Implementar TISAX na sua organização: guia prático para fornecedores do setor automóvel

A pressão dos fabricantes automóveis e grandes integradores para reforçar a segurança da informação levou TISAX (Trusted Information Security Assessment Exchange) a tornar-se praticamente “bilhete de entrada” na cadeia de fornecimento automóvel europeia.

Para muitas empresas portuguesas, a pergunta já não é “se” vão ter de implementar TISAX, mas “quando” e “como” o fazer de forma eficiente e alinhada com o negócio.

Neste artigo explico, em linguagem prática, o que é TISAX, como se relaciona com a ISO 27001 e quais os passos essenciais para preparar a sua organização para uma avaliação bem-sucedida.

1. O que é TISAX?

TISAX é um mecanismo de avaliação e partilha de resultados de segurança da informação, desenvolvido especificamente para o setor automóvel. É gerido pela ENX Association em nome da associação alemã da indústria automóvel (VDA – Verband der Automobilindustrie). Microsoft Learn+1

Em vez de cada fabricante exigir auditorias próprias a cada fornecedor, TISAX cria uma plataforma central onde:

• as empresas são avaliadas por auditores reconhecidos,

• obtêm um “label TISAX” com um determinado nível/objetivo de avaliação,

• e partilham esse resultado com vários parceiros de negócio, evitando duplicar auditorias. portal.enx.com+1

Importa sublinhar que falamos de um “label” TISAX, não de uma certificação ISO clássica. O referencial assenta no catálogo VDA ISA (Information Security Assessment), construído com base na ISO/IEC 27001 e 27002, mas adaptado ao contexto automóvel (proteção de protótipos, testes, eventos, etc.). Microsoft Learn+2

2. TISAX vs. ISO 27001: concorrentes ou complementares?

Para muitas organizações, a dúvida é: “Se já tenho ISO 27001, preciso de TISAX?”

A resposta curta é: provavelmente, sim, se quiser trabalhar ou continuar a trabalhar com determinados OEMs ou grandes fornecedores automóveis.

• A ISO 27001 define os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI/ISMS).

• TISAX usa essa base, mas traduz-a em requisitos e objetivos de avaliação específicos para o setor, incluindo:

  • proteção de protótipos e veículos de teste;

  • segurança de instalações e pistas de teste;

  • gestão segura de dados de desenvolvimento e de produção;

  • requisitos adicionais associados a níveis de proteção “alto” e “muito alto”.

Na prática:

• se já tem ISO 27001, tem uma excelente base e o projeto TISAX será um “ajuste e extensão”;

• se ainda não tem, a implementação de TISAX pode (e deve) ser pensada logo como um SGSI alinhado com ISO 27001, para não “construir tudo duas vezes”.

3. Ponto de partida: clarificar requisitos e maturidade

Antes de lançar um “mega-projeto”, é crucial responder a três perguntas simples:

1. Que clientes pedem TISAX – e com que exigência?
   Normalmente, o OEM ou cliente indica:

   • os objetivos de avaliação TISAX (TISAX Assessment Objectives / Labels); VDA ISA Berater+1

   • o nível de avaliação (AL2 – avaliação documental remota; AL3 – avaliação com visitas on-site). dataguard.com+1

2. Qual o âmbito relevante?

   • país(es), localizações, centros de engenharia, parceiros críticos;

   • processos (desenvolvimento, prototipagem, testes, produção, serviços partilhados);

   • sistemas de informação e aplicações críticas.

3. Qual a maturidade atual da segurança da informação?

   • já existe política de segurança, gestão de acessos, gestão de incidentes?

   • existem registos e evidências ou tudo é “informal”?

Uma análise de gap inicial face ao VDA ISA (ou face à sua ISO 27001 atual) é o ponto de partida lógico. dataguard.com+1

4. 7 passos para implementar TISAX na prática

Passo 1 – Definir o âmbito TISAX

O âmbito é a “fronteira” da avaliação. Deve ser muito bem pensado, porque afeta:

• o esforço de implementação,

• o custo da avaliação,

• e o valor para os seus clientes.

Normalmente inclui:

• Entidades legais envolvidas (empresa A, filial B, etc.)

• Localizações físicas (sede, centro de I&D, fábrica, laboratório de testes)

• Processos e serviços (desenvolvimento, prototipagem, serviços IT, etc.)

• Sistemas de informação relevantes.

Esta definição é registada posteriormente no portal ENX, como “scope” da avaliação. portal.enx.com+1

Passo 2 – Criar a equipa de projeto e governance

TISAX não é um projeto de “apenas TI”. Envolve pessoas, processos e tecnologia.

Tipicamente deve existir:

• Sponsor de topo (Direção Geral / Administração);

• um responsável pela segurança da informação (CISO, IT Manager, ou equivalente);

• representantes de:

  • IT/Infraestruturas;

  • Engenharia/Operações;

  • Recursos Humanos;

  • Jurídico/Contratos;

  • Proteção de Dados (DPO) – para alinhar com RGPD;

  • Fornecedores/Compras (quando serviços críticos são subcontratados).

Defina logo:

• comité de segurança;

• papéis e responsabilidades;

• calendário de reuniões e reporting.

Passo 3 – Mapear controlos com base no VDA ISA / ISO 27001

O passo seguinte é “traduzir” o VDA ISA para a realidade da sua empresa. Em termos práticos:

1. Criar uma matriz de controlos com:

   • cláusulas VDA ISA / controlos ISO 27001 relevantes;

   • processos internos afetados;

   • responsáveis por cada medida.

2. Priorizar controlos em áreas típicas como:

   • Governance e políticas (política de segurança, classificação da informação);

   • Gestão de ativos e acessos;

   • Segurança física e ambiental;

   • Segurança em desenvolvimento e teste;

   • Backup, continuidade e recuperação;

   • Gestão de incidentes de segurança;

   • Segurança de fornecedores e contratos;

   • Requisitos específicos de protótipo e testes (onde se aplicam).

Passo 4 – Implementar medidas técnicas e organizativas prioritárias

Com a matriz de gap definida, é altura de executar.

Alguns exemplos de medidas que surgem recorrentemente em projetos TISAX:

• reforço de controles de acesso físico (torniquetes, registo de visitantes, zonas segregadas);

• melhoria de controles de acesso lógico (MFA, gestão de privilégios, revisão periódica de acessos);

• encriptação de dados em repouso e em trânsito;

• procedimentos formais de gestão de vulnerabilidades e patching;

• políticas e procedimentos claros para:

  • classificação de informação;

  • trabalho remoto e uso de dispositivos móveis;

  • gestão de suportes de informação (USB, discos externos, etc.);

• contratos e NDAs adaptados a protótipos e informação confidencial.

O objetivo não é atingir “perfeição”, mas sim uma maturidade consistente e demonstrável (com evidências) nos domínios relevantes.

Passo 5 – Documentar processos e evidências

Num projeto TISAX, o que não está documentado, “não existe” aos olhos do auditor.

É essencial produzir e manter:

• políticas aprovadas pela gestão;

• procedimentos operacionais (ex.: gestão de incidentes, gestão de acessos, onboarding/offboarding);

• registos:

  • logs de acessos;

  • reports de vulnerabilidades;

  • registos de formação;

  • atas de comités de segurança;

  • registos de testes de continuidade.

O próprio handbook TISAX sublinha a necessidade de documentação de processos e evidências de implementação para demonstrar o nível de maturidade do SGSI. enx.com

Passo 6 – Registo no portal ENX e seleção do auditor

Com o SGSI razoavelmente estruturado, é altura de:

1. Registar a organização no portal ENX e definir:

   • dados da empresa;

   • âmbito (scope) da avaliação;

   • objetivos TISAX e nível pretendido.

2. Selecionar um fornecedor de auditoria aprovado pela ENX
   Existem vários organismos (TÜV, SGS, etc.) autorizados a conduzir avaliações TISAX e emitir o respetivo label. SGSCorp+2TÜV SÜD+2

3. Acordar com o auditor:

   • calendarização;

   • tipo de avaliação (AL2 – remota; AL3 – com visitas on-site);

   • idiomas de trabalho;

   • locais incluídos.

Passo 7 – Preparar e realizar a avaliação TISAX

Em termos de auditoria, o processo TISAX tem duas grandes fases: preparação e avaliação. TÜV SÜD+1

Preparação:

• realizar um self-assessment detalhado no questionário VDA ISA;

• validar internamente as respostas e evidências associadas;

• assegurar que toda a documentação está consolidada e facilmente acessível;

• preparar as equipas que irão interagir com o auditor (briefings, simulação de entrevistas).

Avaliação:

• entrevistas com responsáveis e equipas operacionais;

• análise documental detalhada;

• verificação no local (AL3): instalações, controlos físicos, procedimentos em prática;

• identificação de não conformidades e recomendações.

Após o fecho da avaliação, é emitido o relatório TISAX, e – se o resultado for positivo – o label TISAX é registado no portal ENX para partilha com os seus parceiros. portal.enx.com+2

5. Boas práticas e erros a evitar

Boas práticas:

• Tratar TISAX como um projeto de negócio, não apenas de TI.

• Aproveitar sinergias com ISO 27001, RGPD e outros requisitos de compliance.

• Manter um plano de comunicação interna, para que colaboradores entendam o “porquê” das mudanças.

• Investir em formação contínua em segurança da informação e consciencialização.

Erros frequentes:

• Começar pelo “checklist” sem uma visão global de riscos e prioridades.

• Definir um âmbito demasiado ambicioso (tudo e mais alguma coisa) e tornar o projeto incomportável.

• Deixar documentação e evidências para “a véspera” da auditoria.

• Encarar TISAX como evento pontual, em vez de um ciclo de melhoria contínua.

6. Como a iCompliance pode apoiar a sua implementação de TISAX

A implementação de TISAX exige coordenação, experiência e método. A iCompliance pode apoiar em várias frentes, nomeadamente:

• Avaliação de gap TISAX/ISO 27001 vs situação atual;

• definição de âmbito e objetivos de avaliação;

• desenho e implementação de políticas, procedimentos e registos;

• integração com requisitos de RGPD e proteção de dados (em articulação com iPrivacy.eu);

• preparação da organização para a auditoria (simulação de entrevistas, revisão de evidências);

• utilização de plataformas como o iComply.pt para gerir tarefas, riscos, ações corretivas e evidências de forma centralizada.

Se está a avaliar a necessidade de obter um label TISAX ou já tem requisitos concretos de clientes, podemos ajudá-lo a estruturar um plano de implementação faseado, realista e alinhado com o seu negócio.

7. Próximos passos

Se a sua empresa:

• atua no setor automóvel (ou quer entrar);

• recebe pedidos de “TISAX label” de OEMs ou grandes fornecedores;

• ou pretende reforçar a credibilidade da sua segurança da informação,

então faz sentido começar já:

1. Identificar requisitos de clientes e âmbito provável;

2. Realizar um diagnóstico inicial face ao VDA ISA/ISO 27001;

3. Definir um plano TISAX para os próximos 6–12 meses.

Para ajudar o arranque faça download de uma checklist resumida de implementação TISAX em formato que possa usar como PDF, para tal solicite abaixo, nos comentários deste artigo.