Qué es TISAX y qué evalúa al proveedor

El proveedor de interiores ganó la cotización de un modelo nuevo. Antes de la reunión de arranque, la armadora mandó una condición: no se enviarían planos, datos CAD ni piezas de prueba hasta que la planta tuviera la etiqueta TISAX de protección de prototipos. La planta tenía antivirus, contraseñas y un cuarto bajo llave, pero no un sistema de seguridad de la información evaluado, ni control de quién veía las piezas camufladas, ni reglas para fotografías dentro de la nave.

Qué es TISAX

TISAX, Trusted Information Security Assessment Exchange, es el mecanismo de evaluación e intercambio de resultados de seguridad de la información de la industria automotriz europea. Lo administra la ENX Association por encargo de la VDA, la asociación alemana de la industria automotriz. No es una certificación en sentido estricto: el resultado es una etiqueta que la empresa evaluada decide compartir con sus clientes a través de una plataforma común, para no repetir una auditoría por cada armadora.

Qué es el VDA ISA

La evaluación se hace contra el catálogo VDA ISA, Information Security Assessment, que toma como base los controles de la ISO 27001 y les agrega requisitos propios del sector. Cada pregunta se califica con un nivel de madurez de 0 a 5, y el nivel objetivo para la mayoría de los controles es 3: el proceso está establecido, documentado y se aplica de forma consistente.

Objetivos de evaluación

• —Información con necesidad de protección alta o muy alta, según lo que el cliente comparte con el proveedor.
• —Protección de prototipos: partes y componentes, vehículos de prueba, eventos y sesiones de fotografía con vehículos o piezas no presentados.
• —Protección de datos personales, cuando el proveedor trata datos por encargo del cliente.

El cliente indica qué etiquetas necesita según lo que va a compartir. Un proveedor que solo recibe planos no necesita lo mismo que uno que almacena vehículos de prueba camuflados.

Niveles de evaluación

• —Nivel 1: autoevaluación, que normalmente no se acepta como etiqueta TISAX y se usa para uso interno.
• —Nivel 2: verificación de plausibilidad por un proveedor de auditoría, a partir de la autoevaluación y la evidencia documental, con entrevistas a distancia.
• —Nivel 3: evaluación completa en sitio, obligatoria para información muy alta y para protección de prototipos.

Los resultados tienen una vigencia de tres años. Si la evaluación encuentra brechas, la empresa recibe etiquetas temporales mientras ejecuta un plan de acciones correctivas con plazos definidos.

Errores frecuentes

• —Solicitar un nivel de evaluación o un objetivo distinto del que pidió el cliente.
• —Tratarlo como un tema exclusivo de sistemas cuando la protección de prototipos es física: accesos, cámaras, áreas restringidas y transporte.
• —No incluir a subcontratistas que manejan información o piezas del proyecto.
• —Preparar evidencia para la auditoría sin que los controles operen en el día a día.

Dónde se rompe en la operación

En Puebla, donde la cadena de proveedores de las armadoras alemanas recibe modelos nuevos con años de anticipación, TISAX se volvió requisito de nominación. Lo que suele faltar no es tecnología, sino procesos: gestión de accesos, clasificación de la información, control de cambios y auditorías internas que demuestren madurez. Integrar esos controles al sistema de gestión que ya tiene la planta es parte de lo que se trabaja en la Consultoría ISO 9001 en Puebla.

En resumen

TISAX es el mecanismo de evaluación de seguridad de la información de la industria automotriz, administrado por ENX para la VDA. Se evalúa contra el catálogo VDA ISA con niveles de madurez, en nivel 2 o 3 según el objetivo, que puede ser información alta o muy alta, protección de prototipos o protección de datos. El resultado es una etiqueta de tres años que se comparte con los clientes.