{"id":90,"date":"2026-08-18T10:31:54","date_gmt":"2026-08-18T10:31:54","guid":{"rendered":"https:\/\/proskurnya.com\/es\/declaracion-de-aplicabilidad-soa\/"},"modified":"2026-08-18T10:31:54","modified_gmt":"2026-08-18T10:31:54","slug":"declaracion-de-aplicabilidad-soa","status":"publish","type":"post","link":"https:\/\/proskurnya.com\/es\/declaracion-de-aplicabilidad-soa\/","title":{"rendered":"Declaraci\u00f3n de Aplicabilidad (SoA): c\u00f3mo elaborar el documento central de la ISO 27001"},"content":{"rendered":"

La Statement of Applicability es uno de los primeros documentos que abro en cada auditor\u00eda ISO 27001. Y en ella se ve m\u00e1s r\u00e1pido si el sistema es genuino o se hizo \u00abpara el certificado\u00bb. As\u00ed se elabora una SoA con la que puede ir a la auditor\u00eda con la cabeza alta.<\/p>\n

Qu\u00e9 es la SoA<\/h2>\n

La Declaraci\u00f3n de Aplicabilidad lista todos los controles del Anexo A (93 en la versi\u00f3n 2022) indicando: si el control aplica, por qu\u00e9, y c\u00f3mo est\u00e1 implementado. La SoA conecta la evaluaci\u00f3n de riesgos con los controles reales \u2014 el puente entre \u00abqu\u00e9 nos amenaza\u00bb y \u00abqu\u00e9 hacemos al respecto\u00bb.<\/p>\n

Paso a paso<\/h2>\n
    \n
  1. Parta de los riesgos, no de la lista.<\/strong> Primero la evaluaci\u00f3n de riesgos<\/a>, luego la elecci\u00f3n de controles, y solo despu\u00e9s el contraste con el Anexo A.<\/li>\n
  2. Por cada control: estado y referencia.<\/strong> Aplicable\/no aplicable, justificaci\u00f3n, referencia a la pol\u00edtica o proceso donde vive.<\/li>\n
  3. Exclusiones con argumentos.<\/strong> \u00abNo aplicamos los controles de desarrollo porque no desarrollamos software\u00bb \u2014 aceptable. \u00abNo aplicamos porque es dif\u00edcil\u00bb \u2014 no.<\/li>\n<\/ol>\n

    Errores t\u00edpicos en la SoA<\/h2>\n