Manual del participante de TISAX

La descripción del alcance define el alcance de la evaluación. Para la descripción del alcance, ha de elegir uno de los dos tipos de alcance:

En la siguiente sección trataremos el alcance estándar. El alcance estándar es la elección adecuada para más del 99 % de los participantes. Por eso, solo tratamos los alcances personalizados en la Sección 7.8, “Anexo: Alcances personalizados”.

La descripción de alcance estándar es la base para la evaluación TISAX. Otros participantes de TISAX solo aceptarán resultados de la evaluación basados en la descripción del alcance estándar.

La descripción del alcance estándar está predefinida y no puede cambiarla.

Una gran ventaja de contar con un alcance estándar es que usted no necesita pensar en su propia definición.

Esta es la descripción del alcance estándar (versión 2.0):

Le recomendamos encarecidamente que elija el alcance estándar. Todos los participantes de TISAX aceptan los resultados de la evaluación de la seguridad de la información basados en el alcance estándar.

Su próxima tarea después de definir el alcance es decidir qué ubicaciones forman parte del alcance de la evaluación.

Si su empresa es pequeña (una ubicación), es una tarea fácil. Simplemente ha de añadir su ubicación al alcance de la evaluación.

Si su empresa es grande, puede considerar la posibilidad de registrar más de un alcance de la evaluación.

Tener un único alcance que contenga todas las ubicaciones tiene ventajas:

Sin embargo, un único alcance también puede conllevar desventajas como:

Solo usted puede dar respuesta a la pregunta de si le conviene tener un solo alcance o varios. Pero las preguntas del siguiente diagrama podrían ayudarle a decidir.

Una vez que haya decidido qué ubicaciones son parte del alcance de la evaluación, puede seguir recopilando información específica de cada ubicación.

Para cada ubicación solicitamos información como el nombre de la empresa y la dirección. También solicitamos información adicional que permita a nuestros proveedores de auditoría TISAX hacerse una mejor idea de la estructura de su empresa. Las respuestas serán la base para sus cálculos.

Prepárese para dar los siguientes datos de cada una de sus ubicaciones (el asterisco rojo * indica información obligatoria en el proceso online):

Para cada ubicación deberá especificar un “location name” ( “nombre de la ubicación”). El objetivo del nombre de la ubicación es que resulte más fácil referirse a la ubicación a la hora de asignarle un alcance de la evaluación.

Recomendamos que asigne nombres de ubicación siguiendo este esquema:

Para cada alcance ha de especificar un “scope name” ( “nombre del alcance”). La finalidad principal del nombre del alcance es facilitarle la identificación del alcance en la lista general de alcances del portal ENX. Le recomendamos que asigne un nombre que sea útil para el lector y sus compañeros. Para la comunicación externa, deberá utilizar el ID de alcance.

Puede especificar el nombre que quiera. Pero no dé el mismo nombre de alcance a más de un alcance.

Cuando más adelante quiera renovar su evaluación TISAX, necesitará crear un nuevo alcance (posiblemente, idéntico al actual). Por eso le recomendamos que añada el año de la evaluación al nombre del alcance.

Recomendamos asignar nombres de alcance siguiendo este esquema:

Para poder comunicarnos con usted, recopilamos información de los contactos de su empresa.

Le pedimos como mínimo un contacto de su empresa como participante de TISAX en general y uno para cada alcance de evaluación. También puede proporcionar contactos adicionales.

Durante los preparativos para el registro, deberá decidir qué persona o personas de su empresa serán los contactos.

Pedimos los siguientes datos de contacto:

El principal objetivo de TISAX es publicar el resultado de la evaluación para otros participantes de TISAX y compartir el resultado con su(s) socio(s).

Puede decidir la forma de publicar y compartir el resultado de la evaluación durante el proceso de registro o en cualquier momento posterior.

Si lleva a cabo el proceso TISAX como medida preventiva, puede decidir ya si publicar el resultado de la evaluación para la comunidad de participantes de TISAX. Si no es así, no hay nada que preparar en esta fase.

Si su socio le ha solicitado que lleve a cabo el proceso TISAX, tarde o temprano deberá compartir el resultado de la evaluación. Puede compartir ya la información de estado con su socio durante el registro. En cuanto el resultado de la evaluación esté disponible, su socio tendrá permiso automáticamente para acceder al mismo^[6].

Para compartir la información de estado, necesita dos cosas:

Asegúrese de tener esta información.

Para más información sobre cómo publicar y compartir el resultado de su evaluación, consulte la Sección 6, “Intercambio (paso 3)”.

Actualmente existen doce objetivos de evaluación TISAX. Debe seleccionar al menos un objetivo de evaluación. También puede seleccionar más de uno.

Considere el objetivo de evaluación como el punto de referencia para su sistema de gestión de la seguridad de la información. El objetivo de evaluación es una entrada clave del proceso TISAX. Todos los proveedores de auditoría TISAX basan su estrategia de evaluación en el objetivo de evaluación.

Los objetivos de evaluación TISAX actuales son:

Ejemplo: Si realiza recorridos de prueba con vehículos en la vía pública, el objetivo de evaluación “Test vehicles” será uno de sus objetivos de evaluación.

La ISA contiene tres catálogos de criterios (seguridad de la información, protección de prototipos, protección de datos). Cada catálogo de criterios se compone de las llamadas “preguntas de control” y de los requisitos asociados.

Cada objetivo de evaluación define:

Para algunos objetivos de evaluación, solo se aplica un subconjunto de las preguntas de control y requisitos.

Para obtener más información sobre los objetivos de evaluación TISAX y las preguntas de control y requisitos aplicables, consulte la Sección 5.2.2, “Entender el documento ISA”.

Puede que su socio le hable de las “etiquetas TISAX”. “Objetivos de evaluación” y “etiquetas TISAX” son casi lo mismo. La diferencia es que usted inicia el proceso de evaluación con los “objetivos de evaluación” y, si supera la evaluación, recibe las correspondientes “etiquetas TISAX”.

Ejemplo: Su socio le exige que obtenga la etiqueta TISAX “Info high”. En ese caso, ha de seleccionar “Info high” como objetivo de evaluación.

La siguiente figura muestra el punto de entrada y salida del proceso TISAX:

Para más información sobre las etiquetas TISAX, consulte la Sección 5.4.14, “Etiquetas TISAX”.

Lo ideal es que su socio le diga exactamente qué objetivos de evaluación debe alcanzar.

Tendrá que seleccionar el objetivo de la evaluación a su propio juicio si:

Si ha de seleccionar el objetivo de evaluación a su propio juicio, tal vez le resulte útil tener en cuenta los siguientes aspectos:

Explicaciones adicionales:

Su socio tiene varios tipos de información, de los cuales algunos necesitan un nivel de protección más alto que otros. La ISA lo contempla diferenciando tres “necesidades de protección” ( “protection needs”): normal, alta y muy alta. Su socio clasifica la información y habitualmente asigna necesidades de protección.

Cuanto mayores sean las necesidades de protección, más interés tendrá el socio en asegurarse de que es seguro dejarle manejar su información. Por tanto, TISAX diferencia tres “niveles de evaluación” (AL). El nivel de evaluación define qué método de evaluación debe aplicar el proveedor de auditoría. Un nivel de evaluación más alto aumenta el esfuerzo dedicado a la evaluación. El resultado es un mayor cuidado y precisión en la evaluación.

La siguiente tabla muestra los niveles de evaluación que se aplican a los objetivos de evaluación TISAX:

Nivel de evaluación 1 (AL 1):

Las evaluaciones en el nivel de evaluación 1 son principalmente para fines internos en el sentido de una autoevaluación ( self-assessment).

En las evaluaciones del nivel de evaluación 1, el auditor comprueba la existencia de una autoevaluación completada. No evalúa el contenido de la autoevaluación. No exige más evidencias.

Los resultados de las evaluaciones en el nivel de evaluación 1 tienen un nivel de confianza bajo y por eso no se usan en TISAX. Pero, lógicamente, es posible que su socio le solicite una autoevaluación de este tipo fuera de TISAX.

Nivel de evaluación 2 (AL 2):

Para una evaluación dentro del nivel de evaluación 2, el proveedor de auditoría lleva a cabo una comprobación de plausibilidad de su autoevaluación (para todas las ubicaciones dentro del alcance de la evaluación). Lo hace comprobando las evidencias^[8] y entrevistando a la persona encargada de la seguridad de la información.

El proveedor de auditoría acostumbra a realizar esta entrevista por videoconferencia. Si usted lo solicita, puede realizar la entrevista en persona.

Si tiene evidencias que no quiere enviar al proveedor de auditoría, puede solicitar una inspección in situ. De esta forma, el proveedor de auditoría podrá comprobar esa evidencia ante usted con la máxima confidencialidad.

Nivel de evaluación 3 (AL 3):

Para una evaluación dentro del nivel de evaluación 3, el proveedor de auditoría lleva a cabo una verificación completa del cumplimiento de todos los requisitos aplicables por parte de su empresa. El auditor utiliza su autoevaluación y la documentación presentada para preparar la evaluación. Pero, a diferencia del nivel de evaluación 2, el auditor lo verificará todo. Esto incluye:

Niveles de evaluación y métodos de evaluación

La siguiente tabla proporciona un resumen simplificado de los métodos de auditoría asociados a cada nivel de evaluación:

Información adicional:

TISAX no exige que aplique los mismos requisitos a todos sus proveedores. Si su objetivo de evaluación es “Seguridad de la información con necesidad de protección muy alta”, esto NO significa automáticamente que sus propios proveedores deban alcanzar el mismo objetivo de evaluación. Ni siquiera significa que deban tener etiquetas TISAX.

Pero tendrá que comprobar para todos sus proveedores si usar sus servicios aumenta los riesgos o implica nuevos riesgos.

Dos ejemplos simplificados:

No obstante, una evaluación del riesgo podría mostrar que su proveedor también debe cumplir los requisitos para la necesidad de protección muy alta. En ese caso, las etiquetas TISAX son una opción para acreditarlo.

El ID de participante:

El ID de alcance:

La ISA cuenta actualmente con tres “catálogos de criterios”^[13]:

Cada catálogo de criterios tiene su propia hoja de Excel:

¿Qué catálogo de criterios es relevante para usted? Esto depende de su(s) objetivo(s) de evaluación.

Cada objetivo de evaluación determina qué requisitos de cada catálogo de criterios aplicar. Para algunos objetivos de evaluación, solo se aplican los requisitos de un catálogo de criterios; para otros, se aplican los requisitos de más de un catálogo de criterios.

Los objetivos de evaluación indicados anteriormente se corresponden con estos catálogos de criterios:

Ejemplo: Si ha seleccionado el objetivo de evaluación “Protección de datos”, tendrá que contestar a las preguntas de los catálogos de criterios “Seguridad de la información” Y “Protección de datos”.

Habrá notado que hay más de un objetivo de evaluación para cada catálogo de criterios. ¿Cómo saber qué requisitos son aplicables a cada objetivo de evaluación?

La siguiente tabla le muestra qué requisitos son aplicables:

La captura de pantalla que aparece a continuación muestra los principales elementos de las preguntas de control en el catálogo de criterios “Seguridad de la información”. (Los demás catálogos de criterios solo tienen un subconjunto de estos elementos.) Explicaremos todos los elementos más adelante.

Cada catálogo de criterios agrupa las preguntas en capítulos.

Ejemplo: “2 Recursos humanos”

La agrupación se basa en las responsabilidades típicas en una empresa. Estos departamentos se especifican en la columna “Responsable habitual de la aplicación del proceso” (“RR. HH.” en el ejemplo anterior).

Encontrará las preguntas para cada catálogo de criterios en las correspondientes hojas de Excel.

Ejemplo: “4.1.2 ¿Hasta qué nivel está protegido el acceso de usuarios a los servicios de red, sistemas informáticos y aplicaciones informáticas?”

Las preguntas de control también se denominan “controles”. Esto es “jerga de auditor”. Las normas ISO en las que se basa la ISA utilizan el término “control”.

Entre las columnas “Maturity level” ( “Nivel de madurez”) y “Control question” ( “Pregunta de control”) hay campos que deberá completar al llevar a cabo la autoevaluación:

Solo son obligatorias la descripción breve de la implementación y la referencia a la documentación. Esta información ayudará a nuestros proveedores de auditoría TISAX a entender mejor su empresa y preparar la evaluación.

Hay más columnas opcionales como ayuda a su autoevaluación:

A la derecha de la columna “Pregunta de control” se encuentra la columna “Objetivo” (columna J). Su contenido describe qué debe alcanzar en ese aspecto de su gestión de la seguridad de la información.

Ejemplo (para la pregunta de control 4.1.2): “Solo los usuarios identificados de forma segura (autenticados) pueden tener acceso a los sistemas informáticos. Para este fin, la identidad de un usuario se determina de forma segura con procedimientos adecuados”.

Los requisitos que debería cumplir para alcanzar este objetivo.

Los requisitos se reparten en cuatro columnas:

Debe cumplir todos los requisitos hasta la necesidad de protección que debe alcanzar (que podrá deducir a partir de su objetivo de evaluación).

Para algunos objetivos de evaluación, solo se aplica un subconjunto de requisitos. Para más información sobre la aplicabilidad de los requisitos, consulte la Tabla 8, “Aplicabilidad de los requisitos a los objetivos de evaluación” en la Sección 5.2.2.1, “Catálogos de criterios” y, especialmente, la note al final de la sección.

Para más información sobre las definiciones ISA de los niveles de requisito “obligatorio” y “opcional”, consulte los “términos clave” en la hoja de Excel “Definiciones”.

La ISA utiliza el concepto de “maturity levels” ( “niveles de madurez”) para puntuar la calidad de todos los aspectos de su sistema de gestión de la seguridad de la información. Cuanto más sofisticado sea su sistema de gestión de la seguridad de la información, mayor será el nivel de madurez.

La ISA distingue seis niveles de madurez. Podrá encontrar la definición detallada en la hoja de Excel “Maturity levels” ( “Niveles de madurez”). Para una visión conjunta de los niveles de madurez, citamos a continuación las descripciones informales que se recogen en la ISA:

Ha de valorar el nivel de madurez de su sistema de gestión de la seguridad de la información para cada pregunta. Introduzca su nivel de madurez en la columna “Maturity level” ( “Nivel de madurez”) (columna E).

Para más información sobre los niveles de madurez objetivo y su impacto en el resultado de la evaluación, consulte la Sección 5.2.4, “Interpretar el resultado de la autoevaluación”.

Con estos conocimientos, ahora está listo para iniciar la autoevaluación.

La puntuación final resume el resultado de la autoevaluación.

Encontrará la puntuación final (“Resultado con reducción a los niveles de madurez objetivo”) en la hoja de Excel “Resultados (ISA5)” (celda D6). Explicaremos la “reducción” pronto.

Para entender e interpretar el resultado de la autoevaluación y su puntuación final, debe diferenciar dos niveles de análisis:

La figura inferior muestra los niveles de análisis:

La figura inferior muestra dónde encontrará los resultados a nivel de puntuación y los resultados a nivel de pregunta:

La siguiente figura muestra una vista simplificada de los niveles de análisis, las definiciones de objetivos de la ISA y sus propios resultados:

Las siguientes secciones explican el resultado y su análisis en detalle.

La ISA define un “nivel de madurez objetivo” de 3 para cada pregunta.

Para más información sobre la definición de cada nivel de madurez, consulte la Sección 5.2.2, “Entender el documento ISA”.

La ISA define los niveles de madurez objetivo en la hoja de Excel “Resultados (ISA5)” (empezando por la columna G, fila 22, vea la figura más abajo).

Para recibir etiquetas TISAX, normalmente debe tener para cada pregunta un nivel de madurez igual o superior al nivel de madurez objetivo.

Ejemplo: Si el nivel de madurez objetivo para la pregunta X es “3”, su nivel de madurez para esa pregunta debería ser “3” o superior. Si su nivel de madurez para la pregunta está por debajo de “3”, podría no recibir etiquetas TISAX.

Esto ha de ser así para cada pregunta. Si el nivel de madurez objetivo de dos preguntas es “3”, no puede compensar un nivel de madurez “2” en una pregunta con un nivel de madurez “4” en otra pregunta.

El documento ISA automáticamente transfiere los niveles de madurez de la hoja de Excel “Seguridad de la información” (columna E) a la hoja de Excel “Resultados (ISA5)” (empezando por la columna H, fila 23):

Su nivel de madurez se somete a un cálculo antes de que el documento ISA lo resuma en la puntuación final. Básicamente, su nivel de madurez se “reduce” al nivel de madurez objetivo. Esto se hace así de forma que las preguntas en las que su nivel de madurez está por encima del nivel de madurez objetivo no compensen las preguntas en las que el nivel de madurez está por debajo del nivel de madurez objetivo.

Así calcula la ISA su resultado a nivel de pregunta:

Ejemplo (vea la figura más abajo): El nivel de madurez objetivo es “3”. Su nivel de madurez es “4”. Su “resultado reducido” para esa pregunta será “3”.

La siguiente figura muestra que, si su nivel de madurez es superior al nivel de madurez objetivo, la ISA lo reduce (los colores verde, naranja y rojo coinciden con los colores usados en la columna “Resultado”, véase la Figura 19, “Sus niveles de madurez en la hoja de Excel “Resultados (ISA5)””).

A continuación se muestra otra forma de ver los niveles de madurez a nivel de pregunta. Los colores de los círculos ilustran el nivel de madurez objetivo o la “distancia” hasta dicho nivel (ejemplo: el círculo es naranja si el nivel de madurez está “-1” por debajo del nivel de madurez objetivo). Las marcas de verificación ilustran su nivel de madurez.

La ISA define un nivel de madurez global “ideal”: el “resultado máximo” (o “Puntuación máxima”, celda G6).

En teoría, el nivel de madurez global es la media de todos los niveles de madurez objetivo (a nivel de pregunta). Esto daría un resultado máximo de “3,0”.

Sin embargo, solo es “3,0” si todas las preguntas son aplicables a su situación. En cuanto una pregunta no es aplicable a su situación, el promedio cambia y el resultado máximo será inferior a “3,0”.

A partir de la vista mostrada (Figura 22, “Niveles de madurez a nivel de pregunta”), a continuación verá qué se incluye en el promedio para el resultado máximo:

Su puntuación final total (“Resultado con reducción a los niveles de madurez objetivo”, celda D6):

De nuevo a partir de la vista mostrada (Figura 22, “Niveles de madurez a nivel de pregunta”), a continuación verá qué se incluye en el promedio para la puntuación final:

La puntuación final le dice si:

Si su puntuación final (“Resultado con reducción a los niveles de madurez objetivo”) está por debajo de “3,0”, significa que al menos en una pregunta su nivel de madurez no coincide con el nivel de madurez objetivo. En ese caso, es probable que tenga que mejorar su sistema de gestión de la seguridad de la información antes de estar listo para su evaluación TISAX.

El objetivo del análisis anterior es saber si está listo para una evaluación TISAX.

Estará listo para una evaluación TISAX si su puntuación final (“Resultado con reducción a los niveles de madurez objetivo”) es de “3,0” (o cercano a ese valor). En ese caso, todos los valores de la columna “Resultados” (H) estarán en verde (no en naranja o rojo).

Si no están en verde, deberá seguir analizando el resultado de la autoevaluación (consulte la Sección 5.2.5, “Examine el resultado de la autoevaluación”).

La siguiente figura muestra un diagrama de telaraña ISA de la hoja de Excel “Resultados (ISA5)”. La línea verde marca el nivel de madurez objetivo por cada capítulo. Si sus niveles de madurez están en esa línea o por encima, está listo para una evaluación TISAX. Si están por debajo de esa línea, podría no ser suficiente para obtener etiquetas TISAX.

Si “despliega” la telaraña ISA al nivel de pregunta, obtendrá una imagen verde/roja similar a nivel de pregunta:

Como todas las evaluaciones TISAX, la evaluación inicial empieza con una reunión inicial formal. La reunión inicial formal suele realizarse mediante teleconferencia o videoconferencia. Para pequeñas empresas, posiblemente con alguna experiencia de otras auditorías, no lleva mucho tiempo.

El objetivo de esta reunión es:

Según el plan elaborado, el proveedor de auditoría llevará a cabo la evaluación inicial. Los detalles concretos dependerán de sus objetivos de evaluación. La evaluación consiste principalmente en teleconferencias, entrevistas in situ e inspecciones in situ con diferentes grados de exhaustividad^[23].

El proveedor de auditoría presentará todos sus hallazgos durante la evaluación inicial.

En la reunión final, su proveedor de auditoría resumirá de nuevo todos sus hallazgos.

Después de la reunión final, el proveedor de auditoría preparará y le enviará el borrador del “informe de evaluación TISAX”. Usted puede expresar sus objeciones si opina que el proveedor de auditoría ha malinterpretado algo.^[24] A continuación, el proveedor de auditoría emite el “informe de evaluación TISAX”.

En esta fase, el resultado global de la evaluación actual será:

Si su resultado global de la evaluación es “conforme” tras la evaluación inicial, puede saltarse el resto de la sección sobre las evaluaciones y proceder al intercambio de su resultado.

Si su resultado global de la evaluación es “no conforme con una desviación importante”, la próxima tarea será elaborar un plan para abordar los hallazgos y cerrar las brechas encontradas por el proveedor de auditoría. Este plan se llama oficialmente “plan de acciones correctivas” ( “corrective action plan”).

Los motivos de una “evaluación del plan de acciones correctivas” son:

La “evaluación del plan de acciones correctivas” no es obligatoriamente un evento independiente. Tiene la opción de presentar el “plan de acciones correctivas” durante la reunión final de la evaluación inicial. El proveedor de auditoría puede entonces llevar a cabo la “evaluación del plan de acciones correctivas” directamente.

Si combina la “evaluación del plan de acciones correctivas” con la evaluación inicial y su “plan de acciones correctivas” cumple los requisitos, podrá acordar con el proveedor de auditoría que no necesita un “informe de evaluación inicial”. En su lugar, el proveedor de auditoría simplemente prepararía el “informe de evaluación del plan de acciones correctivas”. Este informe le permite recibir etiquetas TISAX temporales.

El proveedor de auditoría evalúa su “plan de acciones correctivas” de acuerdo con los siguientes requisitos:

Si su resultado global de la evaluación es “no conforme con una desviación mínima”, recibirá etiquetas TISAX temporales.

La ventaja de las etiquetas TISAX temporales es que su socio habitualmente las acepta bajo la condición de que más adelante usted reciba las etiquetas TISAX definitivas. Esto puede resultar útil si le urge demostrar a su socio la efectividad de su sistema de gestión de la seguridad de la información.

El requisito previo para obtener etiquetas TISAX temporales es la existencia de un informe de evaluación del plan de acciones correctivas con el resultado global de la evaluación “no conforme con una desviación mínima”.

Las etiquetas temporales TISAX equivalen a las etiquetas TISAX definitivas. La única diferencia es el periodo de validez más corto de las etiquetas temporales TISAX.

Las etiquetas temporales TISAX pueden ser válidas hasta nueve meses después de la reunión final de la evaluación inicial. El periodo de validez de las etiquetas temporales TISAX está determinado por el mayor periodo de implementación de las acciones correctivas.

Ejemplos:

Para más información sobre los requisitos de los periodos de implementación, consulte la Sección 5.4.9.3, “Requisitos del plan de acciones correctivas”

Una vez que haya completado todas las acciones correctivas, deberá solicitar una “evaluación de seguimiento”.

Su proveedor de auditoría puede realizar la o las evaluaciones de seguimiento durante los nueve meses siguientes a concluir la evaluación inicial^[26].

Si no necesita etiquetas TISAX temporales, puede solicitar directamente una evaluación de seguimiento. No necesita tener una “evaluación del plan de acciones correctivas” antes de la evaluación de seguimiento.

En caso de que necesite etiquetas TISAX temporales, asegúrese de que no haya un lapso temporal hasta recibir las etiquetas TISAX definitivas. Por este motivo, le recomendamos que solicite la evaluación de seguimiento con mucha antelación respecto a la última fecha posible^[27]. Querrá tener suficiente margen de tiempo para ocuparse de cualquier hallazgo menor identificado durante la evaluación de seguimiento.