ISA Version 6: La Nueva era de la Seguridad de la Información en la Industria del Automóvil
La industria automotriz se caracteriza por su constante evolución y transformación. En un mundo cada vez más conectado, la seguridad de la información y la ciberseguridad se han convertido en aspectos fundamentales para garantizar el correcto funcionamiento de los procesos y proteger los activos y datos sensibles de las organizaciones. En este sentido, el sistema de gestión de seguridad de la información TISAX (Trusted Information Security Assessment Exchange) ha establecido estándares reconocidos a nivel mundial.
La Importancia de TISAX en la Industria del Automóvil
TISAX ha sido desarrollado específicamente para la industria automotriz y se ha convertido en un referente en la evaluación de la seguridad de la información y ciberseguridad. Con más de 10,000 sitios auditados en más de 75 países, TISAX se ha posicionado como uno de los estándares más exitosos a nivel mundial.
El catálogo ISA (Information Security Assessment) es la base de las evaluaciones de seguridad de la información y ciberseguridad realizadas por TISAX. Recientemente, se ha publicado la versión 6 del catálogo ISA, la cual establece la línea base y el estado del arte en términos de seguridad de la información y ciberseguridad desde la perspectiva de la industria automotriz.
Novedades de ISA Versión 6
La versión 6 de ISA ha sido desarrollada por expertos internacionales y representa una revisión importante del catálogo. Esta nueva versión introduce una serie de cambios y mejoras que buscan fortalecer la disponibilidad de TI y OT de los proveedores de producción, así como ofrecer orientación adicional para la implementación de los controles.
A continuación, se detallan algunas de las principales novedades de ISA Versión 6:
- Mayor enfoque en la disponibilidad de IT y OT de los proveedores de producción.
- El idioma principal ahora es el inglés, aunque se planean múltiples traducciones.
- Incorporación de orientación adicional para la implementación de los controles.
- Catálogo de protección de datos completamente revisado.
- Nuevas referencias a ISO/IEC 27001:2022 y NIST Cyber Security Framework Versión 1.1.
- Mejoras continuas y mantenimiento del catálogo.
Transición a ISA Versión 6
Como parte de la transición a la versión 6 de ISA, se han establecido algunas pautas importantes. Estas pautas buscan asegurar una transición fluida y brindar a los auditores y auditados tiempo suficiente para familiarizarse con los cambios.
A continuación, se presentan las pautas para la transición a ISA Versión 6:
- Las evaluaciones ya completadas según estándares anteriores conservarán su validez.
- Las nuevas evaluaciones realizadas hasta el 31 de marzo de 2024 utilizarán la versión 5 del catálogo ISA.
- A partir del 1 de abril de 2024, las nuevas evaluaciones se realizarán utilizando la versión 6 del catálogo.
- Las actividades de evaluación relacionadas con una evaluación existente se llevarán a cabo utilizando la misma versión del catálogo que la evaluación original.
- Si se ha solicitado la evaluación según la versión 5 pero se considera que la versión 6 se adapta mejor a la organización, es posible cambiar a la versión 6 para las actividades de evaluación realizadas después del 1 de abril de 2024.
Enfoque en la Disponibilidad de TI de los Proveedores de Producción
Uno de los aspectos destacados de ISA Versión 6 es el mayor enfoque en la disponibilidad de IT y OT de los proveedores de producción. Con el aumento de los casos de ataques de ransomware, la disponibilidad de los activos de información y tecnología de la información se ha convertido en un aspecto crítico para la industria automotriz.
Para fortalecer la protección contra estos ataques, se han introducido nuevas medidas en ISA Versión 6. Estas medidas buscan garantizar la disponibilidad de TI y OT en caso de un ataque exitoso, minimizar el impacto de dicho ataque y asegurar una recuperación efectiva y oportuna.
A continuación, se describen algunas de las medidas implementadas en ISA Versión 6:
Resiliencia
La resiliencia es fundamental para enfrentar los ataques exitosos. ISA Versión 6 incluye todos los requisitos de ISA/IEC 62443-2-1 (“Seguridad para sistemas de automatización y control industrial: Requisitos del programa de seguridad para propietarios de activos de IACS”). Además, se han realizado cambios en los requisitos existentes para alinearse perfectamente con este estándar.
Detección
Reconociendo que los ataques no siempre pueden prevenirse por completo, es necesario contar con mecanismos de detección temprana. ISA Versión 6 establece requisitos para contar con un sistema de reporte de eventos de seguridad efectivo y establecer mecanismos de detección temprana.
Respuesta
Una vez que se detecta un ataque exitoso, es fundamental contar con una respuesta oportuna y coordinada. ISA Versión 6 establece requisitos para manejar los incidentes de seguridad de manera ordenada y profesional, así como para comunicarse de manera adecuada con los proveedores y clientes afectados.
Recuperación
Independientemente del alcance del ataque, es necesario contar con un plan de recuperación sólido. ISA Versión 6 establece requisitos para prepararse y recuperarse de un ataque exitoso en los sistemas y servicios de TI.
En resumen, ISA Versión 6 introduce medidas adicionales para fortalecer la disponibilidad de TI y OT de los proveedores de producción en la industria automotriz, garantizando así el correcto funcionamiento de los procesos y la protección de los activos de información.
Cambios en las Etiquetas TISAX
Junto con la versión 6 de ISA, también se han implementado cambios en los Objetivos de Evaluación TISAX y las etiquetas correspondientes. Estos cambios afectan las etiquetas existentes “Info High” y “Info Very High”, así como las etiquetas de protección de prototipos.
En este sentido, se ha llevado a cabo una división de las etiquetas “Info” para reconocer las diferencias en los perfiles de seguridad requeridos para proveedores de producción y para protección de secretos comerciales.
La introducción de las etiquetas de disponibilidad y confidencialidad en TISAX ha permitido diferenciar entre las organizaciones necesarias para mantener la producción en funcionamiento y las organizaciones encargadas de proteger los secretos comerciales. Esto ha permitido establecer requisitos específicos para cada tipo de proveedor.
Transición a las Nuevas Etiquetas
La transición a las nuevas etiquetas se realizará de manera gradual y se ha establecido el 1 de abril de 2024 como la fecha de entrada en vigencia de las mismas. Las pautas para la transición son las siguientes:
- Las ubicaciones con etiquetas “Info High” o “Info Very High” conservarán estas etiquetas y se les añadirán las etiquetas “Confidential” y “Strictly Confidential”.
- Las nuevas evaluaciones realizadas antes del 1 de abril de 2024 utilizarán las etiquetas “Info” y, una vez que sean elegibles para las etiquetas TISAX, se les añadirán las etiquetas “Confidential” y “Strictly Confidential”.
- Las nuevas evaluaciones realizadas después del 1 de abril de 2024 ya no podrán utilizar las etiquetas “Info High” o “Info Very High”. En su lugar, se utilizarán las etiquetas “Confidential” y “High Availability” o “Strictly Confidential” y “Very High Availability” respectivamente.
- Las actividades de evaluación relacionadas con una evaluación existente se llevarán a cabo utilizando las mismas etiquetas que la evaluación original.
- Si se considera que las nuevas etiquetas se adaptan mejor a la organización, es posible cambiar a las nuevas etiquetas para las actividades de evaluación realizadas después del 1 de abril de 2024.
Estos cambios en las etiquetas no implicarán un esfuerzo adicional en las evaluaciones, ya que las evaluaciones según las etiquetas “Info Very High” son idénticas a las evaluaciones combinadas de las etiquetas “Strictly Confidential” y “Very High Availability”.
Que nos espera…
La versión 6 de ISA marca un hito importante en la seguridad de la información y ciberseguridad en la industria automotriz. Con un enfoque en la disponibilidad de IT y OT de los proveedores de producción, así como en la protección de los secretos comerciales, esta nueva versión busca fortalecer la seguridad y garantizar la continuidad de los procesos en la cadena de suministro.
La transición a las nuevas etiquetas TISAX asegura una adaptación gradual y brinda a las organizaciones tiempo suficiente para implementar los cambios necesarios. En conjunto, estas medidas contribuirán a mejorar la seguridad de la información y ciberseguridad en la industria automotriz, estableciendo estándares de excelencia y confiabilidad a nivel mundial.