Подготовка за TISAX за доставчици в автомобилната индустрия

Клиент от автомобилната индустрия иска резултат от TISAX. Преди да възлагате задачи, установете кои цели на оценката и кои местоположения клиентът очаква да види. Това искане определя работата по увереността, която трябва да организирате: системи, физически среди, отговорни екипи и доказателства.

TISAX е механизъм за оценка и обмен, администриран от ENX, който използва VDA Information Security Assessment (ISA). Той дава резултати от оценката и етикети съгласно своите правила, а не сертификат по модела на ISO. За техническия директор подготовката означава свързване на очакванията на клиента с внедрените контроли, а не просто попълване на въпросник.

Превърнете искането на клиента в обхват на оценката

Исканията може да идват от OEM производител или от друг доставчик. Поискайте точните цели, очакваните етикети, изискваните срокове и местоположенията, които трябва да бъдат обхванати. Потвърдете участващите юридически лица и дали инженерните офиси, производствените обекти, договореностите за дистанционна работа и поддържащите услуги влияят върху границата.

Целите на оценката определят релевантните изисквания и дълбочината на увереността. Информационната сигурност, защитата на прототипи и защитата на данните са важни измерения, но не заместват избора на конкретните цели според актуалните насоки на ENX.

Нивата на оценка описват дълбочината на проверката:

• AL1: самооценка за вътрешни цели; резултатите не се споделят чрез TISAX и не получават етикети TISAX.
• AL2: оценка на правдоподобността на самооценката и подкрепящите доказателства.
• AL3: цялостна оценка, включително проверка на място.

Използвайте информацията на ENX за TISAX и насоките за участниците, за да потвърдите приложимите цели, организацията на оценката и версията на ISA. Регистрирайте обхвата и изберете оправомощен доставчик на оценка чрез съответния процес. Обсъдете предпоставките и наличността рано; крайният срок на клиента не е гарантирана дата за оценка.

Резултатът е запис за обхвата с критериите за приемане на клиента, местоположенията, целите, зависимостите, собствениците и договорения подход към оценката. Избягвайте както ненужното разширяване на обхвата, така и изключения, които пропускат услуги, поддържащи защитената информация.

Превърнете самооценката по ISA в работа по внедряването

Попълнете приложимата самооценка спрямо действителните оперативни практики. Когато дадено изискване има целево ниво на зрялост, обяснете как вашето внедряване подкрепя отговора, вместо да поставяте оценка въз основа на наличието на политика.

Използвайте работен регистър с изискване, описание на внедряването, собственик, местоположение, препратка към доказателство, пропуск и коригиращо действие. Възлагайте отговорност за прегледа, както и отговорност за изпълнението: някой трябва да оспорва дали доказателството доказва твърдението.

Защитете инженерната информация и поддържащите ИТ системи

Проследете поверителните чертежи, изходния код, спецификациите и клиентските данни от получаването през съвместната работа, съхранението и доставката до унищожаването. Проверете класификацията, правата, външното споделяне, привилегирования достъп, защитата на крайните устройства, регистрирането на събития, възстановяването от резервни копия и обработката на инциденти.

Например одобреният процес за обмен на чертежи трябва да посочва разрешения канал, оправомощените получатели, изтичането на достъпа и отговорността за премахване на остарял достъп. Политика, забраняваща публични връзки, е слабо доказателство, ако проектните екипи все още ги използват.

Оценявайте и външните доставчици. Запишете кои услуги поддържат обхвата, кой ги администрира, какви договорни очаквания за сигурност се прилагат и какви доказателства можете да получите. Възлагането на услуга на външен изпълнител не премахва нуждата да разбирате нейните контроли.

Установете местни физически контроли и контроли за прототипите

Централните политики могат да подкрепят множество обекти, но всяко местоположение се нуждае от доказателства за внедряването. Свържете правилата за достъп с правата на пропуските, записите за посетители, договореностите за придружаване и премахването на достъпа при напускане на служители.

Когато се прилага защита на прототипи, проверете средата за работа с тях: зони с ограничен достъп, видимост отвън, ограничения за снимане, транспорт, временно съхранение и одобрено унищожаване. Определете отговорните служители и документирайте предаванията, когато е уместно. Само цифровите журнали за достъп не демонстрират контрол върху физически компонент.

Адресирайте хората и защитата на данните

„Човешки ресурси“ трябва да подкрепя въвеждането на нови служители, ангажиментите за поверителност, обученията, специфични за ролята, и координацията при напускане. Снабдяването, управлението на сградите и инженерният екип се нуждаят от изрични задачи, а не от общо указание да „подкрепят ИТ“.

Когато се прилагат цели, свързани със защитата на данните, оценете съответното обработване и договорните отговорности. Резултатът от TISAX не установява съответствие с ОРЗД; законовите задължения продължават да зависят от вашата роля и дейностите по обработване.

Съберете доказателства, които доказват функционирането

Доказателствата трябва да установяват какво се е случило, къде, кога и под чия отговорност. Като практическа препоръка използвайте следните разграничения при прегледа на готовността:

Записвайте датите на доказателствата, системите източници, местоположенията и проверяващите. Съхранявайте историческите записи, когато е необходимо, за да обясните функционирането и промените. Старата екранна снимка не е автоматично безполезна, но не може да установи днешната конфигурация без подкрепящ контекст.

Поддържайте поверителните доказателства от оценката с контролиран достъп. Избягвайте събирането на ненужни клиентски дизайни или лична информация, когато заличен запис може да демонстрира контрола.

Автоматизирайте повтарящото се събиране, а не отчетността

Започнете с повтарящи се задачи с ясни входни данни и резултати: експорти на правата, актуализации на описа на активите, записи за обучения, напомняния за прегледи и проверки на актуалността на доказателствата. Първо документирайте ръчния процес, така че автоматизацията да не възпроизвежда по-бързо един неясен работен поток.

За всяко автоматизирано събиране посочете неговия източник, обхват, честота, обработка на откази и собственик на прегледа. Проверете дали експортите включват всеки релевантен обект и тип акаунт. Успешно изпълнена задача по събиране все пак може да пропусне идентичностите на външни изпълнители или отделно управлявана мрежа на завод.

Когато оценявате инструменти, тествайте проследимостта на доказателствата, собствеността по обекти, работата с версии, решенията от прегледите и използваемостта на експортите. Попитайте отделно как се представят доказателствата за прототипите; съпоставянето за информационна сигурност не установява физическа защита на прототипите. Не приемайте, че изходният формат на даден инструмент ще бъде приет, без да обсъдите очакванията за доказателствата с оценяващия.

Практически пример: две местоположения, един инженерен процес

Да приемем, за илюстрация, че доставчик има инженерен офис и работилница за прототипи. Неговият клиент иска цели, обхващащи поверителната информация за разработката и защитата на прототипите и на двете местоположения.

Инженерният екип идентифицира хранилището за дизайни и услугата за обмен. Отделът за управление на сградите картографира достъпа до работилницата и обработката на посетителите. Преглед установява, че правата в хранилището се преглеждат централно, но достъпът до работилницата все още включва двама преместени служители.

Коригиращото действие премахва тези права, определя местен проверяващ и записва датата на следващия преглед. Доказателствата включват записите за достъпа преди и след промяната, решението за одобрение и актуализираната процедура на работилницата. Отговорът в самооценката препраща към тези записи и посочва съответното местоположение. Това прави констатацията, отстраняването и внедряването проследими, без централната политика да се третира като доказателство и за двата обекта.

Поддържайте цикъла на оценка използваем

Преди оценката репетирайте извличането на доказателства със собствениците на контролите и договорете кой обработва констатациите. Проследявайте коригиращите действия през внедряването и повторната оценка, както изисква процесът на доставчика. Потвърдете как резултатите ще бъдат споделени с клиента, който ги е поискал, в рамките на правилата на ENX. Етикетите TISAX обикновено имат срок на валидност от три години; поддържайте контролите и обмисляйте промените в обхвата между оценките.

Secani предоставя свързано работно пространство за изисквания, собственици, задачи и доказателства. Екипите могат да свързват записи, специфични за обекта, с контролите, да проследяват пропуските и да запазват решенията от човешкия преглед. Структурираната подготовка за одит помага за повторното използване на общата работа, без да се губи местният контекст.

Започнете със заявените от клиента цели, след това изберете един критичен информационен поток и проследете записите, които демонстрират неговата защита на всяко включено местоположение.