STRUCTA ACADEMYNivel 3 · Arquitectura
SGSI y gobiernoLección 1 de 40

Contexto, partes interesadas y alcance

Competencia: Definir un SGSI conectado con objetivos, obligaciones y dependencias.

COBERTURAISO/IEC 27001:2022NIST CSF 2.0NIST RMF SP 800-37 Rev. 2
LECTURA PRINCIPAL

Definir un SGSI conectado con objetivos, obligaciones y dependencias. En un entorno profesional esto exige conectar Contexto, Interesados, Alcance con el servicio, el dato y la decisión de negocio que se pretende proteger.

Contexto es una pieza del sistema, no una actividad aislada. Factores internos y externos condicionan el programa. Primero se utiliza para delimitar el resultado esperado y los supuestos bajo los que el control debería funcionar.

Interesados es una pieza del sistema, no una actividad aislada. Clientes, reguladores, personal y socios imponen expectativas. Después se conecta con responsables, dependencias y señales que permiten saber si la capacidad está operando.

Alcance es una pieza del sistema, no una actividad aislada. Incluye límites, interfaces, procesos y exclusiones justificadas. Finalmente se contrasta con escenarios normales, fallas previsibles y abuso deliberado para descubrir límites antes de una crisis.

La competencia no consiste en memorizar una herramienta ni una respuesta de examen. Consiste en definir un resultado verificable, operarlo de forma repetible, reconocer sus límites y conservar evidencia suficiente para que otra persona pueda revisar la decisión.

En certificaciones profesionales, estos conceptos suelen aparecer separados por dominios. En la práctica convergen: una debilidad de gobierno cambia la arquitectura; una arquitectura incompleta reduce la telemetría; y una telemetría insuficiente limita investigación, respuesta y aseguramiento.

01 · CONCEPTOS ESENCIALES
01

Contexto

Factores internos y externos condicionan el programa.

02

Interesados

Clientes, reguladores, personal y socios imponen expectativas.

03

Alcance

Incluye límites, interfaces, procesos y exclusiones justificadas.

02 · PROCEDIMIENTO PROFESIONAL

Cómo llevarlo a la práctica

  1. 01

    Delimita el proceso, los activos, las identidades, los datos y las dependencias incluidos.

  2. 02

    Aplica Contexto, Interesados, Alcance con responsables, criterios de escalamiento y límites explícitos.

  3. 03

    Prueba el comportamiento esperado y también una condición de falla o abuso relevante.

  4. 04

    Conserva documento de contexto y alcance del SGSI y registra hallazgos, excepciones, dueño y fecha de revisión.

EVIDENCIA QUE DEBES PRODUCIR

documento de contexto y alcance del SGSI

Conserva versión, responsable, fecha, alcance, revisión y decisiones derivadas.

03 · ESCENARIO DE DECISIÓN

¿Qué harías?

El equipo afirma que esta capacidad está implementada, pero no puede mostrar documento de contexto y alcance del SGSI ni explicar cómo actúa cuando el control falla.

DECISIÓN RECOMENDADA

Definir el alcance y el dueño, ejecutar el procedimiento, producir documento de contexto y alcance del SGSI y someter el resultado a una revisión independiente proporcional al riesgo.

Criterio: Los marcos profesionales evalúan resultados, operación y evidencia. Una intención o configuración aislada no demuestra que el riesgo esté controlado.
ERRORES FRECUENTES
  • Limitar el alcance a TI ignorando procesos, personas y proveedores críticos.
  • Confundir la compra o activación de una herramienta con la operación efectiva y medible del control.
LISTA DE VERIFICACIÓN
  • El alcance, el responsable y el criterio de éxito están documentados.
  • Existe evidencia fechada de ejecución y revisión, no solo una declaración.
  • Las excepciones tienen riesgo, aprobación, compensación y vencimiento.
  • El resultado alimenta una decisión, una mejora o una respuesta definida.
04 · APLÍCALO EN TU ENTORNO

Construye un primer borrador de documento de contexto y alcance del SGSI; incluye alcance, entradas, pasos, responsable, evidencia, excepción y criterio de actualización.

FUENTES PRIMARIAS