Preparación para TISAX para proveedores de automoción

Un cliente del sector de la automoción le pide un resultado TISAX. Antes de asignar tareas, determine qué objetivos de evaluación y qué ubicaciones espera ver el cliente. Esa solicitud determina el trabajo de aseguramiento que necesita organizar: sistemas, entornos físicos, equipos responsables y evidencias.

TISAX es un mecanismo de evaluación e intercambio administrado por ENX que utiliza la VDA Information Security Assessment (ISA). Produce resultados de evaluación y etiquetas conforme a sus propias reglas, no un certificado al estilo ISO. Para un CTO, prepararse significa conectar las expectativas del cliente con los controles implementados, no simplemente rellenar un cuestionario.

Traduzca la solicitud del cliente en un alcance de evaluación

Las solicitudes pueden llegar de un fabricante (OEM) o de otro proveedor. Pida los objetivos exactos, las etiquetas esperadas, el calendario requerido y las ubicaciones que deben cubrirse. Confirme las entidades jurídicas participantes y si las oficinas de ingeniería, las instalaciones de producción, las modalidades de teletrabajo y los servicios de apoyo afectan al límite.

Los objetivos de evaluación determinan los requisitos pertinentes y la profundidad del aseguramiento. La seguridad de la información, la protección de prototipos y la protección de datos son dimensiones importantes, pero no sustituyen a la selección de los objetivos concretos que recoge la guía actual de ENX.

Los niveles de evaluación describen la profundidad del examen:

• AL1: autoevaluación para fines internos; los resultados no se comparten a través de TISAX y no reciben etiquetas TISAX.
• AL2: una evaluación de plausibilidad de la autoevaluación y de las evidencias de apoyo.
• AL3: una evaluación exhaustiva, que incluye un examen in situ.

Utilice la información sobre TISAX y la guía para participantes de ENX para confirmar los objetivos aplicables, la organización de la evaluación y la versión de la ISA. Registre el alcance y seleccione un proveedor de evaluación autorizado a través del proceso correspondiente. Hable pronto de los requisitos previos y la disponibilidad; un plazo del cliente no es una fecha de evaluación garantizada.

El entregable es un registro del alcance con los criterios de aceptación del cliente, las ubicaciones, los objetivos, las dependencias, los responsables y el enfoque de evaluación acordado. Evite tanto ampliaciones innecesarias del alcance como exclusiones que omitan servicios que dan soporte a información protegida.

Convierta la autoevaluación ISA en trabajo de implementación

Complete la autoevaluación aplicable conforme a las prácticas operativas reales. Cuando un requisito tenga un nivel de madurez objetivo, explique cómo su implementación respalda la respuesta, en lugar de asignar una puntuación basada en la existencia de una política.

Utilice un registro de trabajo con el requisito, la descripción de la implementación, el responsable, la ubicación, la referencia de la evidencia, la brecha y la acción correctiva. Asigne la responsabilidad de revisión además de la de ejecución: alguien debe cuestionar si las evidencias demuestran la afirmación.

Proteja la información de ingeniería y la TI de apoyo

Siga los planos confidenciales, el código fuente, las especificaciones y los datos de clientes desde su recepción, pasando por la colaboración, el almacenamiento y la entrega, hasta su eliminación. Compruebe la clasificación, los permisos, el intercambio externo, el acceso privilegiado, la protección de los endpoints, el registro de actividad, la restauración de copias de seguridad y la gestión de incidentes.

Por ejemplo, un proceso aprobado de intercambio de planos debe identificar el canal permitido, los destinatarios autorizados, la caducidad del acceso y la responsabilidad de retirar los accesos obsoletos. Una política que prohíbe los enlaces públicos es una evidencia débil si los equipos de proyecto siguen utilizándolos.

Evalúe también a los proveedores externos. Registre qué servicios dan soporte al alcance, quién los administra, qué expectativas contractuales de seguridad se aplican y qué evidencias puede obtener. Externalizar un servicio no elimina su necesidad de entender sus controles.

Establezca controles físicos y de prototipos locales

Las políticas centrales pueden servir para varias ubicaciones, pero cada ubicación necesita evidencias de implementación. Conecte las reglas de acceso con los permisos de las tarjetas, los registros de visitantes, las normas de acompañamiento y la retirada de accesos cuando el personal se marcha.

Cuando se aplique la protección de prototipos, examine el entorno de manipulación: zonas restringidas, visibilidad desde el exterior, restricciones fotográficas, transporte, almacenamiento temporal y eliminación aprobada. Identifique al personal responsable y documente los traspasos cuando proceda. Los registros de acceso digitales por sí solos no demuestran el control sobre un componente físico.

Aborde las personas y la protección de datos

RR. HH. debe dar soporte a la incorporación, los compromisos de confidencialidad, la formación específica de cada puesto y la coordinación de las bajas. Compras, instalaciones e ingeniería necesitan tareas explícitas en lugar de una instrucción general de «apoyar a TI».

Cuando se apliquen objetivos de protección de datos, evalúe el tratamiento pertinente y las responsabilidades contractuales. Un resultado TISAX no acredita el cumplimiento del RGPD; las obligaciones legales siguen dependiendo de su rol y de sus actividades de tratamiento.

Reúna evidencias que demuestren el funcionamiento

Las evidencias deben establecer qué ocurrió, dónde, cuándo y bajo la responsabilidad de quién. Como recomendación práctica, utilice las siguientes distinciones al revisar la preparación:

Registre las fechas de las evidencias, los sistemas de origen, las ubicaciones y los revisores. Conserve los registros históricos cuando sean necesarios para explicar el funcionamiento y los cambios. Una captura de pantalla antigua no es automáticamente inútil, pero no puede acreditar la configuración actual sin un contexto que la respalde.

Mantenga bajo control de acceso las evidencias confidenciales de la evaluación. Evite recopilar diseños de clientes o información personal innecesarios cuando un registro con datos ocultados pueda demostrar el control.

Automatice la recopilación repetible, no la rendición de cuentas

Empiece por tareas recurrentes con entradas y salidas claras: exportaciones de permisos, actualizaciones del inventario de activos, registros de formación, recordatorios de revisión y comprobaciones de la vigencia de las evidencias. Documente primero el proceso manual para que la automatización no reproduzca más rápido un flujo de trabajo poco claro.

Para cada recopilación automatizada, especifique su fuente, su alcance, su frecuencia, la gestión de fallos y el responsable de la revisión. Compruebe si las exportaciones incluyen todas las ubicaciones y todos los tipos de cuenta pertinentes. Un proceso de recopilación satisfactorio puede seguir omitiendo las identidades de contratistas o una red de planta gestionada por separado.

Al evaluar herramientas, pruebe la trazabilidad de las evidencias, la asignación de responsables por ubicación, la gestión de versiones, las decisiones de revisión y la utilidad de las exportaciones. Pregunte por separado cómo se representan las evidencias de prototipos; una correspondencia de seguridad de la información no acredita la protección física de prototipos. No dé por hecho que el formato de salida de una herramienta será aceptado sin hablar antes con el evaluador sobre las expectativas en materia de evidencias.

Ejemplo práctico: dos ubicaciones, un proceso de ingeniería

Supongamos, a modo ilustrativo, que un proveedor opera una oficina de ingeniería y un taller de prototipos. Su cliente solicita objetivos que cubran la información confidencial de desarrollo y la protección de prototipos en ambas ubicaciones.

El equipo de ingeniería identifica el repositorio de diseños y el servicio de intercambio. Instalaciones documenta el acceso al taller y la gestión de visitantes. Una revisión descubre que los permisos del repositorio se revisan de forma centralizada, pero que el acceso al taller todavía incluye a dos empleados que han cambiado de destino.

La acción correctiva retira esos permisos, asigna un revisor local y registra la fecha de la próxima revisión. Las evidencias incluyen los registros de acceso antes y después, la decisión de aprobación y el procedimiento actualizado del taller. La respuesta de la autoevaluación hace referencia a estos registros e identifica la ubicación afectada. Así, el hallazgo, la corrección y la implementación son trazables sin tratar la política central como prueba para ambas ubicaciones.

Mantenga utilizable el ciclo de evaluación

Antes de la evaluación, ensaye la recuperación de evidencias con los responsables de los controles y acuerde quién gestiona los hallazgos. Haga seguimiento de las acciones correctivas hasta su implementación y reevaluación, según exija el proceso del proveedor de evaluación. Confirme cómo se compartirán los resultados con el cliente solicitante conforme a las reglas de ENX. Las etiquetas TISAX suelen tener un periodo de validez de tres años; mantenga los controles y tenga en cuenta los cambios de alcance entre evaluaciones.

Secani ofrece un espacio de trabajo conectado para requisitos, responsables, tareas y evidencias. Los equipos pueden vincular registros específicos de cada ubicación a los controles, hacer seguimiento de las brechas y conservar las decisiones de revisión humanas. La preparación estructurada de auditorías ayuda a reutilizar el trabajo común sin perder el contexto local.

Empiece por los objetivos solicitados por el cliente; después, seleccione un flujo de información crítico y siga los registros que demuestran su protección en cada ubicación incluida.