Preparação TISAX para fornecedores do setor automóvel

Um cliente do setor automóvel pede um resultado TISAX. Antes de atribuir tarefas, determine que objetivos de avaliação e que localizações o cliente espera ver. Esse pedido determina o trabalho de garantia que precisa de organizar: sistemas, ambientes físicos, equipas responsáveis e evidências.

O TISAX é um mecanismo de avaliação e de troca administrado pela ENX, que utiliza a VDA Information Security Assessment (ISA). Produz resultados de avaliação e labels segundo as suas regras, e não um certificado ao estilo ISO. Para um CTO, a preparação significa ligar as expectativas do cliente aos controlos implementados, e não apenas preencher um questionário.

Traduzir o pedido do cliente num âmbito de avaliação

Os pedidos podem chegar de um OEM ou de outro fornecedor. Peça os objetivos exatos, os labels esperados, o calendário exigido e as localizações que têm de ser abrangidas. Confirme as entidades jurídicas participantes e se os gabinetes de engenharia, as instalações de produção, os regimes de teletrabalho e os serviços de suporte afetam o limite.

Os objetivos de avaliação determinam os requisitos relevantes e a profundidade da garantia. A segurança da informação, a proteção de protótipos e a proteção de dados são dimensões importantes, mas não substituem a seleção dos objetivos específicos previstos nas orientações atuais da ENX.

Os níveis de avaliação descrevem a profundidade do exame:

• AL1: autoavaliação para fins internos; os resultados não são partilhados através do TISAX e não recebem labels TISAX.
• AL2: uma avaliação de plausibilidade da autoavaliação e das evidências de suporte.
• AL3: uma avaliação abrangente, incluindo exame no local.

Use a informação e as orientações para participantes TISAX da ENX para confirmar os objetivos aplicáveis, as modalidades de avaliação e a versão da ISA. Registe o âmbito e selecione um prestador de avaliação autorizado através do processo adequado. Discuta cedo os pré-requisitos e a disponibilidade; um prazo do cliente não é uma data de avaliação garantida.

O resultado é um registo de âmbito com os critérios de aceitação do cliente, as localizações, os objetivos, as dependências, os responsáveis e a abordagem de avaliação acordada. Evite tanto alargamentos desnecessários do âmbito como exclusões que omitam serviços que suportam informação protegida.

Transformar a autoavaliação ISA em trabalho de implementação

Preencha a autoavaliação aplicável com base nas práticas operacionais reais. Quando um requisito tem uma maturidade-alvo, explique como a vossa implementação sustenta a resposta, em vez de atribuir uma pontuação com base na existência de uma política.

Use um registo de trabalho com o requisito, a descrição da implementação, o responsável, a localização, a referência da evidência, a lacuna e a ação corretiva. Atribua a responsabilidade pela revisão, além da responsabilidade pela execução: alguém deve questionar se as evidências provam a afirmação.

Proteger a informação de engenharia e as TI de suporte

Acompanhe desenhos confidenciais, código-fonte, especificações e dados de clientes desde a receção, passando pela colaboração, armazenamento e entrega, até à eliminação. Verifique a classificação, as permissões, a partilha externa, os acessos privilegiados, a proteção de endpoints, os registos, a reposição de cópias de segurança e o tratamento de incidentes.

Por exemplo, um processo aprovado de troca de desenhos deve identificar o canal permitido, os destinatários autorizados, a expiração do acesso e a responsabilidade pela remoção de acessos obsoletos. Uma política que proíbe ligações públicas é uma evidência fraca se as equipas de projeto continuarem a utilizá-las.

Avalie também os fornecedores externos. Registe que serviços suportam o âmbito, quem os administra, que expectativas contratuais de segurança se aplicam e que evidências consegue obter. Subcontratar um serviço não elimina a necessidade de compreender os seus controlos.

Estabelecer controlos físicos locais e de protótipos

As políticas centrais podem suportar várias instalações, mas cada localização precisa de evidências de implementação. Ligue as regras de acesso às permissões dos cartões, aos registos de visitantes, aos procedimentos de acompanhamento e à remoção de acessos quando os colaboradores saem.

Quando a proteção de protótipos se aplica, examine o ambiente de manuseamento: zonas restritas, visibilidade a partir do exterior, restrições à fotografia, transporte, armazenamento temporário e eliminação aprovada. Identifique os colaboradores responsáveis e documente as passagens de testemunho quando adequado. Os registos de acesso digitais, por si só, não demonstram o controlo sobre um componente físico.

Tratar as pessoas e a proteção de dados

Os RH devem apoiar a integração, os compromissos de confidencialidade, a formação específica por função e a coordenação das saídas. As compras, as instalações e a engenharia precisam de tarefas explícitas, e não de uma instrução genérica para «apoiar as TI».

Quando se aplicam objetivos de proteção de dados, avalie o tratamento relevante e as responsabilidades contratuais. Um resultado TISAX não estabelece a conformidade com o RGPD; os deveres legais continuam a depender do vosso papel e das vossas atividades de tratamento.

Reunir evidências que provem o funcionamento

As evidências devem estabelecer o que aconteceu, onde, quando e sob a responsabilidade de quem. Como recomendação prática, use as seguintes distinções ao rever a prontidão:

Registe as datas das evidências, os sistemas de origem, as localizações e os revisores. Preserve os registos históricos quando necessário para explicar o funcionamento e as alterações. Uma captura de ecrã antiga não é automaticamente inútil, mas não consegue estabelecer a configuração atual sem contexto de suporte.

Mantenha as evidências de avaliação confidenciais com acesso controlado. Evite recolher desenhos de clientes ou dados pessoais desnecessários quando um registo com dados ocultados pode demonstrar o controlo.

Automatizar a recolha repetível, não a responsabilidade

Comece por tarefas recorrentes com entradas e saídas claras: exportações de permissões, atualizações do inventário de ativos, registos de formação, lembretes de revisão e verificações da atualidade das evidências. Documente primeiro o processo manual, para que a automatização não reproduza mais depressa um fluxo de trabalho pouco claro.

Para cada recolha automática, especifique a origem, o âmbito, a frequência, o tratamento de falhas e o responsável pela revisão. Teste se as exportações incluem todas as instalações e tipos de conta relevantes. Uma tarefa de recolha bem sucedida pode ainda assim omitir identidades de prestadores externos ou uma rede fabril gerida separadamente.

Ao avaliar ferramentas, teste a rastreabilidade das evidências, a responsabilidade por instalação, a gestão de versões, as decisões de revisão e a usabilidade das exportações. Pergunte separadamente como são representadas as evidências relativas a protótipos; um mapeamento de segurança da informação não estabelece a proteção física de protótipos. Não presuma que o formato de saída de uma ferramenta será aceite sem discutir as expectativas de evidências com o avaliador.

Exemplo prático: duas localizações, um processo de engenharia

Suponha, a título ilustrativo, que um fornecedor opera um gabinete de engenharia e uma oficina de protótipos. O seu cliente pede objetivos que abrangem a informação confidencial de desenvolvimento e a proteção de protótipos em ambas as localizações.

A equipa de engenharia identifica o repositório de desenhos e o serviço de troca. As instalações mapeiam o acesso à oficina e o tratamento de visitantes. Uma revisão conclui que as permissões do repositório são revistas centralmente, mas que o acesso à oficina ainda inclui dois colaboradores transferidos.

A ação corretiva remove essas permissões, atribui um revisor local e regista a data da próxima revisão. As evidências incluem registos de acesso antes e depois, a decisão de aprovação e o procedimento atualizado da oficina. A resposta da autoavaliação referencia estes registos e identifica a localização em causa. Isto torna a constatação, a correção e a implementação rastreáveis, sem tratar a política central como prova para ambas as instalações.

Manter o ciclo de avaliação utilizável

Antes da avaliação, ensaie a obtenção de evidências com os responsáveis pelos controlos e acorde quem trata as constatações. Acompanhe as ações corretivas até à implementação e à reavaliação, conforme exigido pelo processo do prestador. Confirme como os resultados serão partilhados com o cliente requerente, dentro das regras da ENX. Os labels TISAX têm geralmente um período de validade de três anos; mantenha os controlos e tenha em conta as alterações de âmbito entre avaliações.

A Secani oferece um espaço de trabalho interligado para requisitos, responsáveis, tarefas e evidências. As equipas podem associar registos específicos de cada instalação aos controlos, acompanhar lacunas e preservar as decisões de revisão humanas. A preparação estruturada para auditorias ajuda a reutilizar o trabalho comum sem perder o contexto local.

Comece pelos objetivos pedidos pelo cliente e, depois, selecione um fluxo de informação crítico e acompanhe os registos que demonstram a sua proteção em cada localização incluída.