Příprava na TISAX pro dodavatele v automobilovém průmyslu

Zákazník z automobilového průmyslu požaduje výsledek TISAX. Než začnete přidělovat úkoly, zjistěte, které cíle posouzení a lokality chce zákazník vidět. Tento požadavek určuje práci na ujištění, kterou musíte zorganizovat: systémy, fyzická prostředí, odpovědné týmy a důkazy.

TISAX je mechanismus posuzování a výměny výsledků spravovaný sdružením ENX, který využívá VDA Information Security Assessment (ISA). Podle svých pravidel vydává výsledky posouzení a štítky (labels), nikoli certifikát ve stylu ISO. Pro CTO znamená příprava propojení očekávání zákazníka se zavedenými opatřeními, ne pouhé vyplnění dotazníku.

Převeďte požadavek zákazníka na rozsah posouzení

Požadavky mohou přijít od OEM nebo od jiného dodavatele. Zeptejte se na přesné cíle, očekávané štítky, požadovaný termín a lokality, které musí být pokryty. Potvrďte zúčastněné právnické osoby a to, zda hranici ovlivňují vývojové kanceláře, výrobní závody, režimy práce na dálku a podpůrné služby.

Cíle posouzení určují relevantní požadavky a hloubku ujištění. Bezpečnost informací, ochrana prototypů a ochrana osobních údajů jsou důležité dimenze, ale nenahrazují výběr konkrétních cílů podle aktuálních pokynů ENX.

Úrovně posouzení (assessment levels) popisují hloubku prověření:

• AL1: sebehodnocení pro interní účely; výsledky se prostřednictvím TISAX nesdílejí a nezískávají štítky TISAX.
• AL2: posouzení věrohodnosti sebehodnocení a podpůrných důkazů.
• AL3: komplexní posouzení včetně prověření na místě.

Platné cíle, uspořádání posouzení a verzi ISA si ověřte v informacích ENX o TISAX a pokynech pro účastníky. Rozsah zaregistrujte a autorizovaného poskytovatele posouzení vyberte příslušným postupem. Předpoklady a dostupnost proberte včas; termín zákazníka není zaručeným datem posouzení.

Výstupem je záznam o rozsahu s kritérii přijetí ze strany zákazníka, lokalitami, cíli, závislostmi, vlastníky a dohodnutým přístupem k posouzení. Vyhněte se jak zbytečnému rozšiřování rozsahu, tak výlukám, které vynechávají služby podporující chráněné informace.

Převeďte sebehodnocení ISA na implementační práci

Vyplňte příslušné sebehodnocení podle skutečných provozních postupů. Tam, kde má požadavek cílovou úroveň vyspělosti, vysvětlete, jak vaše implementace odpověď podporuje, místo abyste přidělili skóre na základě existence politiky.

Používejte pracovní registr s požadavkem, popisem implementace, vlastníkem, lokalitou, odkazem na důkaz, mezerou a nápravným opatřením. Přidělte odpovědnost za přezkoumání i za realizaci: někdo by měl zpochybnit, zda důkazy tvrzení prokazují.

Zabezpečte vývojové informace a podpůrné IT

Sledujte důvěrné výkresy, zdrojový kód, specifikace a zákaznická data od přijetí přes spolupráci, ukládání a předání až po likvidaci. Zkontrolujte klasifikaci, oprávnění, externí sdílení, privilegovaný přístup, ochranu koncových zařízení, protokolování, obnovu záloh a řešení incidentů.

Například schválený proces výměny výkresů by měl určovat povolený kanál, oprávněné příjemce, vypršení přístupu a odpovědnost za odebrání zastaralých přístupů. Politika zakazující veřejné odkazy je slabým důkazem, pokud je projektové týmy stále používají.

Vyhodnoťte také externí poskytovatele. Zaznamenejte, které služby podporují rozsah, kdo je spravuje, jaká smluvní bezpečnostní očekávání platí a jaké důkazy můžete získat. Outsourcing služby neodstraňuje vaši potřebu rozumět jejím opatřením.

Zaveďte místní fyzická opatření a opatření pro prototypy

Centrální politiky mohou podporovat více lokalit, ale každá lokalita potřebuje důkazy o implementaci. Propojte pravidla přístupu s oprávněními přístupových karet, záznamy o návštěvách, doprovodem návštěv a odebráním přístupu při odchodu zaměstnanců.

Tam, kde se uplatňuje ochrana prototypů, prověřte prostředí, v němž se s nimi nakládá: zakázané zóny, viditelnost zvenčí, omezení fotografování, přepravu, dočasné skladování a schválenou likvidaci. Určete odpovědné pracovníky a tam, kde je to vhodné, dokumentujte předání. Samotné digitální protokoly přístupu neprokazují kontrolu nad fyzickou komponentou.

Řešte lidi a ochranu osobních údajů

HR by mělo podporovat nástup, závazky mlčenlivosti, školení podle rolí a koordinaci odchodů. Nákup, správa budov a vývoj potřebují explicitní úkoly, nikoli obecný pokyn „podporovat IT“.

Tam, kde se uplatňují cíle ochrany osobních údajů, posuďte příslušné zpracování a smluvní odpovědnosti. Výsledek TISAX neprokazuje soulad s GDPR; zákonné povinnosti stále závisejí na vaší roli a činnostech zpracování.

Shromážděte důkazy, které prokazují provoz

Důkazy by měly prokázat, co se stalo, kde, kdy a pod čí odpovědností. Jako praktické doporučení používejte při přezkoumání připravenosti následující rozlišení:

Zaznamenávejte data důkazů, zdrojové systémy, lokality a přezkoumávající. Tam, kde je to potřeba k vysvětlení provozu a změn, uchovávejte historické záznamy. Starý snímek obrazovky není automaticky bezcenný, ale bez podpůrného kontextu nemůže prokázat dnešní konfiguraci.

Důvěrné důkazy z posouzení udržujte pod řízeným přístupem. Nesbírejte zbytečně zákaznické návrhy nebo osobní údaje, pokud opatření může prokázat záznam s vynechanými údaji.

Automatizujte opakovatelný sběr, ne odpovědnost

Začněte opakujícími se úkoly, které mají jasné vstupy a výstupy: exporty oprávnění, aktualizace inventáře aktiv, záznamy o školení, připomínky přezkoumání a kontroly aktuálnosti důkazů. Nejprve zdokumentujte ruční proces, aby automatizace jen rychleji nereprodukovala nejasný pracovní postup.

U každého automatizovaného sběru specifikujte jeho zdroj, rozsah, frekvenci, ošetření selhání a vlastníka přezkoumání. Otestujte, zda exporty zahrnují každou relevantní lokalitu a typ účtu. Úspěšná úloha sběru může stále vynechat identity externistů nebo samostatně spravovanou síť závodu.

Při hodnocení nástrojů testujte dohledatelnost důkazů, vlastnictví podle lokalit, práci s verzemi, rozhodnutí z přezkoumání a použitelnost exportů. Samostatně se zeptejte, jak jsou reprezentovány důkazy o prototypech; mapování bezpečnosti informací neprokazuje fyzickou ochranu prototypů. Nepředpokládejte, že výstupní formát nástroje bude přijat, aniž byste očekávání ohledně důkazů probrali s hodnotitelem.

Modelový příklad: dvě lokality, jeden vývojový proces

Ilustrativně předpokládejme, že dodavatel provozuje vývojovou kancelář a dílnu na prototypy. Jeho zákazník požaduje cíle pokrývající důvěrné vývojové informace a ochranu prototypů v obou lokalitách.

Vývojový tým identifikuje repozitář návrhů a službu pro výměnu dat. Správa budov zmapuje přístup do dílny a nakládání s návštěvami. Přezkoumání zjistí, že oprávnění k repozitáři se přezkoumávají centrálně, ale přístup do dílny stále zahrnuje dva převedené zaměstnance.

Nápravné opatření tato oprávnění odebere, přidělí místního přezkoumávajícího a zaznamená datum dalšího přezkoumání. Důkazy zahrnují záznamy o přístupech před a po, rozhodnutí o schválení a aktualizovaný postup dílny. Odpověď v sebehodnocení odkazuje na tyto záznamy a identifikuje dotčenou lokalitu. Zjištění, náprava i implementace jsou tak dohledatelné, aniž by se centrální politika považovala za důkaz pro obě lokality.

Udržujte cyklus posuzování použitelný

Před posouzením si s vlastníky opatření nacvičte dohledávání důkazů a dohodněte se, kdo bude řešit zjištění. Sledujte nápravná opatření přes implementaci a opakované posouzení, jak vyžaduje proces poskytovatele. Ověřte si, jak budou výsledky v souladu s pravidly ENX sdíleny s žádajícím zákazníkem. Štítky TISAX mají obecně platnost tři roky; mezi posouzeními udržujte opatření a zohledňujte změny rozsahu.

Secani poskytuje propojený pracovní prostor pro požadavky, vlastníky, úkoly a důkazy. Týmy mohou k opatřením připojovat záznamy specifické pro lokality, sledovat mezery a zachovávat lidská rozhodnutí z přezkoumání. Strukturovaná příprava na audit pomáhá opakovaně využívat společnou práci, aniž by se ztratil místní kontext.

Začněte cíli, které zákazník požaduje, poté vyberte jeden kritický tok informací a sledujte záznamy, které prokazují jeho ochranu v každé zahrnuté lokalitě.