Préparer TISAX pour les fournisseurs automobiles

Un client automobile vous demande un résultat TISAX. Avant d’attribuer des tâches, établissez quels objectifs d’évaluation et quels sites le client s’attend à voir couverts. Cette demande détermine le travail d’assurance que vous devez organiser : systèmes, environnements physiques, équipes responsables et preuves.

TISAX est un mécanisme d’évaluation et d’échange administré par l’ENX, qui s’appuie sur le VDA Information Security Assessment (ISA). Il produit des résultats d’évaluation et des labels selon ses propres règles, et non un certificat de type ISO. Pour un CTO, se préparer consiste à relier les attentes du client aux mesures mises en œuvre, et pas simplement à remplir un questionnaire.

Traduire la demande du client en périmètre d’évaluation

Les demandes peuvent émaner d’un constructeur ou d’un autre fournisseur. Demandez les objectifs exacts, les labels attendus, le calendrier requis et les sites à couvrir. Confirmez les entités juridiques participantes et vérifiez si les bureaux d’études, les sites de production, les modalités de télétravail et les services de support ont une incidence sur le périmètre.

Les objectifs d’évaluation déterminent les exigences pertinentes et le niveau d’assurance. La sécurité de l’information, la protection des prototypes et la protection des données sont des dimensions importantes, mais elles ne remplacent pas le choix des objectifs spécifiques prévus par les recommandations actuelles de l’ENX.

Les niveaux d’évaluation décrivent la profondeur de l’examen :

• AL1 : auto-évaluation à usage interne ; les résultats ne sont pas partagés via TISAX et ne donnent pas lieu à des labels TISAX.
• AL2 : évaluation de la plausibilité de l’auto-évaluation et des preuves à l’appui.
• AL3 : évaluation approfondie, comprenant un examen sur site.

Consultez les informations TISAX et le guide du participant de l’ENX pour confirmer les objectifs applicables, les modalités d’évaluation et la version de l’ISA. Enregistrez le périmètre et choisissez un prestataire d’évaluation agréé selon la procédure prévue. Abordez tôt les prérequis et les disponibilités ; une échéance fixée par le client n’est pas une date d’évaluation garantie.

Le livrable est une fiche de périmètre comprenant les critères d’acceptation du client, les sites, les objectifs, les dépendances, les responsables et l’approche d’évaluation convenue. Évitez à la fois l’extension inutile du périmètre et les exclusions qui omettent des services soutenant des informations protégées.

Transformer l’auto-évaluation ISA en travaux de mise en œuvre

Remplissez l’auto-évaluation applicable au regard des pratiques réelles. Lorsqu’une exigence comporte un niveau de maturité cible, expliquez comment votre mise en œuvre étaye la réponse plutôt que d’attribuer une note fondée sur la seule existence d’une politique.

Utilisez un registre de travail indiquant l’exigence, la description de la mise en œuvre, le responsable, le site, la référence de preuve, l’écart et l’action corrective. Attribuez une responsabilité de revue en plus de la responsabilité de réalisation : quelqu’un doit vérifier de manière critique si les preuves démontrent l’affirmation.

Sécuriser les informations d’ingénierie et l’informatique qui les soutient

Suivez les plans confidentiels, le code source, les spécifications et les données clients depuis leur réception jusqu’à la collaboration, au stockage, à la livraison et à l’élimination. Vérifiez la classification, les autorisations, le partage externe, les accès à privilèges, la protection des postes, la journalisation, la restauration des sauvegardes et la gestion des incidents.

Par exemple, un processus approuvé d’échange de plans doit identifier le canal autorisé, les destinataires habilités, l’expiration des accès et la responsabilité de la suppression des accès obsolètes. Une politique interdisant les liens publics est une preuve faible si les équipes projet continuent de les utiliser.

Évaluez aussi les prestataires externes. Consignez quels services soutiennent le périmètre, qui les administre, quelles attentes contractuelles en matière de sécurité s’appliquent et quelles preuves vous pouvez obtenir. Externaliser un service ne vous dispense pas de comprendre ses mesures.

Mettre en place des mesures physiques et de protection des prototypes sur chaque site

Des politiques centrales peuvent couvrir plusieurs sites, mais chaque site a besoin de preuves de mise en œuvre. Reliez les règles d’accès aux droits des badges, aux registres des visiteurs, aux modalités d’accompagnement et au retrait des accès lors des départs.

Lorsque la protection des prototypes s’applique, examinez l’environnement de manipulation : zones à accès restreint, visibilité depuis l’extérieur, restrictions de prise de vue, transport, stockage temporaire et élimination approuvée. Identifiez le personnel responsable et documentez les remises lorsque c’est pertinent. Les journaux d’accès numériques ne démontrent pas à eux seuls la maîtrise d’un composant physique.

Traiter les aspects humains et la protection des données

Les RH doivent soutenir l’intégration, les engagements de confidentialité, les formations propres à chaque rôle et la coordination des départs. Les achats, les services généraux et l’ingénierie ont besoin de tâches explicites plutôt que d’une consigne générale de « soutenir l’informatique ».

Lorsque des objectifs de protection des données s’appliquent, évaluez les traitements et les responsabilités contractuelles concernés. Un résultat TISAX n’établit pas la conformité au RGPD ; les obligations légales continuent de dépendre de votre rôle et de vos activités de traitement.

Rassembler des preuves qui démontrent le fonctionnement

Les preuves doivent établir ce qui s’est passé, où, quand et sous la responsabilité de qui. À titre de recommandation pratique, appuyez-vous sur les distinctions suivantes pour évaluer l’état de préparation :

Consignez les dates des preuves, les systèmes sources, les sites et les relecteurs. Conservez les enregistrements historiques lorsqu’ils sont nécessaires pour expliquer le fonctionnement et les changements. Une ancienne capture d’écran n’est pas automatiquement inutile, mais elle ne peut pas établir la configuration actuelle sans contexte à l’appui.

Gardez les preuves d’évaluation confidentielles sous contrôle d’accès. Évitez de collecter des conceptions clients ou des données personnelles inutiles lorsqu’un enregistrement expurgé suffit à démontrer la mesure.

Automatiser la collecte répétitive, pas la responsabilité

Commencez par des tâches récurrentes aux entrées et sorties claires : exports d’autorisations, mises à jour de l’inventaire des actifs, registres de formation, rappels de revue et contrôles de fraîcheur des preuves. Documentez d’abord le processus manuel afin que l’automatisation ne reproduise pas plus vite un workflow flou.

Pour chaque collecte automatisée, précisez sa source, son périmètre, sa fréquence, la gestion des échecs et le responsable de la revue. Vérifiez que les exports incluent tous les sites et types de comptes concernés. Une tâche de collecte réussie peut tout de même omettre les identités des prestataires ou un réseau d’usine géré séparément.

Lorsque vous évaluez un outil, testez la traçabilité des preuves, la responsabilité par site, la gestion des versions, les décisions de revue et l’exploitabilité des exports. Demandez séparément comment les preuves relatives aux prototypes sont représentées ; une correspondance avec la sécurité de l’information n’établit pas la protection physique des prototypes. Ne supposez pas que le format de sortie d’un outil sera accepté sans avoir discuté des attentes en matière de preuves avec l’évaluateur.

Exemple concret : deux sites, un processus d’ingénierie

Supposons, à titre d’illustration, qu’un fournisseur exploite un bureau d’études et un atelier de prototypes. Son client demande des objectifs couvrant les informations de développement confidentielles et la protection des prototypes sur les deux sites.

L’équipe d’ingénierie identifie le dépôt de conception et le service d’échange. Les services généraux cartographient l’accès à l’atelier et la gestion des visiteurs. Une revue révèle que les autorisations du dépôt sont revues de manière centralisée, mais que l’accès à l’atelier comprend encore deux collaborateurs mutés.

L’action corrective supprime ces autorisations, désigne un relecteur local et consigne la date de la prochaine revue. Les preuves comprennent les enregistrements d’accès avant et après, la décision d’approbation et la procédure mise à jour de l’atelier. La réponse à l’auto-évaluation fait référence à ces enregistrements et identifie le site concerné. Le constat, la correction et la mise en œuvre deviennent ainsi traçables sans que la politique centrale soit traitée comme une preuve valable pour les deux sites.

Garder le cycle d’évaluation exploitable

Avant l’évaluation, entraînez-vous à retrouver les preuves avec les responsables des mesures et convenez de qui traite les constats. Suivez les actions correctives jusqu’à leur mise en œuvre et à la réévaluation, conformément à la procédure du prestataire. Confirmez comment les résultats seront partagés avec le client demandeur dans le respect des règles de l’ENX. Les labels TISAX ont généralement une durée de validité de trois ans ; maintenez les mesures et tenez compte des changements de périmètre entre deux évaluations.

Secani offre un espace de travail connecté pour les exigences, les responsables, les tâches et les preuves. Les équipes peuvent rattacher des enregistrements propres à chaque site aux mesures, suivre les écarts et conserver les décisions de revue humaines. Une préparation structurée aux audits aide à réutiliser le travail commun sans perdre le contexte local.

Commencez par les objectifs demandés par le client, puis choisissez un flux d’informations critique et retracez les enregistrements qui démontrent sa protection sur chaque site inclus.