Hoy quiero hacer un post algo diferente.
Quiero contaros cómo viví personalmente el momento en el que empecé a escuchar la palabra TISAX, en octubre de 2024. No sabía exactamente qué me iba a encontrar, hasta dónde llegaba el proceso ni las implicaciones reales que tendría para el día a día de la empresa.
Sabía que TISAX estaba relacionado con la seguridad de la información, que comparte muchos principios con ISO 27001 y que es un requisito habitual dentro de la cadena de suministro de fabricantes y proveedores del sector de la automoción. También pensaba que sería relativamente sencillo: teníamos un sistema seguro, hacíamos copias de seguridad y seguíamos procesos de trabajo consolidados.
La realidad fue otra.
Es cierto que el sistema era seguro. Las copias de seguridad se realizaban, había medidas técnicas implantadas y el equipo trabajaba con procedimientos establecidos. Pero eso suponía solo una parte del camino. Tener las cosas hechas no es lo mismo que poder demostrar que se hacen, que se revisan y que se mantienen en el tiempo.
TISAX se apoya en el catálogo ISA, un marco común para evaluar la madurez de la gestión de la seguridad de la información y la ciberseguridad dentro de la industria de automoción. ENX explica el marco y el proceso de evaluación.
Cuando la seguridad deja de estar solo en la cabeza de IT
En aquel momento estaba al frente de la dirección de IT y me nombraron responsable de seguridad de la información.
De repente, la lista de tareas pendientes empezó a crecer. No porque el trabajo no estuviera hecho, sino porque había que documentarlo, revisarlo y dejar evidencia de que cada proceso funcionaba realmente.
Hasta ese momento, muchas cosas se hacían por costumbre, por experiencia y porque formaban parte de la operativa diaria. Pero una certificación obliga a bajar esos conocimientos a tierra: definir responsables, documentar los pasos, establecer revisiones y guardar pruebas.
Ahí entendí que una certificación TISAX no consiste únicamente en tener un antivirus, realizar copias de seguridad o aplicar contraseñas seguras. Consiste en construir un sistema de gestión de la seguridad que pueda funcionar, demostrarse y mejorarse con el tiempo.
El primer paso: volver a lo básico
Aunque al principio el volumen de trabajo parecía difícil de asumir, decidí empezar por el principio. Como dicen los ingleses, back to basics.
Primero comenzamos con las políticas y los protocolos relacionados con el departamento de informática: copias de seguridad, contraseñas, gestión de equipos, accesos, incidencias y uso aceptable de los recursos tecnológicos.
Después fuimos ampliando el trabajo a otras áreas involucradas en la seguridad de la información, como recursos humanos, dirección o los responsables de cada proceso.
Partimos de documentos y prácticas que ya existían, aunque algunas estuvieran solo parcialmente documentadas. Por ejemplo:
- Política de copias de seguridad.
- Política de contraseñas.
- Gestión de altas y bajas de empleados.
- Asignación y retirada de permisos.
- Solicitud y entrega de material.
- Baja y devolución de equipos.
- Gestión de incidencias.
- Inventario de activos.
Poner todo esto por escrito fue útil desde el primer momento. No solo para responder a los requisitos de TISAX, sino para detectar puntos en los que el proceso real no coincidía exactamente con la idea que teníamos de él.
Las sorpresas llegan al revisar los procesos
Cuando empezamos a revisar documentos y procedimientos, llegaron las primeras sorpresas.
Un proceso puede parecer muy claro cuando lo tienes en la cabeza, pero la realidad del día a día siempre introduce excepciones. Cambios que se hacen de forma verbal, responsabilidades que no están del todo definidas, registros que no se guardan o pasos que dependen de que una persona concreta se acuerde de hacerlos.
Además, cada revisión traía nuevas mejoras. “Ya que estamos, podríamos mejorar este proceso”. Y es cierto: documentar obliga a revisar, y revisar ayuda a mejorar.
Eso significa muchas horas de trabajo. Pero también significa que, al terminar, la empresa cuenta con procesos más claros, más fáciles de seguir y menos dependientes de una sola persona.
Las evidencias: hacer las cosas y poder demostrarlo
Otro punto importante fue reunir evidencias.
No bastaba con afirmar que se hacían copias de seguridad: había que poder demostrar que se realizaban, que se comprobaban y que era posible restaurarlas. No bastaba con decir que los equipos se daban de baja correctamente: había que dejar constancia del proceso.
Durante el camino tuvimos que trabajar, entre otras cosas, en:
- Pruebas y registros de restauración de copias de seguridad.
- Evidencias de baja y retirada de equipos.
- Informes de antivirus y protección de los dispositivos.
- Inventarios actualizados de activos.
- Priorización y tiempos de respuesta desde la herramienta de soporte.
- Registro y seguimiento de incidencias.
- Revisión de permisos y accesos.
- Políticas para el intercambio seguro de información.
Algunas medidas generaban debate, por ejemplo, limitar el uso de herramientas de envío de archivos que no encajan con la política de seguridad puede ser incómodo al principio. En nuestro caso, prohibir WeTransfer fue un pequeño drama, pero, cuando se ofrecen alternativas adecuadas y se explica el motivo, el equipo entiende que no se trata de poner barreras, sino de proteger información que puede ser crítica para la empresa y sus clientes.
Una certificación TISAX se parece a una mudanza
Si tuviera que resumir mi experiencia en una frase, diría que una certificación como TISAX se parece mucho a una mudanza. No sabes todo lo que tienes hasta que tienes que ordenarlo, revisarlo y decidir dónde va cada cosa.
En el día a día damos muchas tareas por hechas. Pensamos que el sistema funciona, que los procesos están claros y que no habrá incidentes. Pero una certificación te obliga a hacerte preguntas incómodas y necesarias:
- ¿Qué ocurriría si se produce un incidente?
- ¿Quién es responsable de actuar?
- ¿Está documentado el proceso?
- ¿Podemos demostrar que se cumple?
- ¿Se revisa de forma periódica?
- ¿Qué pasa si la persona que sabe hacerlo no está?
No se trata de crear documentos para guardarlos en una carpeta. Se trata de implantar una forma de trabajar más ordenada y repetible.
El orden reduce problemas a futuro
Es normal pensar que documentar cada proceso añade trabajo. Y lo añade, especialmente al principio, pero, una vez que las reglas están claras, registrar una acción o seguir un procedimiento suele llevar unos minutos. A cambio, se reducen errores, se mejora la respuesta ante incidencias y se evita depender de improvisaciones.
El orden no elimina todos los problemas, pero ayuda a que la empresa sepa qué hacer cuando aparecen.
En mi experiencia, el esfuerzo de preparación se tradujo en una mejora de la operativa de muchos departamentos. La seguridad dejó de ser únicamente una cuestión técnica para convertirse en una responsabilidad compartida.
Lo que me ha aportado el proceso de certificación TISAX
He participado en tres proyectos de certificación TISAX que obtuvieron la máxima calificación posible. Ha sido un proceso exigente, con muchas horas de trabajo, revisiones y aprendizaje y también ha sido una experiencia que me ha ayudado a crecer profesional y personalmente.
La principal lección es sencilla: cuando los procesos están documentados, se siguen de forma consistente y se revisan, la empresa trabaja mejor. La certificación puede ser el motivo para empezar, pero el valor real aparece después, en la operativa diaria.
¿Necesitas preparar una certificación TISAX?
Si tu empresa necesita certificarse en TISAX y no sabes por dónde empezar, en CiberLog podemos ayudarte a poner orden, definir los procesos necesarios y acompañarte durante todo el camino.
Trabajamos contigo para convertir un proceso complejo en un proyecto organizado, con pasos claros y adaptados a la realidad de tu empresa.
Contacta con CiberLog y cuéntanos en qué punto se encuentra tu proyecto de certificación TISAX.