qué número aparece hoy.

Los certificados de la edición de 2013 dejaron de valer: el Foro Internacional de Acreditación fijó la transición en tres años desde la publicación de la nueva edición, hasta el 31 de octubre de 2025, y los certificados de 2013 expiran al final de ese plazo (IAF MD 26). Cedro no tiene certificado previo, así que se certifica directamente con la edición de 2022 y su declaración tiene que citar el Anexo A de esa edición.

Mira la declaración heredada y lo que sabes de ella. Fue emitida por una consultoría, cita la edición antigua, marca 98 de 114 controles como aplicables y nunca se auditó.

Saber a qué tema pertenece un control sirve para algo práctico: reparte el trabajo. Los controles de personas dependen de recursos humanos y de cada jefatura; los físicos, de administración; los tecnológicos, de infraestructura y producto. Una declaración que concentra todo en tecnología suele estar dejando en el aire lo organizacional y lo humano.

Cedro tiene 15 personas con portátil de la empresa trabajando desde casa con datos de clientes. Localiza el control de trabajo remoto en el catálogo, mira a qué tema pertenece y busca en la tabla de temas cuántos controles tiene ese tema.