La petición suele llegar de un cliente. Un comprador empresarial de Estados Unidos pide un informe SOC 2. Un cliente europeo pide el certificado ISO 27001. Después, un fabricante de automóviles alemán, o un proveedor de primer nivel de uno de ellos, pide una etiqueta TISAX, y una empresa que creía tener cubierta la seguridad de la información descubre un tercer marco con su propio vocabulario, su propia plataforma y sus propias reglas sobre quién puede evaluarla.
Los tres se solapan mucho en sus controles, y una empresa que gestiona bien uno de ellos tiene hecho buena parte del trabajo de los otros. Pero no son intercambiables, porque producen tres tipos de resultado distintos: un certificado, un informe de atestación y una etiqueta de evaluación. Entender esa diferencia es lo que permite a una empresa reutilizar su trabajo en lugar de empezar tres proyectos por separado.
Tres marcos, tres tipos de resultado
La ISO 27001 es una norma internacional para un sistema de gestión de seguridad de la información. Una entidad de certificación acreditada audita a la organización y, si es conforme, emite un certificado válido durante tres años, con auditorías de seguimiento en los años intermedios. El certificado indica un alcance y puede enseñarse a cualquiera. Su fuerza es que demuestra que existe un sistema de gestión y que se mantiene: análisis de riesgos, auditoría interna, revisión por la dirección y mejora continua.
SOC 2 no es una certificación. Es un encargo de atestación conforme a las normas del AICPA, en el que una firma de auditoría estadounidense (CPA) examina los controles frente a los criterios de servicios de confianza y emite un informe con su opinión. Un informe Tipo I cubre el diseño de los controles en un momento concreto; un informe Tipo II cubre su eficacia operativa durante un periodo, normalmente de varios meses a un año. El informe se comparte con los clientes, normalmente bajo acuerdo de confidencialidad, y los compradores norteamericanos suelen pedirlo por su nombre.
TISAX, Trusted Information Security Assessment Exchange, es un mecanismo de evaluación e intercambio para el sector de la automoción, creado por la asociación alemana de la industria del automóvil (VDA) y gestionado por la ENX Association. Un proveedor de auditoría acreditado por ENX evalúa a la organización frente al catálogo VDA ISA, y el resultado es una etiqueta registrada en el portal de ENX. La empresa decide después qué socios pueden verla. TISAX existe para que un proveedor pueda ser evaluado una vez y compartir el resultado con todos los fabricantes que lo pidan, en lugar de que lo audite cada uno.
Dónde se solapan los tres
El terreno común es amplio porque los tres describen la misma práctica de seguridad de fondo. El catálogo VDA ISA se basa en la ISO 27001, y los criterios comunes de SOC 2 cubren buena parte del mismo territorio que el Anexo A. Una empresa con un SGSI que funciona reconocerá la mayor parte de lo que piden los otros dos.
- Gobierno: una política de seguridad aprobada, roles y responsabilidades definidos, implicación de la dirección y revisión periódica aparecen en los tres.
- Gestión de riesgos: la ISO 27001 exige un análisis de riesgos repetible, SOC 2 incluye la evaluación de riesgos en sus criterios comunes y VDA ISA pide gestionar los riesgos de seguridad de la información.
- Activos y control de accesos: inventarios de activos de información, clasificación, derechos de acceso según necesidad, gestión de accesos privilegiados y revisiones periódicas de accesos.
- Seguridad de las operaciones: gestión de vulnerabilidades y parches, protección frente a malware, registro y vigilancia, copias de seguridad y gestión de cambios.
- Proveedores: requisitos de seguridad para proveedores y prestadores de servicios, y su seguimiento.
- Incidentes y continuidad: gestión de incidentes, lecciones aprendidas y planes de continuidad de negocio.
- Personas: formación de concienciación, acuerdos de confidencialidad y procesos de altas, cambios y bajas.
Las diferencias dentro de ese terreno común son sobre todo de énfasis y de redacción. VDA ISA pregunta por la madurez de cada proceso, SOC 2 pregunta si un control funcionó durante todo el periodo y la ISO 27001 pregunta si un control seleccionado está implantado y justificado por el riesgo. Una misma revisión de accesos, por ejemplo, puede servir para los tres si se hace en plazo, se registra con fechas y responsables y se da seguimiento a sus excepciones.
En la práctica, esto significa que un único conjunto de controles, documentado una vez y vinculado a los tres marcos, puede sostener la mayor parte de las evidencias. El AICPA publica material de correspondencia entre los criterios de servicios de confianza y otros marcos, y el catálogo VDA ISA hace referencia a su origen en la ISO 27001. La misma lógica de una base documental que sirve a varias auditorías se aplica cuando entra en juego el ENS, como se explica en gestionar ISO 27001 y ENS como un único sistema.
Lo que añade TISAX
TISAX no es simplemente la ISO 27001 con un sello del automóvil. Varias de sus exigencias no tienen equivalente directo en los otros dos marcos, y las empresas que dan por hecho que su certificado ISO las cubrirá suelen llevarse una sorpresa en la evaluación.
Objetivos de evaluación y etiquetas
Antes de la evaluación, la empresa elige sus objetivos de evaluación, que determinan qué partes del catálogo VDA ISA se aplican y qué etiquetas puede obtener. Con la versión 6 de VDA ISA, obligatoria en las evaluaciones desde abril de 2024, los objetivos cubren la información con necesidades de protección altas y muy altas, la disponibilidad, la protección de prototipos y la protección de datos. El contrato o la solicitud del cliente suele indicar qué objetivos exige, así que el alcance lo marca el fabricante y no lo elige libremente el proveedor.
Cada etiqueta está ligada a un alcance definido, normalmente una o varias sedes, y es válida durante tres años. A diferencia del certificado ISO 27001, no hay auditorías de seguimiento anuales entre medias, pero los planes de acciones correctivas de los hallazgos deben cerrarse en los plazos acordados para que la etiqueta se emita o se mantenga. La etiqueta solo es visible para los socios con los que la empresa decide compartirla a través del portal de ENX.
Niveles de evaluación
TISAX tiene tres niveles de evaluación. El nivel 1 es una autoevaluación y no genera etiqueta TISAX, por eso los fabricantes rara vez lo aceptan. El nivel 2 es una comprobación de verosimilitud a cargo de un proveedor de auditoría acreditado, normalmente en remoto, con entrevistas y revisión de evidencias. El nivel 3 es una verificación exhaustiva, con visita presencial, y se exige para necesidades de protección muy altas y para la protección de prototipos.
El nivel lo fija la necesidad de protección de la información que trata el proveedor, no su preferencia. Un proveedor que solo maneja datos internos de diseño puede necesitar el nivel 2; uno que trabaja con vehículos o piezas prototipo necesitará el nivel 3. Pasar después del nivel 2 al nivel 3 supone una evaluación nueva, no una ampliación de la etiqueta existente.
Protección de prototipos y niveles de madurez
El módulo de protección de prototipos es el ejemplo más claro de algo que la ISO 27001 no cubre por defecto. Pide medidas físicas y organizativas en torno a piezas y vehículos prototipo: zonas protegidas, control de accesos, normas de camuflaje y transporte, protección de los vehículos de prueba en vías públicas y reglas para eventos y sesiones fotográficas. Una empresa que nunca ha manejado prototipos nunca ha necesitado estos controles, y no se pueden deducir de un SGSI.
VDA ISA, además, puntúa cada control en una escala de madurez de 0 a 5, y el objetivo general es el nivel 3, es decir, que el proceso esté definido, documentado y se aplique de forma coherente. Es una pregunta distinta de la de una auditoría ISO, que comprueba si se cumple un requisito. Un control que existe pero funciona de manera informal puede superar una muestra ISO y quedarse por debajo de la madurez que espera TISAX.
Cómo funciona una evaluación TISAX
El proceso empieza en el portal de ENX. La empresa se registra como participante, acepta las condiciones de TISAX y define el alcance de la evaluación: qué sedes se incluyen y qué objetivos de evaluación se aplican. ENX confirma después el registro y el alcance, y la empresa recibe los identificadores que usarán el proveedor de auditoría y, más adelante, sus clientes para encontrar el resultado.
Antes de que llegue el proveedor de auditoría, la empresa completa una autoevaluación frente al catálogo VDA ISA, control por control, puntuando su propia madurez. No es un trámite. La autoevaluación es el documento con el que trabaja el proveedor de auditoría, y una empresa que se puntúa con generosidad verá la diferencia en las entrevistas y en la revisión de evidencias. Después, la empresa elige un proveedor de auditoría entre los acreditados por ENX y acuerda las fechas de la evaluación en el nivel exigido.
La evaluación genera un informe y, cuando los controles no alcanzan lo exigido, hallazgos que deben resolverse mediante un plan de acciones correctivas acordado con el proveedor de auditoría. Según la gravedad de los hallazgos, puede emitirse una etiqueta temporal mientras se completan las correcciones, seguida de la etiqueta definitiva cuando se verifican. El resultado se registra en el portal de ENX y la empresa lo comparte con los clientes que necesitan verlo. El manual del participante de TISAX describe cada paso y las reglas que se aplican.
Lo que añade SOC 2
SOC 2 tiene sus propias particularidades. El alcance lo definen una descripción del sistema que redacta la empresa y los criterios de servicios de confianza que selecciona: la seguridad se incluye siempre, y la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad se añaden cuando corresponden a los compromisos que el servicio asume con sus clientes. Esas decisiones de alcance se explican en detalle en los cinco criterios de servicios de confianza de SOC 2.
La otra diferencia es el tiempo. Un informe Tipo II cubre un periodo durante el cual el auditor comprueba que los controles funcionaron, lo que obliga a generar evidencias de forma continua durante ese periodo y no a reunirlas antes de una única auditoría. Las empresas que vienen de la ISO 27001 suelen subestimarlo: una auditoría de seguimiento ISO muestrea el sistema una vez al año, mientras que un encargo Tipo II examina cómo se comportaron los controles mes a mes. Esa distancia entre evidencia periódica y evidencia continua se analiza en qué evalúa realmente una auditoría de certificación.
Lo que añade la ISO 27001
De los tres, la ISO 27001 es el único que exige un sistema de gestión completo: contexto y partes interesadas, liderazgo, una metodología documentada de análisis de riesgos, una declaración de aplicabilidad, objetivos medibles, auditoría interna, revisión por la dirección y mejora continua, según las cláusulas 4 a 10. SOC 2 y TISAX evalúan controles y, en el caso de TISAX, su madurez; ninguno exige el ciclo completo de gobierno de la misma forma.
Por eso la ISO 27001 suele funcionar mejor como base. Un sistema de gestión da a los otros dos algo estable sobre lo que apoyarse: el análisis de riesgos justifica los controles, la auditoría interna los comprueba y la revisión por la dirección los mantiene al día entre evaluaciones externas. Sin él, SOC 2 y TISAX tienden a convertirse en dos ejercicios de preparación separados que se deterioran cuando se marcha el auditor.
Un orden razonable para abordarlos
El orden adecuado depende de quién lo pide y cuándo. Si un cliente de automoción exige una etiqueta TISAX en una fecha contractual, TISAX va primero, y el trabajo se centra en los objetivos de evaluación elegidos, el nivel exigido y, cuando proceda, la protección de prototipos. Si un cliente norteamericano exige SOC 2, el reloj del periodo de observación del Tipo II suele marcar el calendario. Cuando no hay una única petición urgente, empezar por la ISO 27001 construye el sistema de gestión que los otros dos pueden reutilizar.
Sea cual sea el orden, tres principios evitan que el trabajo se multiplique por tres. Construir un único conjunto de controles y vincular cada control desde el principio al Anexo A de la ISO 27001, a los criterios de servicios de confianza y al catálogo VDA ISA. Recoger evidencias de forma continua, porque SOC 2 Tipo II las necesita a lo largo de un periodo y la madurez de TISAX se juzga por una práctica constante. Y mantener los alcances alineados, o al menos documentados de forma explícita, para que una sede del alcance TISAX y un sistema de la descripción SOC 2 no se describan de manera distinta en cada programa.
Errores habituales al añadir TISAX
El error más frecuente es dar por hecho que el certificado ISO 27001 sustituye a TISAX. No lo hace: los fabricantes piden la etiqueta de forma específica, y la evaluación cubre exigencias, como la protección de prototipos y los niveles de madurez, que el certificado no acredita. El trabajo de la ISO acorta mucho el camino, pero no lo elimina.
El segundo es elegir el nivel o los objetivos de evaluación sin comprobar lo que exige realmente el cliente, lo que puede acabar en una evaluación de nivel 2 que el cliente rechaza, seguida de una nueva evaluación de nivel 3. El tercero es tratar los tres años de validez como tres años tranquilos. La etiqueta no caduca durante ese tiempo, pero la relación con el cliente puede cambiar, pueden pedirse objetivos nuevos y una evaluación que empieza tarde puede dejar al proveedor sin etiqueta válida cuando caduque la anterior. Planificar la renovación con tiempo y mantener los controles funcionando entre medias forma parte del trabajo. Para una visión más amplia de cómo se gestionan estos programas en el día a día, consulta la sección de operaciones de cumplimiento.
