Durante o processo, são avaliados controles de Segurança da Informação, de Protótipo e de Proteção de Dados (GDPR, se aplicável, ou LGPD). A planilha é padrão e todos os controles são aplicados para todas as empresas da mesma maneira, independentemente do setor ou porte da empresa. “Se a empresa não trabalhar ou não possuir protótipo no escopo, ele deve ser retirado da avaliação. Há também um nível de diferenciação na certificação, relacionado ao nível de classificação da informação (confidencialidade: alto ou muito alto), que depende da informação que cada empresa irá tratar”, explica Vladimir.

A certificação é válida por três anos, e não é necessária nenhuma revisão anual. Porém, a TISAX exige que seja realizada regularmente uma auditoria por uma “entidade independente”, para avaliar o SGSI (uma espécie de auditoria interna com uma visão externa). Um cuidado a ser tomado em relação a essa auditoria, na visão de Vladimir, é que, como não há uma cobrança anual formal para manter a certificação, algumas empresas podem não fazer essa auditoria e, depois dos três anos, uma recertificação pode ser necessária, por não ter mantido o sistema adequadamente. “O tema tem que fazer parte da estratégia da empresa, ser acompanhado pela direção e contar com recursos para mantê-lo”, orienta o consultor.

Ele alerta ainda para alguns riscos e entraves que podem criar dificuldades durante o processo, como a falta de envolvimento da direção, considerar o tema Segurança da Informação como operacional e não estratégico, que é um assunto somente da área de TI ou não disponibilizar recursos suficientes. “É um erro achar que a implementação é somente escrever algumas políticas e procedimentos. É preciso entender que cultura e maturidade levam tempo para serem criados em um ambiente empresarial.”