Avaliação TISAX®

A ISA também faz referência à ISO/SAE 62443-2-1 para sistemas de controle industrial voltados à automação e ao monitoramento de instalações de produção industrial, incluindo IACS e tecnologias operacionais (TO).

Além disso, a Associação Alemã da Indústria Automotiva (VDA) estabeleceu o TISAX® (Trusted Information Security Assessment Exchange), um mecanismo conjunto de avaliação e compartilhamento de informações. TISAX® é uma marca registrada da Associação ENX e é utilizado para reforçar a segurança da informação entre montadoras, fornecedores automotivos e demais participantes relevantes do setor. Por meio do TISAX®, as empresas demonstram maturidade em segurança da informação e contam com um processo de avaliação conduzido por prestadores de serviços aprovados pela ENX.

Mais de 10.000 locais já foram avaliados de acordo com a TISAX®, tornando esta norma a segunda mais amplamente implementada em termos de regras para segurança da informação em todo o mundo, depois da ISO 27001. VDA e ENX formaram grupos de trabalho internacionais para a TISAX® e o catálogo ISA para desenvolver ainda mais a norma. Ao mesmo tempo, isso promove uma cooperação mais estreita com a indústria automotiva global. Com a TISAX 6.0, a forma atualizada do procedimento de avaliação e troca foi publicada no outono de 2023.

O novo catálogo ISA 6.0 representa um marco importante para a evolução do TISAX®. Entre as mudanças, estão ajustes em requisitos aplicáveis aos prestadores de auditoria, atualização da linguagem principal para o inglês em função da perspectiva global do programa e avanços voltados ao desenvolvimento internacional do modelo.

As mudanças mais relevantes no ISA 6.0 incluem:

Alterações nos labels de segurança:

• O label “Segurança da Informação” foi substituído pelos labels “Disponibilidade” e “Confidencialidade”. Dependendo da função da empresa na cadeia de abastecimento, um deles ou ambos podem ser relevantes.
• O label anteriormente associado à “Alta Segurança da Informação” foi substituído por combinações como “Alta Disponibilidade” e “Alta Confidencialidade”. O mesmo racional se aplica aos níveis mais elevados de proteção.
• Todos os labels continuam partindo de um conjunto comum de requisitos básicos, complementado por exigências específicas conforme o nível de proteção necessário.
• A escolha dos labels deve considerar o papel da empresa na cadeia automotiva e as expectativas dos clientes em relação à proteção das informações.

Maior foco na segurança da informação e nos sistemas de TO na cadeia de fornecimento:

• Empresas relevantes na cadeia de abastecimento podem precisar atender requisitos de alta disponibilidade ou disponibilidade muito elevada.
• O modelo passa a dar maior ênfase aos sistemas de Tecnologia Operacional (TO) em produção e em outras áreas avaliadas no contexto TISAX®.
• As referências à IEC 62443-2-1 e os novos requisitos do catálogo ISA reforçam esse direcionamento para ambientes industriais.
• Sistemas de comunicação e controle industrial (IACS) passam a ter atenção ampliada dentro do escopo de avaliação.
• Empresas com atuação em desenvolvimento, produção ou tratamento de informações sensíveis precisam demonstrar controles adequados para proteção de dados e continuidade operacional.
• A avaliação seletiva busca garantir que cada empresa cumpra apenas os requisitos relevantes ao seu papel dentro da cadeia de abastecimento.

Novos desafios para empresas de manufatura:

• Os sistemas de TO passam a exigir uma gestão mais próxima da já aplicada aos ambientes de TI, considerando riscos, vulnerabilidades e controles compatíveis com a realidade industrial.
• Isso exige maior integração entre segurança da informação, operação e gestão de ativos, com responsabilidades claras e processos consistentes.

• Redução de avaliações duplicadas ou múltiplas por diferentes clientes, com economia de tempo e recursos
• Reconhecimento entre empresas participantes do TISAX®
• Resultados mais consistentes com base em um catálogo de avaliação harmonizado
• Aumento da confiança na empresa avaliada por meio do label TISAX®

Após uma avaliação bem-sucedida, a empresa recebe um label TISAX® na plataforma online do programa. Esse label não equivale a uma certificação tradicional, mas funciona como evidência reconhecida da avaliação realizada e reforça a confiança de clientes e parceiros na maturidade da empresa em segurança da informação.

As metas de proteção podem incluir, por exemplo, requisitos relacionados à proteção de protótipos, à proteção de dados e à segurança das informações no contexto da cadeia automotiva.

Se sua empresa deseja entender melhor o procedimento TISAX®, a DQS pode orientar a análise do escopo e apresentar uma proposta de avaliação compatível com o nível e os requisitos aplicáveis ao seu negócio.

Essa é a melhor forma de calcular com precisão o esforço de auditoria necessário e apresentar um orçamento claro, transparente e alinhado às etapas efetivamente exigidas para a avaliação TISAX®.

• A DQS entende o contexto do seu negócio e atua com suporte técnico por meio de especialistas nos níveis local, nacional e internacional
• Relatórios de auditoria significativos, com achados relevantes e pontos de melhoria quando aplicável
• Propostas claras e transparentes, de acordo com as características e necessidades da empresa
• Experiência em auditorias multi-normas (ISO/IEC 27001, ISO/IEC 20000-1, TISAX®, ISO 9001, etc), proporcionando à sua empresa uma amplo atendimento as normas de sistemas de gestão
• Atendimento próximo por meio da equipe local da DQS