Manuale per i partecipanti TISAX

La descrizione dell’ambito definisce l’ambito di valutazione. Per la descrizione dell’ambito, è necessario scegliere uno dei seguenti due tipi di ambito:

Parleremo dell’ambito standard nella sezione seguente. L’ambito standard è la scelta giusta per oltre il 99% dei partecipanti. Pertanto, parleremo degli ambiti personalizzati solo in Sezione 7.8, “Allegato: Ambiti personalizzati”.

La descrizione dell’ambito standard è alla base della valutazione TISAX. Gli altri partecipanti TISAX accettano solo i risultati di valutazioni basati sulla descrizione dell’ambito standard.

La descrizione dell’ambito standard è predefinita e non può essere modificata.

Uno dei vantaggi principali dell’adottare un ambito standard è il fatto che non occorre elaborare una propria definizione.

Di seguito è riportata la descrizione dell’ambito standard (versione 2.0):

Consigliamo vivamente di scegliere l’ambito standard. Tutti i partecipanti TISAX accettano i risultati della valutazione della sicurezza delle informazioni basati sull’ambito standard.

Dopo aver definito il tipo di ambito, dovete decidere quali sedi rientrano nell’ambito di valutazione.

Se la vostra azienda è di piccole dimensioni (una sola sede), si tratta di un’operazione facile. Dovrete semplicemente aggiungere la vostra sede all’ambito di valutazione.

Se si tratta invece di un’azienda di grandi dimensioni, potete valutare se registrare più di un ambito di valutazione.

Definire un unico ambito che racchiuda tutte le vostre sedi presenta dei vantaggi:

Tuttavia la definizione di un unico ambito può presentare anche degli svantaggi, come ad esempio:

La decisione se avere un solo ambito o più ambiti spetta unicamente a voi. Tuttavia, rispondere alle domande presenti nel seguente grafico può aiutarvi a decidere.

Ora che avete deciso quali sedi rientrano nell’ambito di valutazione, potete continuare a raccogliere informazioni specifiche sulle sedi.

Per ogni sede abbiamo bisogno di informazioni come la denominazione e l’indirizzo dell’azienda. Vi chiediamo inoltre alcune informazioni aggiuntive che consentono ai nostri fornitori di audit TISAX di farsi un’idea più precisa della vostra struttura aziendale. In base alle vostre risposte essi formuleranno una stima del lavoro richiesto.

Preparate quindi le seguenti informazioni per ciascuna delle vostre sedi (l’asterisco rosso * indica le informazioni obbligatorie nella procedura online):

Per ciascuna sede dovete specificare un “location name” ( “nome della sede”). Il nome della sede consente di individuare una determinata sede con più facilità quando la si assegna a un ambito di valutazione.

Consigliamo di assegnare i nomi delle sedi in base al seguente schema:

Per ogni ambito è necessario specificare uno “scope name” ( “nome dell’ambito”). Lo scopo principale del nome dell’ambito è quello di facilitare l’identificazione di un determinato ambito nell’elenco generale degli ambiti nel portale ENX. Scegliete un nome che sia utile al lettore e ai vostri colleghi. Per le comunicazioni esterne, utilizzate l’ID Ambito.

Potete usare il nome che volete, ma non è possibile assegnare lo stesso nome a più di un ambito.

Se in seguito desiderate rinnovare la valutazione TISAX, dovrete creare un nuovo ambito (possibilmente identico a quello attuale). Consigliamo quindi di aggiungere l’anno della valutazione al nome dell’ambito.

Consigliamo di assegnare i nomi degli ambiti in base al seguente schema:

Per poter comunicare con voi, raccogliamo i dati di contatto dei referenti presso la vostra azienda.

Chiediamo di fornirci almeno un contatto per la vostra azienda in quanto partecipante TISAX in generale e uno per ciascun ambito di valutazione. Potete anche fornire contatti aggiuntivi.

Durante i preparativi per la registrazione, dovete quindi decidere chi saranno i referenti della vostra azienda da inserire come contatti.

Chiediamo di indicare i seguenti dati di contatto:

Lo scopo principale di TISAX è quello di pubblicare il risultato della vostra valutazione rendendolo disponibile per gli altri partecipanti TISAX e di condividerlo con il/i vostro/i partner.

Potete decidere se pubblicare e condividere il risultato della valutazione durante la procedura di registrazione o in qualsiasi momento successivo.

Se avete deciso di intraprendere il processo TISAX in via preventiva, potete già decidere di pubblicare il risultato della valutazione e renderlo disponibile alla comunità dei partecipanti TISAX. Per il resto, non dovete preparare nient’altro in questa fase.

Se è stato il vostro partner a chiedervi di sottoporvi al processo TISAX, prima o poi dovrete condividere il risultato della valutazione. È possibile condividere le informazioni sullo stato con il partner già durante la registrazione. Una volta che il risultato della valutazione sarà disponibile, il vostro partner sarà automaticamente autorizzato ad accedervi^[6].

Per condividere le informazioni sullo stato sono necessarie due cose:

Assicuratevi quindi di disporre di queste informazioni.

Per maggiori informazioni sulla pubblicazione e la condivisione del risultato della valutazione, si veda Sezione 6, “Scambio (fase 3)”.

Attualmente sono disponibili 12 obiettivi di valutazione TISAX. È necessario selezionarne almeno uno, ma si può selezionare anche più di un obiettivo.

Considerate l’obiettivo di valutazione come il punto di riferimento per il sistema di gestione della sicurezza delle informazioni della vostra azienda. L’obiettivo di valutazione è un elemento fondamentale a monte del processo TISAX. Tutti i fornitori di audit TISAX basano la propria strategia di valutazione principalmente sull’obiettivo di valutazione.

Gli attuali obiettivi di valutazione TISAX sono:

Esempio: se la vostra azienda effettua test drive su strade pubbliche, l’obiettivo di valutazione “Test vehicles” è uno dei vostri obiettivi di valutazione.

L’ISA include tre cataloghi di criteri (sicurezza delle informazioni, protezione dei prototipi, protezione dei dati). Ciascun catalogo di criteri è composto dalle cosiddette “domande di controllo” e dai relativi requisiti.

Ciascun obiettivo di valutazione definisce:

Per alcuni obiettivi di valutazione è applicabile solo un sottoinsieme delle domande di controllo e dei requisiti.

Per ulteriori informazioni di base sugli obiettivi di valutazione TISAX e sulle domande di controllo e i requisiti applicabili, si veda Sezione 5.2.2, “Come interpretare il documento ISA”.

Il vostro partner potrebbe fare riferimento alle “etichette TISAX”. Gli “obiettivi di valutazione” e le “etichette TISAX” indicano praticamente lo stesso concetto. La differenza è che si inizia il processo di valutazione con gli “obiettivi di valutazione” e, se si supera la valutazione, si ricevono le “etichette TISAX” corrispondenti.

Esempio: il vostro partner chiede alla vostra azienda di ottenere l’etichetta TISAX “Info high”, quindi selezionate “Info high” come vostro obiettivo di valutazione.

La figura di seguito mostra gli elementi a monte e a valle del processo TISAX:

Per maggiori informazioni sulle etichette TISAX, si veda Sezione 5.4.14, “Etichette TISAX”.

Idealmente, è il vostro partner a dirvi con precisione quali obiettivi di valutazione dovete raggiungere.

La scelta dell’obiettivo di valutazione è invece a vostra discrezione se:

Se dovete scegliere l’obiettivo di valutazione a vostra discrezione, vi sarà utile considerare i seguenti aspetti:

Spiegazioni aggiuntive:

Il vostro partner dispone di informazioni di vario tipo e alcune di queste possono necessitare un livello di protezione più elevato rispetto ad altre. L’ISA tiene conto di questo aspetto distinguendo tra tre “esigenze di protezione” ( “protection needs”): normali, elevate e molto elevate. È il vostro partner a classificare le proprie informazioni e ad assegnare solitamente le esigenze di protezione.

Quanto maggiori sono le esigenze di protezione, tanto più il vostro partner è interessato ad assicurarsi che gestiate le sue informazioni in maniera sicura. Per questo motivo TISAX prevede tre “livelli di valutazione” (AL) diversi. Il livello di valutazione stabilisce il metodo di valutazione che il fornitore di audit deve applicare. Un livello di valutazione più elevato richiede un lavoro maggiore, che si traduce in una valutazione più scrupolosa e accurata.

Nella tabella seguente sono indicati i livelli di valutazione che si applicano agli obiettivi di valutazione TISAX:

Livello di valutazione 1 (AL 1):

Le valutazioni nel livello di valutazione 1 hanno finalità principalmente interne e corrispondono a un’autovalutazione ( self-assessment) vera e propria.

Durante una valutazione nel livello di valutazione 1, l’auditor verifica che sia stata completata un’autovalutazione. Non valuta il contenuto dell’autovalutazione e non necessita di ulteriori prove.

I risultati delle valutazioni nel livello di valutazione 1 hanno un grado di affidabilità basso e quindi non vengono utilizzati all’interno di TISAX. È tuttavia possibile che il vostro partner richieda un’autovalutazione di questo tipo al di fuori di TISAX.

Livello di valutazione 2 (AL 2):

Per una valutazione nel livello di valutazione 2, il fornitore di audit controlla l’attendibilità della vostra autovalutazione (per tutte le sedi che rientrano nell’ambito di valutazione). Esegue questo controllo verificando le prove^[8] e conducendo un colloquio con il responsabile della sicurezza delle informazioni.

Il fornitore di audit effettua il colloquio generalmente tramite videoconferenza; tuttavia, su richiesta dell’azienda, il colloquio può essere svolto anche di persona.

Se disponete di prove che non volete inviare al fornitore di audit, potete richiedere un’ispezione in loco. In questo modo, il fornitore di audit potrà comunque controllare le vostre prove strettamente riservate.

Livello di valutazione 3 (AL 3):

Per una valutazione nel livello di valutazione 3, il fornitore di audit esegue una verifica completa della conformità della vostra azienda ai requisiti applicabili. Per preparare la valutazione, l’auditor si avvale dell’autovalutazione e della documentazione presentata. Tuttavia, a differenza del livello di valutazione 2, l’auditor verificherà tutto, eseguendo le seguenti operazioni:

Livelli di valutazione e metodi di valutazione

La tabella seguente offre una panoramica semplificata dei metodi di audit associati a ciascun livello di valutazione:

Informazioni aggiuntive:

Con TISAX non è necessario sottoporre tutti i fornitori della vostra azienda agli stessi requisiti. Se il vostro obiettivo di valutazione è “Sicurezza delle informazioni con esigenze di protezione molto elevate”, ciò NON significa automaticamente che i vostri fornitori debbano raggiungere lo stesso obiettivo di valutazione. Non significa nemmeno che debbano avere etichette TISAX.

Tuttavia, per tutti i vostri fornitori, dovete comunque verificare se l’utilizzo dei loro servizi aumenti i rischi o ne introduca di nuovi.

Di seguito sono riportati due esempi estremamente semplificati:

Tuttavia, la valutazione dei rischi può rivelare che anche il vostro fornitore deve soddisfare i requisiti per le esigenze di protezione molto elevate. In questo caso, le etichette TISAX sono un’opzione per ottenere tali dimostrazioni.

L’ID Partecipante:

L’ID Ambito:

L’ISA dispone al momento di tre “cataloghi di criteri”^[13]:

Ciascun catalogo di criteri ha il proprio foglio Excel:

Quale catalogo di criteri è rilevante per la vostra azienda? La risposta dipende dal/i vostro/i obiettivo/i di valutazione.

Ciascun obiettivo di valutazione definisce quali requisiti di quale catalogo di criteri si applicano. Per alcuni obiettivi di valutazione si applicano solo i requisiti di un catalogo di criteri, mentre per altri si applicano i requisiti di più cataloghi di criteri.

Gli obiettivi di valutazione menzionati sopra corrispondono ai seguenti cataloghi di criteri:

Esempio: se avete selezionato l’obiettivo di valutazione “Protezione dei dati”, dovrete rispondere alle domande dei cataloghi di criteri “Sicurezza delle informazioni” E “Protezione dei dati”.

Avrete notato che c’è più di un obiettivo di valutazione per ogni catalogo di criteri. Come fare quindi a capire quali requisiti sono applicabili a quale obiettivo di valutazione?

La tabella seguente mostra quali sono i requisiti applicabili:

Lo screenshot seguente mostra gli elementi principali delle domande di controllo nel catalogo di criteri “Sicurezza delle informazioni” (gli altri cataloghi di criteri presentano solo un sottoinsieme di questi elementi). Tutti gli elementi sono spiegati più avanti.

Ciascun catalogo di criteri raggruppa le domande in capitoli.

Esempio: “2 Risorse umane”

Il raggruppamento si basa sulle responsabilità tipiche all’interno di un’azienda. Questi reparti sono specificati nella colonna “Usual person responsible for process implementation” (“Responsabile abituale dell’implementazione del processo”) (“HR”, “Risorse umane” nell’esempio di cui sopra).

Le domande per ogni catalogo di criteri sono disponibili nei rispettivi fogli Excel.

Esempio: “4.1.2 Qual è il grado di protezione dell’accesso degli utenti ai servizi di rete, ai sistemi IT e alle applicazioni IT?”.

Le domande di controllo vengono anche chiamate “controlli” nel “linguaggio degli auditor”. Gli standard ISO su cui si basa l’ISA utilizzano il termine “controllo”.

Tra le colonne “Maturity level” ( “Livello di maturità”) e “Control question” ( “Domanda di controllo”) si trovano i campi del modulo da compilare quando si conduce un’autovalutazione:

È obbligatorio inserire solo una breve descrizione dell’implementazione e il riferimento alla vostra documentazione. Queste informazioni aiuteranno i nostri fornitori di audit TISAX a comprendere meglio la vostra azienda e a preparare la valutazione.

Sono disponibili altre colonne opzionali a supporto della vostra autovalutazione:

A destra della colonna “Domanda di controllo” si trova la colonna “Obiettivo” (colonna J). Il suo contenuto descrive gli obiettivi da raggiungere relativamente a questo aspetto della gestione della sicurezza delle informazioni.

Esempio (per la domanda di controllo 4.1.2): “Solo gli utenti identificati in modo sicuro (autenticati) devono accedere ai sistemi informatici. A tal fine, l’identità di un utente viene stabilita in modo sicuro mediante procedure adeguate”.

I requisiti sono ciò che ci si aspetta che la vostra azienda soddisfi per raggiungere l’obiettivo in questione.

I requisiti sono suddivisi in quattro colonne:

È necessario soddisfare tutti i requisiti fino all’esigenza di protezione che dovete raggiungere (che potete ricavare dall’obiettivo di valutazione).

Per alcuni obiettivi di valutazione è applicabile solo un sottoinsieme dei requisiti. Per maggiori informazioni sull’applicabilità dei requisiti si veda Tabella 8, “Applicabilità dei requisiti agli obiettivi di valutazione” in Sezione 5.2.2.1, “Cataloghi di criteri” e in particolare note alla fine della sezione.

Per maggiori informazioni sulle definizioni dell’ISA dei livelli dei requisiti “obbligatori” e “consigliati”, si vedano i “Termini chiave” nel foglio Excel “Definizioni”.

L’ISA utilizza il concetto dei “maturity levels” ( “livelli di maturità”) per valutare la qualità di tutti gli aspetti del sistema di gestione della sicurezza delle informazioni della vostra azienda. Quanto più sofisticato è il sistema di gestione della sicurezza delle informazioni della vostra azienda, tanto più alto sarà il vostro livello di maturità.

L’ISA distingue sei livelli di maturità. La definizione dettagliata è disponibile nel foglio Excel “Maturity levels” ( “Livelli di maturità”). Per offrirvi una panoramica completa dei livelli di maturità, riportiamo le descrizioni informali presenti nell’ISA:

Dovete valutare il livello di maturità del sistema di gestione della sicurezza delle informazioni della vostra azienda per ogni domanda. Inserite il vostro livello di maturità nella colonna “Maturity level” ( “Livello di maturità”) (colonna E).

Per maggiori informazioni sui livelli di maturità target e il loro impatto sul risultato della valutazione, si veda Sezione 5.2.4, “Interpretazione del risultato dell’autovalutazione”.

Ora che avete acquisito queste nuove conoscenze, siete pronti per iniziare l’autovalutazione.

Il punteggio ottenuto riassume il risultato dell’autovalutazione.

Il punteggio (“Risultato con abbassamento al livello di maturità target”) è disponibile nel foglio Excel “Risultati (ISA5)” (cella D6). Il concetto di “abbassamento” verrà spiegato a breve.

Per comprendere e successivamente interpretare il risultato dell’autovalutazione e il punteggio ottenuto, è necessario distinguere tra due livelli di analisi:

La figura riportata di seguito mostra i livelli di analisi:

La figura riportata di seguito mostra dove trovare i risultati a livello di punteggio e i risultati a livello di domanda:

La figura riportata di seguito mostra una panoramica semplificata dei livelli di analisi, le definizioni dei target ISA e i risultati della vostra azienda:

Le sezioni seguenti illustrano in dettaglio il risultato e la relativa analisi.

L’ISA stabilisce un “livello di maturità target” pari a 3 per ogni domanda.

Per maggiori informazioni sulla definizione di ogni livello di maturità, si veda Sezione 5.2.2, “Come interpretare il documento ISA”.

L’ISA stabilisce i livelli di maturità target nel foglio Excel “Risultati (ISA5)” (a partire dalla colonna G, riga 22; si veda la figura riportata di seguito).

Per ricevere le etichette TISAX, di solito è necessario che i livelli di maturità per ogni domanda siano uguali o superiori al livello di maturità target.

Esempio: se il livello di maturità target per la domanda X è “3”, il livello di maturità della vostra azienda per quella domanda deve essere pari o superiore a “3”. Se il livello di maturità della vostra azienda per la domanda in questione è inferiore a “3”, non potrete ricevere le etichette TISAX.

Ciò vale per tutte le domande. Se il livello di maturità target per due domande è pari a “3”, non è possibile compensare un livello di maturità “2” per una domanda con un livello di maturità “4” per l’altra domanda.

Il documento ISA trasferisce automaticamente i livelli di maturità della vostra azienda dal foglio Excel “Sicurezza delle informazioni” (colonna E) al foglio Excel “Risultati (ISA5)” (a partire dalla colonna H, riga 23):

Il livello di maturità target della vostra azienda è soggetto a un calcolo prima che il documento ISA lo riassuma nel vostro punteggio. In pratica, il livello di maturità della vostra azienda viene “abbassato” al livello di maturità target. Ciò avviene per fare in modo che le domande per le quali il livello di maturità della vostra azienda è superiore al livello di maturità target non compensino le domande per le quali il livello di maturità della vostra azienda è inferiore al livello di maturità target.

Ecco in che modo l’ISA calcola il risultato della vostra azienda a livello di domanda:

Esempio (si veda la figura riportata di seguito): il livello di maturità target è “3”. Il livello di maturità della vostra azienda è “4”. Il “risultato abbassato” della vostra azienda per questa domanda sarà “3”.

La figura qui di seguito mostra che il vostro livello di maturità è superiore rispetto al livello di maturità target, ISA lo abbassa (i colori verde, arancione e rosso combaciano con i colori usati nella colonna “Risultato”, si veda Figura 19, “I livelli di maturità della vostra azienda nel foglio Excel “Risultati (ISA5)””).

Di seguito è riportato un altro modo per rappresentare i livelli di maturità a livello di domanda. I colori dei cerchi illustrano il livello di maturità target o la “distanza” da esso (esempio: il cerchio è arancione se il livello di maturità è a “-1” dal livello di maturità target). I segni di spunta rappresentano il livello di maturità della vostra azienda.

L’ISA stabilisce un livello di maturità complessivo “ideale”, ossia il “punteggio del risultato massimo” (o “Punteggio massimo”, cella G6).

In teoria, questo livello di maturità complessivo rappresenta la media di tutti i livelli di maturità target (a livello di domanda) e dovrebbe corrispondere a un punteggio massimo di “3,0”.

Tuttavia, tale livello è pari a “3,0” solo se tutte le domande sono applicabili alla situazione della vostra azienda. Non appena una domanda non è applicabile alla situazione della vostra azienda, la media cambia e il punteggio massimo diventa inferiore a “3,0”.

Sulla base di una rappresentazione riportata sopra (Figura 22, “Livelli di maturità a livello di domanda”), è possibile vedere nella figura di seguito cosa viene calcolato nella media per il punteggio massimo:

Il punteggio complessivo della vostra azienda (“Risultato con abbassamento ai livelli di maturità target”, cella D6):

Sempre utilizzando una rappresentazione riportata sopra (Figura 22, “Livelli di maturità a livello di domanda”), è possibile vedere nella figura di seguito cosa viene calcolato nella media per il punteggio:

Il punteggio indica se:

Se il punteggio della vostra azienda (“Risultato con abbassamento ai livelli di maturità target”) è inferiore a “3,0”, significa che almeno per una domanda il livello di maturità della vostra azienda non corrisponde al livello di maturità target. In questo caso, dovrete probabilmente migliorare il sistema di gestione della sicurezza delle informazioni della vostra azienda prima che questa sia pronta per una valutazione TISAX.

Lo scopo dell’analisi di cui sopra è capire se la vostra azienda è pronta per una valutazione TISAX.

La vostra azienda è sicuramente pronta per una valutazione TISAX se il punteggio ottenuto (“Risultato con abbassamento ai livelli di maturità target”) è pari (o vicino a) “3,0”. In tal caso, tutti i valori della colonna “Risultati” (H) sono verdi (non arancioni o rossi).

Se non sono verdi, occorre gestire il risultato dell’autovalutazione (si veda Sezione 5.2.5, “Gestione del risultato dell’autovalutazione”).

La figura riportata di seguito mostra il diagramma a ragnatela ISA nel foglio Excel “Risultati (ISA5)”. La linea verde indica il livello di maturità target per capitolo. Se i vostri livelli di maturità si trovano in corrispondenza o al di sopra di questa linea, la vostra azienda è pronta per una valutazione TISAX. Se si trovano invece al di sotto di questa linea, ciò potrebbe non essere sufficiente per ricevere etichette TISAX.

Se si “scompone” il diagramma a ragnatela ISA fino al livello della domanda, si ottiene una rappresentazione simile in verde/rosso a livello della domanda:

Come per tutte le valutazioni TISAX, la valutazione iniziale comincia con una riunione formale di apertura. La riunione formale di apertura viene generalmente condotta tramite conference call o videoconferenza. Nel caso di aziende di piccole dimensioni che hanno eventualmente già maturato un po’ di esperienza con altri audit, questa riunione non richiede molto tempo.

Lo scopo di questa riunione è:

Il fornitore di audit conduce la valutazione iniziale in base alla pianificazione effettuata. I relativi dettagli dipendono dagli obiettivi di valutazione della vostra azienda. La valutazione consiste per lo più di conference call, interviste in sede e ispezioni in sede in vari gradi di profondità^[23].

Il fornitore di audit presenta tutti i rilievi emersi durante la valutazione iniziale.

Durante la riunione di chiusura il fornitore di audit riassume nuovamente i rilievi emersi.

Dopo la riunione di chiusura il fornitore di audit prepara e invia alla vostra azienda la bozza della “relazione della valutazione TISAX”. Potete sollevare obiezioni se ritenete che il fornitore di audit abbia interpretato male alcuni aspetti.^[24] Il fornitore di audit provvederà quindi a emettere la “relazione della valutazione TISAX”.

A questo punto il risultato complessivo della valutazione sarà:

Se il risultato complessivo della valutazione è “conforme” fin dalla valutazione iniziale, potete saltare il resto della sezione relativa alla valutazione e procedere con la fase di scambio del risultato.

Se il risultato complessivo della valutazione è “non conforme di livello grave” il passo successivo da seguire è quello di elaborare un piano su come risolvere i rilievi emersi e colmare eventuali divari rilevati dal fornitore di audit. Il piano viene ufficialmente chiamato “piano d’azione correttivo” ( “corrective action plan”).

Le motivazioni alla base di una “valutazione del piano d’azione correttivo” sono:

La “valutazione del piano d’azione correttivo” non è necessariamente un evento a sé stante. Potete già presentare il vostro “piano d’azione correttivo” durante la riunione di chiusura della valutazione iniziale. Il fornitore di audit potrà quindi direttamente eseguire la “valutazione del piano d’azione correttivo”.

Se associate la “valutazione del piano d’azione correttivo” con la valutazione iniziale e il vostro “piano d’azione correttivo” soddisfa i requisiti, potete concordare con il fornitore di audit che non avete bisogno di una “relazione della valutazione iniziale”. Al suo posto il fornitore di audit preparerà solamente la “relazione della valutazione del piano d’azione correttivo”. Questa relazione vi consente di ricevere direttamente etichette TISAX temporanee.

Il fornitore di audit valuta il vostro “piano d’azione correttivo” sulla base dei seguenti requisiti:

Se il risultato complessivo della valutazione è “non conforme di livello minore” riceverete etichette TISAX temporanee.

Il vantaggio delle etichette TISAX temporanee consiste nel fatto che il vostro partner generalmente le accetterà a condizione che in seguito riceviate le etichette TISAX definitive. Ciò può essere utile se avete urgenza di dimostrare al vostro partner l’efficacia del sistema di gestione della sicurezza delle informazioni della vostra azienda.

Il prerequisito per ricevere le etichette TISAX temporanee è una relazione della valutazione del piano d’azione correttivo con risultato complessivo della valutazione “non conforme di livello minore”.

Le etichette TISAX temporanee sono esattamente uguali alle etichette TISAX definitive. L’unica differenza è data dal periodo di validità più breve delle etichette TISAX temporanee.

Le etichette TISAX temporanee sono valide per un massimo di nove mesi dopo la riunione di chiusura della valutazione iniziale. Il periodo di validità delle etichette TISAX temporanee viene stabilito sulla base del periodo di implementazione più lungo delle azioni correttive.

Esempi:

Per maggiori informazioni sui requisiti per i periodi di implementazione, si veda Sezione 5.4.9.3, “Requisiti del piano d’azione correttivo”

Una volta completate tutte le azioni correttive, è necessario richiedere la “valutazione di follow-up”.

Il fornitore di audit può condurre la/e valutazione/i di follow-up entro un massimo di nove mesi dalla conclusione della valutazione iniziale^[26].

Se non avete bisogno di etichette TISAX temporanee, potete richiedere direttamente una valutazione di follow-up. Non è necessario eseguire una “valutazione del piano d’azione correttivo” prima di una valutazione di follow-up.

Nel caso in cui abbiate bisogno di etichette TISAX temporanee, è importante assicurarsi che non ci siano ritardi per quanto riguarda la ricezione delle etichette TISAX definitive. Si consiglia quindi di richiedere la valutazione di follow-up con largo anticipo rispetto all’ultima data di scadenza possibile^[27]. Il motivo è quello di avere un margine di tempo sufficiente per risolvere eventuali rilievi minori individuati durante la valutazione di follow-up.

La corrispondenza tra gli obiettivi di valutazione e le relative etichette TISAX è piuttosto semplice. C’è però un altro aspetto importante da tenere a mente: alcune etichette TISAX sono collegate in maniera gerarchica. Ciò significa che se alla vostra azienda viene assegnata una determinata etichetta TISAX, riceverete automaticamente le etichette TISAX “sottostanti” a essa.

Esempio: se il vostro obiettivo di valutazione era “Very high availability”, riceverete la corrispondente etichetta TISAX “Very high availability”. Tuttavia, poiché l’obiettivo di valutazione Very high availability è un sovrainsieme di “High availability”, riceverete automaticamente anche l’etichetta TISAX “High availability”.

Tale gerarchia attualmente vale per le seguenti etichette TISAX:

Queste relazioni gerarchiche possono essere dedotte confrontando i requisiti applicabili specificati in Tabella 8, “Applicabilità dei requisiti agli obiettivi di valutazione”.

Questo aspetto potrebbe sembrare poco importante per alcuni partecipanti. Immaginate però che un partner vi chieda di mostrare l’etichetta TISAX “Very high availability”, mentre un altro vi chiede l’etichetta TISAX “High availability”. In una situazione di questo tipo possedere entrambe le etichette TISAX semplifica le cose per tutti, perché non è necessario spiegare che “High availability” è un sovrainsieme di “Very high availability”. Ciò è particolarmente importante per quei partner per i quali il possesso di determinate etichette TISAX fa parte di un processo di acquisto piuttosto rigoroso. In questo modo non dovete spiegare che “Very high availability” è “meglio” di “High availability”: vi limiterete a mostrare tutte le vostre etichette TISAX e la persona che conduce la valutazione può semplicemente spuntare il requisito “deve possedere l’etichetta TISAX ‘High availability’“.

Generalmente le etichette TISAX hanno una validità di tre anni. Il periodo di validità decorre a partire dalla fine del processo di valutazione (anche prima dell’emissione della relazione della valutazione TISAX).

Il periodo di validità può essere più breve se si verificano cambiamenti significativi in merito all’ambito di valutazione TISAX.

Esempi: cambio di sede della vostra azienda, nuove sedi. (Per istruzioni su cosa fare in tali casi, si veda Sezione 7.9.3.2, “Come richiedere la modifica di una sede” e Sezione 7.9.3.4, “Come aggiungere un’ulteriore sede”.)

Per mantenere le etichette TISAX nel lungo termine, è necessario rinnovarle^[30] ogni tre anni.

Per farlo fondamentalmente è necessario ripetere il processo TISAX (registrare un ambito di valutazione, sottoporsi nuovamente alla valutazione TISAX, condividere il risultato della valutazione). La registrazione è un po’ più semplice, in quanto non è necessario re-inserire la propria azienda come partecipante TISAX. Inoltre potete anche riutilizzare tutti i contatti e le sedi della vostra azienda già memorizzati nel database TISAX.

Ora che avete ricevuto le vostre etichette TISAX, potete procedere con l’ultima fase e condividerle con il vostro partner.