STRUCTA ACADEMYNivel 6 · GRC y Resiliencia
SGSI ISO/IEC 27001Lección 1 de 24

Contexto y alcance

Competencia: Definir límites del SGSI desde negocio, partes interesadas y dependencias.

COBERTURAISO/IEC 27001:2022NIST CSF 2.0ISO/IEC 27005:2022
LECTURA PRINCIPAL

Definir límites del SGSI desde negocio, partes interesadas y dependencias. En un entorno profesional esto exige conectar Contexto, Interesado, Alcance con el servicio, el dato y la decisión de negocio que se pretende proteger.

Contexto es una pieza del sistema, no una actividad aislada. Factores internos y externos. Primero se utiliza para delimitar el resultado esperado y los supuestos bajo los que el control debería funcionar.

Interesado es una pieza del sistema, no una actividad aislada. Expectativas legales, contractuales y operativas. Después se conecta con responsables, dependencias y señales que permiten saber si la capacidad está operando.

Alcance es una pieza del sistema, no una actividad aislada. Procesos, ubicaciones e interfaces. Finalmente se contrasta con escenarios normales, fallas previsibles y abuso deliberado para descubrir límites antes de una crisis.

La competencia no consiste en memorizar una herramienta ni una respuesta de examen. Consiste en definir un resultado verificable, operarlo de forma repetible, reconocer sus límites y conservar evidencia suficiente para que otra persona pueda revisar la decisión.

En certificaciones profesionales, estos conceptos suelen aparecer separados por dominios. En la práctica convergen: una debilidad de gobierno cambia la arquitectura; una arquitectura incompleta reduce la telemetría; y una telemetría insuficiente limita investigación, respuesta y aseguramiento.

01 · CONCEPTOS ESENCIALES
01

Contexto

Factores internos y externos.

02

Interesado

Expectativas legales, contractuales y operativas.

03

Alcance

Procesos, ubicaciones e interfaces.

02 · PROCEDIMIENTO PROFESIONAL

Cómo llevarlo a la práctica

  1. 01

    Delimita el proceso, los activos, las identidades, los datos y las dependencias incluidos.

  2. 02

    Aplica Contexto, Interesado, Alcance con responsables, criterios de escalamiento y límites explícitos.

  3. 03

    Prueba el comportamiento esperado y también una condición de falla o abuso relevante.

  4. 04

    Conserva alcance del SGSI y registra hallazgos, excepciones, dueño y fecha de revisión.

EVIDENCIA QUE DEBES PRODUCIR

alcance del SGSI

Conserva versión, responsable, fecha, alcance, revisión y decisiones derivadas.

03 · ESCENARIO DE DECISIÓN

¿Qué harías?

El equipo afirma que esta capacidad está implementada, pero no puede mostrar alcance del SGSI ni explicar cómo actúa cuando el control falla.

DECISIÓN RECOMENDADA

Definir el alcance y el dueño, ejecutar el procedimiento, producir alcance del SGSI y someter el resultado a una revisión independiente proporcional al riesgo.

Criterio: Los marcos profesionales evalúan resultados, operación y evidencia. Una intención o configuración aislada no demuestra que el riesgo esté controlado.
ERRORES FRECUENTES
  • Excluir proveedores que sostienen el proceso incluido.
  • Confundir la compra o activación de una herramienta con la operación efectiva y medible del control.
LISTA DE VERIFICACIÓN
  • El alcance, el responsable y el criterio de éxito están documentados.
  • Existe evidencia fechada de ejecución y revisión, no solo una declaración.
  • Las excepciones tienen riesgo, aprobación, compensación y vencimiento.
  • El resultado alimenta una decisión, una mejora o una respuesta definida.
04 · APLÍCALO EN TU ENTORNO

Construye un primer borrador de alcance del SGSI; incluye alcance, entradas, pasos, responsable, evidencia, excepción y criterio de actualización.

FUENTES PRIMARIAS