Manual do participante do processo de avaliação TISAX

A descrição do escopo define o escopo da avaliação. Na descrição do escopo, você deve escolher um dos dois tipos de escopo:

Vamos discutir o escopo padrão na próxima seção. O escopo padrão é a opção certa para mais de 99% de todos os participantes. Portanto, vamos discutir apenas os escopos personalizados na Seção 7.8, “Anexo: Escopos personalizados”.

A descrição do escopo padrão é a base para uma avaliação TISAX. Outros participantes TISAX aceitam apenas resultados de avaliação baseados na descrição do escopo padrão.

A descrição do escopo padrão é predefinida e não é possível alterá-la.

Um benefício importante de um escopo padrão é que você não precisa criar sua própria definição.

Essa é a descrição do escopo padrão (versão 2.0):

Recomendamos de forma enfática a escolha do escopo padrão. Todos os participantes TISAX aceitam os resultados da avaliação de segurança da informação com base no escopo padrão.

Sua próxima tarefa após a definição do tipo de escopo é decidir quais localizações pertencem ao escopo da avaliação.

Se a sua empresa for pequena (uma localização), a tarefa é fácil. Basta adicionar sua localização ao escopo da avaliação.

Se a sua empresa for grande, considere cadastrar mais de um escopo da avaliação.

Ter um único escopo contendo todas as suas localizações tem vantagens:

Mas um único escopo pode ter desvantagens como:

A dúvida sobre se deve haver apenas um escopo ou vários escopos é algo que somente você pode decidir. Mas responder às perguntas do diagrama a seguir pode ajudar na decisão.

Agora que você decidiu quais localizações fazem parte do escopo da sua avaliação, é possível continuar coletando algumas informações específicas da localização.

Para cada localização solicitamos informações como nome e endereço da empresa. Solicitamos também algumas informações adicionais que permitam aos nossos provedores de auditoria TISAX ter uma ideia melhor da estrutura da sua empresa. Suas respostas serão usadas como base para as estimativas de esforço deles.

Prepare-se para fornecer os seguintes dados para cada uma das suas localizações (o asterisco vermelho * indica informações obrigatórias no processo on-line):

Para cada localização você deve especificar um “location name” (“nome da localização”). A finalidade do nome da localização é facilitar a referência à mesma ao atribuí-lo a um escopo da avaliação.

Recomendamos a atribuição dos nomes das localizações com base no seguinte padrão:

Para cada escopo você deve especificar um “scope name” (“nome do escopo”). A finalidade principal do nome do escopo é facilitar a identificação de um escopo na lista de visão geral de escopos no portal ENX. Você deve atribuir um nome que seja útil para o leitor e seus colegas. Para a comunicação externa, você deve usar o ID do escopo.

Você pode especificar qualquer nome que desejar. Mas não deve atribuir o mesmo nome de escopo para mais de um escopo.

Mais tarde, quando você quiser renovar sua avaliação TISAX, será necessário criar um novo escopo (possivelmente idêntico ao escopo atual). Portanto, recomendamos adicionar o ano da avaliação ao nome do escopo.

Recomendamos a atribuição dos nomes das escopos com base no seguinte padrão:

Para nos comunicarmos com você, coletamos informações sobre os contatos da sua empresa.

Solicitamos pelo menos um contato da sua empresa como participante TISAX em geral e um para cada escopo da avaliação. Você tem a opção de fornecer contatos adicionais.

Durante os preparativos para o cadastro, você deve decidir quem será o contato na sua empresa.

Solicitamos os seguintes dados do contato:

A finalidade principal do TISAX é publicar o resultado da sua avaliação para outros participantes TISAX e compartilhar o resultado da sua avaliação com seu(s) parceiro(s).

Você pode decidir sobre a publicação e compartilhamento do resultado da sua avaliação durante o processo de cadastro ou a qualquer momento posteriormente.

Se você estiver passando pelo processo TISAX como uma etapa preventiva, já poderá decidir publicar o resultado da sua avaliação para a comunidade de participantes TISAX. Caso contrário, não há nada a ser preparado nesta fase.

Se seu parceiro solicitou que você passasse pelo processo TISAX, você vai precisar compartilhar o resultado da sua avaliação mais cedo ou mais tarde. Você já pode compartilhar as informações do status com seu parceiro durante o cadastro. Assim que o resultado da sua avaliação estiver disponível, seu parceiro terá automaticamente permissão para acessá-lo.^[6].

Existem duas coisas necessárias para compartilhar as informações do status:

Portanto, você pode querer garantir a posse dessas informações.

Para obter mais informações sobre como publicar e compartilhar o resultado da sua avaliação, consulte Seção 6, “Compartilhamento (Etapa 3)”.

Atualmente existem doze objetivos da avaliação TISAX. Você deve selecionar pelo menos um objetivo da avaliação. Você pode selecionar mais de um.

Considere o seu objetivo da avaliação como referência para o seu sistema de gerenciamento de segurança da informação. O objetivo da avaliação é uma entrada essencial para o processo TISAX. Todos os provedores de auditoria TISAX baseiam a sua estratégia de avaliação principalmente no objetivo da avaliação.

Os objetivos atuais da avaliação TISAX são:

Exemplo: se você estiver realizando test drives em vias públicas, então o objetivo da avaliação “Test vehicles” é um dos seus objetivos da avaliação.

A ISA contém três listas de critérios (segurança da informação, proteção de protótipos, proteção de dados). Cada lista de critérios é composta pelas denominadas “perguntas de controle” e requisitos associados.

Cada objetivo da avaliação define:

Para alguns objetivos da avaliação, apenas um subconjunto de perguntas e requisitos de controle é aplicável.

Para obter mais informações básicas sobre os objetivos da avaliação TISAX e as perguntas e requisitos de controle aplicáveis, consulte a Seção 5.2.2, “Entenda o documento da ISA”.

Seu parceiro pode falar sobre “selos TISAX”. Os “objetivos da avaliação” e os “selos TISAX” são quase idênticos. A diferença é que você inicia o processo de avaliação com os “objetivos da avaliação” e se for aprovado na avaliação recebe os “selos TISAX” correspondentes.

Exemplo: seu parceiro exige que você obtenha o selo TISAX “Info high”. Em seguida, você seleciona o “Info high” como o seu objetivo da avaliação.

A figura abaixo mostra a entrada e a saída do processo TISAX:

Para obter mais informações sobre os selos TISAX, consulte Seção 5.4.14, “Selos TISAX”.

Teoricamente, o seu parceiro dirá precisamente quais objetivos da avaliação você deve alcançar.

Você deve selecionar o objetivo da avaliação com base no seu próprio discernimento se:

Se precisar selecionar o objetivo da avaliação com base no seu próprio discernimento, pode ser útil considerar os seguintes aspectos:

Outras explicações:

Seu parceiro tem vários tipos de informações, algumas das quais podem merecer um nível de proteção mais elevado do que outras. A ISA aborda isso classificando três “necessidades de proteção” ( “protection needs”normal, elevada e muito elevada). Seu parceiro classifica suas informações e normalmente atribui necessidades de proteção.

Quanto maiores as necessidades de proteção, mais o seu parceiro estará interessado em garantir se é seguro permitir que você processe as informações dele. Portanto, o TISAX diferencia três “níveis de avaliação” (AL). O nível de avaliação define qual método de avaliação o provedor de auditoria deve aplicar. Um nível de avaliação mais alto aumenta o esforço investido na avaliação. Isso resulta em maior cuidado e precisão na avaliação.

A tabela abaixo mostra os níveis da avaliação que se aplicam aos objetivos da avaliação TISAX:

Nível de avaliação 1 (AL 1):

As avaliações no nível de avaliação 1 são principalmente para finalidades internas, no verdadeiro sentido de uma autoavaliação ( self-assessment).

Para uma avaliação no nível de avaliação 1, um auditor verifica a existência de uma autoavaliação concluída. Ele não avalia o conteúdo da autoavaliação. Ele não exige mais evidências.

Os resultados das avaliações no nível de avaliação 1 têm um baixo nível de confiança e, portanto, não são utilizados no TISAX. Mas é claro que é possível que o seu parceiro solicite essa autoavaliação fora do TISAX.

Nível de avaliação 2 (AL 2):

Para uma avaliação no nível de avaliação 2, o provedor de auditoria faz uma verificação da plausibilidade na sua autoavaliação (para todas as localizações no escopo da avaliação). Ele apoia isso verificando as evidências.^[8] e vai fazer uma entrevista com o responsável pela segurança da informação.

O provedor de auditoria geralmente faz a entrevista através de teleconferência. A seu pedido, ele pode fazer a entrevista pessoalmente.

Se você tiver evidências que não deseja enviar ao provedor de auditoria, poderá solicitar uma inspeção no local. Dessa forma, o provedor de auditoria ainda pode verificar suas evidências “somente para você”.

Nível de avaliação 3 (AL 3):

Para uma avaliação no nível de avaliação 3, o provedor de auditoria faz uma verificação abrangente da conformidade da sua empresa com os requisitos aplicáveis. O auditor utiliza a sua autoavaliação e a documentação enviada para preparar a avaliação. Mas, ao contrário do nível de avaliação 2, o auditor verificará tudo. Ele vai:

Níveis de avaliação e métodos de avaliação

A tabela a seguir fornece uma visão geral simplificada dos métodos de auditoria associados a cada nível de avaliação:

Informações adicionais:

O TISAX não exige necessariamente que você submeta todos os seus fornecedores aos mesmos requisitos. Se o seu objetivo da avaliação for “Segurança da informação com necessidades de proteção muito elevadas”, isso NÃO significa automaticamente que os seus próprios fornecedores precisem alcançar o mesmo objetivo da avaliação. Isso nem significa que eles precisem ter selos TISAX.

Mas você ainda precisa verificar para todos os seus fornecedores se a utilização dos seus serviços aumentar os riscos ou apresentar novos riscos.

Dois exemplos muito simplificados:

No entanto, a avaliação dos riscos pode demonstrar que o seu fornecedor também precisa cumprir os requisitos relativos a necessidades de proteção muito elevadas. Nesse caso, os selos TISAX são uma opção para demonstrar isso a você de forma adequada.

O ID de participante:

O ID do escopo:

A ISA tem atualmente três “listas de critérios”^[13]:

Cada lista de critérios tem sua própria planilha Excel:

Qual lista de critérios é relevante para você? Isso depende do(s) seu(s) objetivo(s) da avaliação.

Cada objetivo da avaliação define quais requisitos de qual lista de critérios são relevantes. Para alguns objetivos da avaliação, são relevantes apenas os requisitos de uma lista de critérios; para outros, são relevantes os requisitos de mais de uma lista de critérios.

Os objetivos da avaliação acima mencionados são mapeados para essas listas de critérios:

Exemplo: se você selecionou o objetivo da avaliação “Proteção de dados”, então deverá responder às perguntas das listas de critérios “Segurança da informação” E “Proteção de dados”.

Você deve ter observado que existe mais de um objetivo da avaliação de acordo com a lista de critérios. Como saber quais requisitos são aplicáveis a qual objetivo da avaliação?

A tabela a seguir mostra quais requisitos são aplicáveis:

A captura de tela abaixo mostra os principais elementos das perguntas de controle da lista de critérios de “Segurança da informação”. (As outras listas de critérios têm apenas um subconjunto desses elementos.) Explicamos todos os elementos mais abaixo.

Cada lista de critérios agrupa as perguntas em capítulos.

Exemplo: “2 Recursos Humanos”

O agrupamento é baseado nas responsabilidades normais de uma empresa. Esses departamentos estão especificados na coluna “Usual person responsible for process implementation” (Responsável habitual pela implementação do processo) (“RH” no exemplo acima).

Você encontra as perguntas de cada lista de critérios nas respectivas planilhas Excel.

Exemplo: “4.1.2 Até que ponto o acesso do usuário aos serviços de rede, sistemas de TI e aplicativos de TI está protegido?”

As perguntas de controle também são chamadas de “controles”. Esse é jargão dos auditores. Os padrões ISO nos quais a ISA se baseia usam o termo “controle”.

Entre as colunas “Maturity level” ( “Maturity level” (Nível de maturidade)) e “Control question” ( “Control question” (Pergunta de controle)) estão os campos do formulário que você precisa preencher quando estiver realizando uma autoavaliação:

Apenas a breve descrição da sua implementação e a referência à sua documentação são obrigatórias. Essas informações vão ajudar nossos provedores de auditoria TISAX a entender melhor sua empresa e a preparar a avaliação.

Existem mais colunas opcionais para apoiar sua autoavaliação:

À direita da coluna “Control question” (Pergunta de controle) está a coluna “Objective” (Objetivo) (coluna J). Seu conteúdo descreve o que você precisa alcançar em relação a esse aspecto de gerenciamento de segurança da informação.

Exemplo (para a pergunta de controle 4.1.2): “Apenas usuários identificados de forma segura (autenticados) podem obter acesso aos sistemas de TI. Para essa finalidade, a identidade de um usuário é determinada de forma segura por procedimentos adequados.”

Os requisitos são o que é esperado que você cumpra para alcançar o objetivo.

Os requisitos estão distribuídos em quatro colunas:

Você deve cumprir todos os requisitos até a necessidade de proteção que precisar alcançar (que pode ser derivada do seu objetivo da avaliação).

Para alguns objetivos da avaliação, apenas um subconjunto de requisitos é aplicável. Para obter mais informações sobre a relevância dos requisitos, consulte a Tabela 8, “Relevância dos requisitos aos objetivos da avaliação” em Seção 5.2.2.1, “Lista de critérios” e especialmente em note no final da seção.

Para obter mais informações sobre as definições da ISA dos níveis de requisitos “must” (obrigatórios) e “should” (obrigatórios), consulte os “Termos-chave” na planilha Excel “Definições”.

A ISA usa o conceito de “maturity levels” ( “níveis de maturidade”) para atribuir uma classificação à qualidade de todos os aspectos do seu sistema de gerenciamento de segurança da informação. Quanto mais sofisticado for o seu sistema de gerenciamento de segurança da informação, mais elevado será o seu nível de maturidade.

A ISA diferencia seis níveis de maturidade. Você pode encontrar a definição detalhada na planilha Excel “Maturity levels” ( “Níveis de maturidade”). Para uma visão consolidada dos níveis de maturidade, citamos as descrições informais fornecidas na ISA:

Você precisa avaliar o nível de maturidade do seu sistema de gerenciamento de segurança da informação de acordo com a pergunta. Insira seu nível de maturidade na coluna “Maturity level” ( “Maturity level” (Nível de maturidade)) (coluna E).

Para obter mais informações sobre os níveis de maturidade desejados e seu impacto no resultado da sua avaliação, consulte a Seção 5.2.4, “Interprete o resultado da autoavaliação”.

Com esse entendimento aprimorado, agora você está pronto para iniciar a autoavaliação.

A pontuação do seu resultado resume o resultado da autoavaliação.

Você encontra a pontuação do resultado (“Resultado com redução para o nível de maturidade desejado”) na planilha Excel “Resultados (ISA5)” (célula D6). Explicaremos a “redução” em breve.

Para entender e posteriormente interpretar o resultado da sua autoavaliação e a pontuação do seu resultado, você precisa diferenciar dois níveis de análise:

A figura abaixo mostra os níveis da análise:

A figura abaixo mostra onde encontrar os resultados no nível da pontuação e os resultados na pergunta:

A próxima figura mostra uma visão simplificada dos níveis da análise, as definições desejadas da ISA e seus próprios resultados:

As seções a seguir explicam o resultado e sua análise em detalhes.

A ISA define um “nível de maturidade desejado” de 3 para cada pergunta.

Para obter mais informações sobre a definição de cada nível de maturidade, consulte Seção 5.2.2, “Entenda o documento da ISA”.

A ISA define os níveis de maturidade desejado na planilha Excel “Resultados (ISA5)” (começando na coluna G, linha 22; consulte a figura abaixo).

Para receber selos TISAX, normalmente você precisa ter níveis de maturidade para cada pergunta iguais ou superiores ao nível de maturidade desejado.

Exemplo: se o nível de maturidade desejado para a pergunta X for “3”, o seu nível de maturidade para essa pergunta deverá ser “3” ou superior. Se o seu nível de maturidade para essa pergunta for inferior a “3”, você poderá não receber os selos TISAX.

Isso ocorre em cada pergunta. Se o nível de maturidade desejado para duas perguntas for “3”, você não poderá compensar um nível de maturidade de “2” para uma pergunta com um nível de maturidade de “4” para a outra pergunta.

O documento da ISA transfere automaticamente seus níveis de maturidade da planilha Excel “Segurança da Informação” (coluna E) para a planilha Excel “Resultados (ISA5)” (começando na coluna H, linha 23):

Seu nível de maturidade está sujeito a um cálculo antes que o documento da ISA o resuma em sua pontuação do resultado. Basicamente, seu nível de maturidade é “reduzido” ao nível de maturidade desejado. Isso é feito para que as perguntas em que seu nível de maturidade esteja acima do nível de maturidade desejado não compensem as perguntas em que seu nível de maturidade esteja abaixo do nível de maturidade desejado.

Veja como a ISA calcula seu resultado na pergunta:

Exemplo (consulte a figura abaixo): o nível de maturidade desejado é “3”. Seu nível de maturidade é “4”. Seu “resultado de redução” para essa pergunta será “3”.

A figura abaixo mostra que se o seu nível de maturidade for superior ao nível de maturidade desejado, a ISA o reduzirá (as cores verde, laranja e vermelho correspondem às cores usadas na coluna “Resultado”, consulte a Figura 19, “Seus níveis de maturidade na planilha Excel “Resultados (ISA5)””).

Abaixo está outra maneira de visualizar os níveis de maturidade na pergunta. As cores dos círculos ilustram o nível de maturidade desejado ou a “distância” até ele (exemplo: o círculo é laranja se o nível de maturidade estiver “-1” abaixo do nível de maturidade desejado). As marcas de seleção ilustram seu nível de maturidade.

A ISA define um nível de maturidade geral “ideal” — a “pontuação máxima do resultado” (ou “pontuação máxima”, célula G6).

Teoricamente, este nível de maturidade global é a média de todos os níveis de maturidade desejados (na pergunta). Esta seria uma pontuação máxima do resultado de “3,0”.

No entanto, é “3,0” apenas se todas as perguntas forem aplicadas à sua situação. Assim que uma pergunta não for aplicável à sua situação, a média muda e a pontuação máxima do resultado é inferior a “3,0”.

Com base na visualização mostrada acima (Figura 22, “Níveis de maturidade na pergunta”), você pode ver abaixo o que é colocado na média para a pontuação máxima do resultado:

Sua pontuação geral do resultado (“Resultado com redução para os níveis de maturidade desejados”, célula D6):

Novamente, usando uma visualização mostrada acima (Figura 22, “Níveis de maturidade na pergunta”), você pode ver abaixo o que é colocado na média da pontuação do resultado:

A pontuação do resultado informa se você:

Se a pontuação do seu resultado (“Resultado com redução para os níveis de maturidade desejados”) estiver abaixo de “3,0”, então pelo menos em uma pergunta o seu nível de maturidade não corresponde ao nível de maturidade desejado. Nesse caso, você provavelmente deve melhorar seu sistema de gerenciamento de segurança da informação antes de estar pronto para a sua avaliação TISAX.

O objetivo da análise acima é saber se você está pronto para uma avaliação TISAX.

Você está definitivamente pronto para uma avaliação TISAX se a pontuação do seu resultado (“Resultado com redução para os níveis de maturidade desejados”) for (próximo de) “3,0”. Nesse caso, todos os valores da coluna “Results” (Resultados) (H) são verdes (sem laranja ou vermelho).

Se não estiverem verdes, você precisará abordar o resultado da sua autoavaliação (consulte Seção 5.2.5, “Abordar o resultado da autoavaliação”).

A figura abaixo mostra o gráfico de teia de aranha da ISA na planilha Excel “Resultados (ISA5)”. A linha verde marca o nível de maturidade desejado de acordo com o capítulo. Se seus níveis de maturidade estiverem dentro ou acima dessa linha, você está pronto para uma avaliação TISAX. Se estiverem abaixo dessa linha, isso pode não ser suficiente para receber os selos TISAX.

Se você “desdobrar” a teia de aranha da ISA para a pergunta, você obterá uma visualização semelhante verde/vermelho na pergunta:

Como todas as avaliações TISAX, a avaliação inicial começa com uma reunião formal de abertura. A reunião formal de abertura normalmente é feita em uma videoconferência ou teleconferência. Nas pequenas empresas, com experiência em auditorias anteriores, isso não demora muito.

A finalidade dessa reunião é:

De acordo com o plano preparado, o provedor de auditoria realiza a avaliação inicial. Como isso se apresentará em detalhes depende dos seus objetivos da avaliação. A avaliação consiste principalmente em teleconferências, entrevistas no local e inspeções no local em vários graus de profundidade^[23].

O provedor de auditoria apresenta todos seus achados durante a avaliação inicial.

Na reunião de encerramento, seu provedor de auditoria resume novamente todos os seus achados.

Após a reunião de encerramento, o provedor de auditoria prepara e envia para você a versão preliminar do “relatório de avaliação TISAX”. Você pode apresentar objeções se acreditar que o provedor de auditoria interpretou algo de forma equivocada.^[24] Em seguida, o provedor de auditoria emite o “relatório de avaliação TISAX”.

Nessa fase, o resultado da avaliação geral atual será:

Se o resultado geral da sua avaliação estiver “conforme” logo na avaliação inicial, você pode ignorar o restante da seção de avaliação e prosseguir para o compartilhamento do seu resultado.

Se o resultado geral da sua avaliação for “não conformidade grave”, a sua próxima tarefa é elaborar um plano sobre como abordar os achados e como preencher quaisquer lacunas encontradas pelo provedor de auditoria. O plano é oficialmente chamado de “plano de ação corretiva” ( “corrective action plan”).

Os motivos para uma “avaliação do plano de ação corretiva” são:

A “avaliação do plano de ação corretiva” não é necessariamente um evento independente. Você tem a opção de já apresentar seu “plano de ação corretiva” na reunião de encerramento da avaliação inicial. O provedor de auditoria poderá então realizar diretamente a “avaliação do plano de ação corretiva”.

Se você combinar a “avaliação do plano de ação corretiva” com a avaliação inicial, e seu “plano de ação corretiva” atender aos requisitos, você poderá chegar a um acordo com o provedor de auditoria de que não precisa de um “relatório de avaliação inicial”. Em vez disso, o seu provedor de auditoria apenas prepararia o “relatório de avaliação do plano de ação corretiva”. Esse relatório permite que você receba os selos TISAX temporários diretamente.

O provedor de auditoria avalia seu “plano de ação corretiva” em relação aos seguintes requisitos:

Se o resultado geral da sua avaliação for “não conformidade menor”, você receberá os selos TISAX temporários.

A vantagem dos selos TISAX temporários é que seu parceiro normalmente os aceita sob a condição de que você receba posteriormente os rótulos TISAX definitivos. Isso pode ajudar se for urgente provar a eficácia do seu sistema de gerenciamento de segurança da informação ao seu parceiro.

O pré-requisito para selos TISAX temporários é um relatório de avaliação do plano de ação corretiva com o resultado geral da avaliação “não conformidade menor”.

Os selos TISAX temporários são iguais aos selos TISAX definitivos. A única diferença é o período de validade mais curto dos selos TISAX temporários.

Os selos TISAX temporários podem ser válidos por até nove meses após a reunião de encerramento da avaliação inicial. O período de validade dos selos TISAX temporários é determinado pelo período mais longo de implementação das ações corretivas.

Exemplos:

Para obter mais informações sobre os requisitos para os períodos de implementação, consulte Seção 5.4.9.3, “Requisitos do plano de ação corretiva”

Depois de concluir todas as ações corretivas, você deverá solicitar a “avaliação de acompanhamento”.

Seu provedor de auditoria pode realizar a(s) avaliação(ões) de acompanhamento dentro de até nove meses após a conclusão da avaliação inicial^[26].

Se você não precisar dos selos TISAX temporários, poderá solicitar diretamente uma avaliação de acompanhamento. Você não precisa ter uma “avaliação do plano de ação corretiva” antes de uma avaliação de acompanhamento.

Caso você precise dos selos TISAX temporários, você pode desejar garantir que não haja nenhuma lacuna no recebimento dos selos TISAX definitivos. Portanto, recomendamos solicitar sua avaliação de acompanhamento bem antes da última data possível^[27]. O motivo é que você deseja ter tempo suficiente para abordar quaisquer achados menores identificados durante uma avaliação de acompanhamento.