Pour de nombreux fournisseurs de l’automobile, un label TISAX est une condition pour pouvoir commercer. Ce qu’a révélé un état des lieux de préparation, et pourquoi l’écart se situe généralement entre un contrôle conçu et un contrôle effectivement activé.
Pour les fournisseurs de l’industrie automobile allemande, la sécurité de l’information n’est plus une simple question dans un formulaire d’appel d’offres. Les constructeurs et nombre de leurs fournisseurs de rang 1 exigent un label TISAX, et un fournisseur qui n’en a pas finit par ne plus être fournisseur. Cela impose une échéance ferme à un travail souvent considéré comme facultatif.
Nous avons récemment réalisé un état des lieux de sécurité pour un fabricant qui préparait sa première évaluation TISAX. L’environnement avait été construit rapidement et, à plusieurs égards, bien construit.
TISAX est géré par l’ENX Association. Les évaluations sont réalisées exclusivement par des prestataires d’audit accrédités par ENX, et les labels sont délivrés par l’intermédiaire d’ENX. Un partenaire de préparation n’est pas l’auditeur, et une proposition qui brouille cette frontière promet quelque chose qu’elle ne peut pas tenir. Notre rôle consistait à établir où en était l’environnement, à montrer ce qui devait changer et à préparer les éléments de preuve que l’auditeur demandera.
Deux termes sont à l’origine de l’essentiel de la confusion au départ. Le niveau d’évaluation décrit la profondeur des vérifications de l’auditeur. Les labels décrivent ce qui est vérifié, par exemple les informations confidentielles, la disponibilité ou la protection des prototypes. Les deux doivent être arrêtés avant que quiconque puisse dimensionner le travail.
Les évaluations TISAX s’appuient sur le catalogue VDA Information Security Assessment. Les évaluations commandées en 2026 utilisent la version 6, et la cible pour chaque contrôle pertinent est le niveau de maturité 3, soit, en gros, un contrôle documenté, mis en œuvre et appliqué de manière constante. Un nouveau catalogue, VDA ISA2027, a été publié en juillet 2026 et s’applique aux évaluations commandées à partir de janvier 2027. Se préparer sur la mauvaise version fait perdre des mois.
Le fil conducteur des constats était l’écart entre un contrôle conçu et un contrôle appliqué. La segmentation du réseau avait été conçue de façon judicieuse et n’était que partiellement appliquée. Les politiques de conformité des appareils et de chiffrement étaient planifiées mais pas encore en vigueur, et les comptes à privilèges étaient peu nombreux, comme il se doit, mais pas encore entièrement protégés.
L’essentiel du travail consiste à achever ce qui existe déjà, et plusieurs des corrections les plus utiles étaient des changements de configuration qui se comptaient en heures. Les points forts étaient bien réels eux aussi : l’authentification multifacteur et le blocage de l’authentification héritée étaient appliqués sur l’ensemble du locataire, l’authentification des e-mails était en place, et une analyse externe n’a rien trouvé d’accessible depuis internet sur la périphérie réseau propre à l’entreprise.
Nous avons appliqué une règle tout du long. Un contrôle que nous ne pouvions pas vérifier sur pièces était classé ouvert et marqué « non vérifié », avec une note précisant exactement ce qui permettrait de le clôturer. Le jour où le véritable auditeur arrive, un rapport de préparation couvert de vert que personne n’a vérifié est pire que pas de rapport du tout.
Nous avons aussi dit clairement qu’un état des lieux satisfaisant ne préjuge pas du résultat de l’évaluation. La gouvernance, les personnes, la sécurité physique, la continuité d’activité et les contrôles relatifs aux fournisseurs sont eux aussi évalués, et ils constituaient la phase suivante du travail.
Confirmez quels labels s’appliquent, et préparez-vous sur la base de la version du catalogue que votre évaluation utilisera. Attendez-vous à ce que les écarts les plus importants se situent dans des outils déjà achetés et pas encore activés. Les tests d’intrusion ne sont pas obligatoires pour obtenir le label au niveau d’évaluation le plus courant, même si le catalogue les recommande lorsque les besoins de protection sont élevés, et une évaluation des vulnérabilités accompagnée d’une revue de configuration fournit généralement les preuves requises.
Notre pôle cybersécurité mène ce travail de l’état des lieux jusqu’à la préparation à l’audit.
Fait partie de la série Retours de nos projets. Recevez les nouvelles analyses par e-mail ou suivez le flux RSS.
On dit des entreprises implantées à la fois à Maurice et en Afrique du Sud qu’elles ont deux bureaux. La description utile est ailleurs : ce que chaque base apporte à une initiative dans un autre pays africain, et ce que le partenaire sur place en retire.
Numériser une procédure réglementée du secteur public est avant tout une affaire de règles et d’accord entre institutions. Le logiciel est la partie qui se déroule comme prévu.
Les produits de bien-être regorgent de chiffres impressionnants. La plupart mesurent la façon dont les gens se perçoivent. Cela mérite d’être mesuré, à condition que chacun sache clairement que c’est cela qui est mesuré.
