TISAX-forberedelse for underleverandører til bilindustrien

En kunde i bilindustrien beder om et TISAX-resultat. Før der fordeles opgaver, skal I fastslå, hvilke vurderingsmål og lokationer kunden forventer at se. Den anmodning bestemmer det sikkerhedsarbejde, I skal organisere: systemer, fysiske miljøer, ansvarlige teams og evidens.

TISAX er en vurderings- og udvekslingsmekanisme, som administreres af ENX og bygger på VDA Information Security Assessment (ISA). Den giver vurderingsresultater og labels efter sine egne regler, ikke et certifikat i ISO-forstand. For en CTO betyder forberedelse at forbinde kundens forventninger med implementerede kontroller – ikke blot at udfylde et spørgeskema.

Omsæt kundens anmodning til et vurderingsscope

Anmodninger kan komme fra en OEM eller fra en anden leverandør. Bed om de præcise mål, de forventede labels, den krævede tidsplan og de lokationer, der skal være omfattet. Bekræft, hvilke juridiske enheder der deltager, og om ingeniørkontorer, produktionsanlæg, hjemmearbejdsordninger og understøttende ydelser påvirker afgrænsningen.

Vurderingsmålene bestemmer de relevante krav og vurderingens dybde. Informationssikkerhed, prototypebeskyttelse og databeskyttelse er vigtige dimensioner, men de kan ikke erstatte valget af de specifikke mål i ENX' gældende vejledning.

Vurderingsniveauerne beskriver undersøgelsens dybde:

• AL1: selvevaluering til interne formål; resultaterne deles ikke via TISAX og får ikke TISAX-labels.
• AL2: en plausibilitetsvurdering af selvevalueringen og den underbyggende evidens.
• AL3: en omfattende vurdering, herunder undersøgelse på stedet.

Brug ENX' TISAX-information og vejledning til deltagere til at bekræfte de gældende mål, vurderingsordninger og ISA-version. Registrér scopet, og vælg en autoriseret vurderingsudbyder via den relevante proces. Drøft forudsætninger og tilgængelighed tidligt; en kundefrist er ikke en garanteret vurderingsdato.

Det leverede resultat er en scopebeskrivelse med kundens acceptkriterier, lokationer, mål, afhængigheder, ansvarlige og den aftalte vurderingsmetode. Undgå både unødvendig udvidelse af scopet og undtagelser, der udelader ydelser, som understøtter beskyttet information.

Gør ISA-selvevalueringen til implementeringsarbejde

Udfyld den relevante selvevaluering ud fra den faktiske driftspraksis. Hvor et krav har et målmodenhedsniveau, så forklar, hvordan jeres implementering understøtter svaret, i stedet for at tildele en score, blot fordi der findes en politik.

Brug et arbejdsregister med krav, beskrivelse af implementering, ansvarlig, lokation, henvisning til evidens, mangel og korrigerende handling. Fordel ansvaret for gennemgang såvel som ansvaret for levering: Nogen bør udfordre, om evidensen beviser påstanden.

Sikr udviklingsinformation og understøttende IT

Følg fortrolige tegninger, kildekode, specifikationer og kundedata fra modtagelse over samarbejde, lagring og levering til bortskaffelse. Kontrollér klassifikation, rettigheder, ekstern deling, privilegeret adgang, endpointbeskyttelse, logning, gendannelse af backup og hændelseshåndtering.

En godkendt proces for udveksling af tegninger bør for eksempel angive den tilladte kanal, autoriserede modtagere, udløb af adgang og ansvaret for at fjerne forældet adgang. En politik, der forbyder offentlige links, er svag evidens, hvis projektteams stadig bruger dem.

Evaluer også eksterne leverandører. Registrér, hvilke ydelser der understøtter scopet, hvem der administrerer dem, hvilke kontraktuelle sikkerhedsforventninger der gælder, og hvilken evidens I kan få. At outsource en ydelse fjerner ikke jeres behov for at forstå dens kontroller.

Etablér lokale fysiske kontroller og prototypekontroller

Centrale politikker kan understøtte flere lokationer, men hver lokation har brug for evidens for implementering. Forbind adgangsregler med adgangskortrettigheder, besøgsregistreringer, ordninger for ledsagelse og fjernelse af adgang, når medarbejdere fratræder.

Hvor prototypebeskyttelse er relevant, så undersøg håndteringsmiljøet: lukkede zoner, indkig udefra, fotoforbud, transport, midlertidig opbevaring og godkendt bortskaffelse. Udpeg ansvarlige medarbejdere, og dokumentér overdragelser, hvor det er relevant. Digitale adgangslogs alene påviser ikke kontrol over en fysisk komponent.

Håndtér medarbejdere og databeskyttelse

HR bør understøtte onboarding, fortrolighedsforpligtelser, rollespecifik træning og koordinering ved fratrædelse. Indkøb, facility management og udvikling har brug for eksplicitte opgaver i stedet for en generel instruks om at „støtte IT“.

Hvor databeskyttelsesmål er relevante, så vurder de relevante behandlingsaktiviteter og det kontraktuelle ansvar. Et TISAX-resultat dokumenterer ikke overholdelse af databeskyttelsesforordningen (GDPR); de juridiske forpligtelser afhænger fortsat af jeres rolle og jeres behandlingsaktiviteter.

Saml evidens, der beviser driften

Evidensen bør fastslå, hvad der skete, hvor, hvornår og under hvis ansvar. Som en praktisk anbefaling kan I bruge følgende skelnen, når I gennemgår parathed:

Registrér datoer for evidens, kildesystemer, lokationer og gennemgåere. Bevar historiske registreringer, hvor det er nødvendigt for at forklare drift og ændringer. Et gammelt skærmbillede er ikke automatisk ubrugeligt, men det kan ikke fastslå dagens konfiguration uden understøttende kontekst.

Hold fortrolig vurderingsevidens adgangsbegrænset. Undgå at indsamle unødvendige kundedesigns eller personoplysninger, når en anonymiseret registrering kan påvise kontrollen.

Automatisér gentagelig indsamling, ikke ansvar

Begynd med tilbagevendende opgaver, der har klare input og output: eksport af rettigheder, opdatering af aktivfortegnelsen, træningsregistreringer, påmindelser om gennemgang og kontrol af evidensens aktualitet. Dokumentér først den manuelle proces, så automatiseringen ikke bare gentager et uklart workflow hurtigere.

Angiv for hver automatiseret indsamling dens kilde, omfang, hyppighed, fejlhåndtering og ansvarlige for gennemgang. Test, om eksporterne omfatter alle relevante lokationer og kontotyper. Et vellykket indsamlingsjob kan stadig udelade identiteter for eksterne konsulenter eller et separat administreret fabriksnetværk.

Når I evaluerer værktøjer, så test sporbarheden af evidens, lokationsspecifikt ejerskab, versionshåndtering, beslutninger fra gennemgange og anvendeligheden af eksporter. Spørg særskilt, hvordan evidens for prototyper repræsenteres; en mapping til informationssikkerhed dokumenterer ikke fysisk prototypebeskyttelse. Gå ikke ud fra, at et værktøjs outputformat bliver accepteret, uden at I har drøftet forventningerne til evidens med assessoren.

Gennemregnet eksempel: to lokationer, én udviklingsproces

Antag, som illustration, at en leverandør driver et ingeniørkontor og et prototypeværksted. Kunden efterspørger mål, der dækker fortrolig udviklingsinformation og prototypebeskyttelse på begge lokationer.

Udviklingsteamet identificerer design-repositoriet og udvekslingstjenesten. Facility management kortlægger adgangen til værkstedet og håndteringen af besøgende. En gennemgang viser, at rettighederne til repositoriet gennemgås centralt, men at adgangen til værkstedet stadig omfatter to medarbejdere, der er overflyttet til andre opgaver.

Den korrigerende handling fjerner disse rettigheder, udpeger en lokal gennemgåer og registrerer datoen for næste gennemgang. Evidensen omfatter adgangsregistreringer før og efter, godkendelsesbeslutningen og værkstedets opdaterede procedure. Svaret i selvevalueringen henviser til disse registreringer og angiver den berørte lokation. Det gør fundet, afhjælpningen og implementeringen sporbare uden at behandle den centrale politik som bevis for begge lokationer.

Hold vurderingscyklussen brugbar

Øv før vurderingen fremfinding af evidens med kontrolejerne, og aftal, hvem der håndterer fund. Følg korrigerende handlinger gennem implementering og fornyet vurdering, som udbyderens proces kræver. Bekræft, hvordan resultaterne deles med den anmodende kunde inden for ENX' regler. TISAX-labels har normalt en gyldighed på tre år; vedligehold kontrollerne, og overvej ændringer i scopet mellem vurderingerne.

Secani giver et sammenhængende workspace for krav, ansvarlige, opgaver og evidens. Teams kan knytte lokationsspecifikke registreringer til kontroller, følge mangler og bevare menneskelige beslutninger fra gennemgange. Struktureret auditforberedelse hjælper med at genbruge fælles arbejde uden at miste den lokale kontekst.

Begynd med kundens efterspurgte mål, vælg derefter ét kritisk informationsflow, og følg de registreringer, der påviser beskyttelsen af det på hver omfattet lokation.