Software de Netwrix para cumplimiento con TISAX

El mecanismo de auditoría e intercambio a nivel de la UE TISAX se basa en un catálogo de requisitos para la seguridad de la información en la industria automotriz, que incluye criterios de auditoría importantes como la protección de datos y la integración de terceros. El marco específico de la industria para la verificación de la seguridad de la información de proveedores, fabricantes de automóviles, fabricantes de equipos originales y socios fue desarrollado por la Asociación Alemana de la Industria Automotriz (VDA) en nombre de la Asociación ENX:

1. Aspectos Generales

• 1.2 ¿En qué medida se define, documenta e implementa un proceso para la identificación, evaluación y tratamiento de los riesgos de seguridad de la información?
• 1.3 ¿Hasta qué punto se asegura la eficacia del ISMS?

6. Organización de la Seguridad de la Información

• 6.3 ¿En qué medida existe una política para el uso de dispositivos móviles y su acceso remoto a los datos de la organización?

8. Gestión de activos propiedad de la organización

• 8.2 ¿En qué medida se clasifica la información según su necesidad de protección y existen reglas para el etiquetado, manejo, transporte, almacenamiento, retención, eliminación y disposición?

9. Control de Acceso

• 9.1 ¿En qué medida existen regulaciones y procedimientos con respecto al acceso de los usuarios a los servicios de red, sistemas de TI y aplicaciones de TI?
• 9.2 ¿En qué medida se implementan los procedimientos para registrar, modificar y eliminar usuarios, y en particular, existe un manejo confidencial de la información de inicio de sesión?
• 9.3 ¿En qué medida se regula y revisa la asignación y uso de cuentas de usuario privilegiadas y técnicas?
• 9.4 ¿En qué medida existen reglas obligatorias para el usuario en cuanto a la creación y manejo de credenciales de inicio de sesión confidenciales?
• 9.5 ¿En qué medida se restringe el acceso a la información y las aplicaciones a individuos autorizados?

12. Seguridad Operacional

• 12.1 ¿En qué medida se controlan e implementan los cambios en la organización, los procesos empresariales, las instalaciones de procesamiento de información y los sistemas con respecto a su relevancia para la seguridad?
• 12.5 ¿En qué medida se generan, conservan, revisan y protegen contra cambios los registros de eventos, que pueden incluir actividades de usuarios, excepciones, errores y eventos de seguridad?
• 12.6 ¿En qué medida se registran las actividades de los administradores de sistemas y operadores, se asegura el almacenamiento de los registros contra cambios y se revisan regularmente?
• 12.7 ¿En qué medida se obtiene de manera rápida la información sobre vulnerabilidades técnicas de los sistemas de TI, se evalúa y se toman las medidas adecuadas (por ejemplo, Patch Management)?
• 12.8 ¿En qué medida se planifican y coordinan los requisitos y actividades de auditoría para revisar los sistemas de TI y, posteriormente, inspeccionar técnicamente los sistemas de TI (auditoría del sistema)?

13. Seguridad de la Comunicación

• 13.1 ¿En qué medida se gestionan y controlan las redes para proteger la información en sistemas y aplicaciones de TI?
• 13.4 ¿En qué medida se protege la información durante el intercambio o la transmisión?

14. Adquisición, desarrollo y mantenimiento de sistemas

• 14.2 ¿En qué medida se tienen en cuenta los aspectos relevantes de seguridad en el proceso de desarrollo de software (incluyendo la Gestión de Cambios)?
• 14.3 ¿En qué medida se asegura que los datos de prueba se crean, protegen y utilizan de manera cuidadosa y controlada?

16. Gestión de Incidentes de Seguridad de la Información

• 16.1 ¿En qué medida están definidas las responsabilidades, procedimientos, canales de informes y niveles de criticidad para el manejo de eventos de seguridad de la información o vulnerabilidades?
• 16.2 ¿En qué medida se procesan los eventos de seguridad de la información?

18. Cumplimiento

• 18.1 ¿En qué medida se garantiza el cumplimiento de las disposiciones legales (específicas del país) y contractuales (por ejemplo, protección de la propiedad intelectual, uso de técnicas de cifrado y protección de registros)?

Dependiendo de la configuración de sus sistemas de TI, sus procedimientos internos, la naturaleza de sus actividades comerciales y otros factores, Netwrix Auditor también podría cumplir con los requisitos de TISAX no enumerados anteriormente.

Cómo cumplir con el estándar de seguridad de la información TISAX utilizando Netwrix

Las soluciones de Netwrix ofrecen visibilidad a nivel empresarial en sistemas y aplicaciones locales y basados en la nube, y le ayudan a establecer controles de seguridad de la información adecuados y asegurar que estos controles cumplan con los requisitos de TISAX.

¿Hasta qué punto se ha implementado un proceso para evaluar los riesgos de seguridad de la información?

La piedra angular de una gestión de riesgos de TI efectiva es la evaluación y mitigación continuas de riesgos. Obtenga una visión general de su perfil de riesgo actual, identifique vulnerabilidades y clasifíquelas según su nivel de riesgo. Esto asegura una seguridad confiable y un cumplimiento integral con los requisitos legales.

¿Hasta qué punto se asegura la eficacia del ISMS?

Identifique vulnerabilidades de seguridad en su entorno de datos e infraestructura, como un gran número de cuentas de usuario inactivas o grupos de seguridad vacíos. Priorice y minimice estos riesgos y demuestre a los auditores que está reduciendo activamente su superficie de ataque.

¿En qué medida se ha implementado la política sobre el uso de dispositivos móviles?

El manejo de dispositivos móviles (y su acceso remoto a los datos de la organización) - especialmente en entornos no protegidos - está asociado con riesgos aumentados (por ejemplo, pérdida, robo, infección por malware). Para que la información almacenada en el dispositivo esté protegida, se deben implementar medidas de seguridad técnicas.

¿Hasta qué punto están definidos los roles entre los proveedores de la nube y la organización?

Al utilizar servicios y servicios de TI (por ejemplo, servicios en la nube), la relación entre el proveedor y la propia organización es de particular importancia con respecto a la seguridad de la información, ya que la responsabilidad de implementar los requisitos es compartida. La organización misma debe continuar implementando partes de los requisitos de seguridad por su cuenta, mientras que otros requisitos son implementados completamente o en parte por el proveedor de servicios.

¿Hasta qué punto existen directorios para activos que contienen información?

Además del inventario clásico de elementos físicos, es importante obtener una visión general de la información procesada dentro de la organización. Los activos de información son elementos con carácter informativo, como documentos, imágenes, archivos, programas, servidores, redes, instalaciones, prototipos de vehículos, herramientas relevantes para el diseño o que determinan la forma y accesorios.