Προετοιμασία TISAX για προμηθευτές της αυτοκινητοβιομηχανίας

Ένας πελάτης από την αυτοκινητοβιομηχανία ζητά αποτέλεσμα TISAX. Πριν αναθέσετε εργασίες, προσδιορίστε ποιους στόχους αξιολόγησης και ποιες τοποθεσίες αναμένει να δει ο πελάτης. Το αίτημα αυτό καθορίζει την εργασία διασφάλισης που πρέπει να οργανώσετε: συστήματα, φυσικά περιβάλλοντα, υπεύθυνες ομάδες και τεκμήρια.

Το TISAX είναι ένας μηχανισμός αξιολόγησης και ανταλλαγής που διαχειρίζεται η ENX, με βάση το VDA Information Security Assessment (ISA). Παράγει αποτελέσματα αξιολόγησης και labels σύμφωνα με τους κανόνες του, όχι πιστοποιητικό τύπου ISO. Για έναν CTO, η προετοιμασία σημαίνει σύνδεση των προσδοκιών του πελάτη με τα εφαρμοσμένα μέτρα ελέγχου, όχι απλώς συμπλήρωση ενός ερωτηματολογίου.

Μεταφράστε το αίτημα του πελάτη σε πεδίο αξιολόγησης

Τα αιτήματα μπορεί να προέρχονται από έναν OEM ή από άλλον προμηθευτή. Ζητήστε τους ακριβείς στόχους, τα αναμενόμενα labels, το απαιτούμενο χρονοδιάγραμμα και τις τοποθεσίες που πρέπει να καλυφθούν. Επιβεβαιώστε τις νομικές οντότητες που συμμετέχουν και αν γραφεία μηχανικών, εγκαταστάσεις παραγωγής, ρυθμίσεις τηλεργασίας και υποστηρικτικές υπηρεσίες επηρεάζουν το όριο.

Οι στόχοι αξιολόγησης καθορίζουν τις σχετικές απαιτήσεις και το βάθος της διασφάλισης. Η ασφάλεια πληροφοριών, η προστασία πρωτοτύπων και η προστασία δεδομένων είναι σημαντικές διαστάσεις, αλλά δεν υποκαθιστούν την επιλογή των συγκεκριμένων στόχων σύμφωνα με την τρέχουσα καθοδήγηση της ENX.

Τα επίπεδα αξιολόγησης περιγράφουν το βάθος της εξέτασης:

• AL1: αυτοαξιολόγηση για εσωτερικούς σκοπούς· τα αποτελέσματα δεν κοινοποιούνται μέσω TISAX και δεν λαμβάνουν labels TISAX.
• AL2: αξιολόγηση αληθοφάνειας της αυτοαξιολόγησης και των υποστηρικτικών τεκμηρίων.
• AL3: ολοκληρωμένη αξιολόγηση, συμπεριλαμβανομένης επιτόπιας εξέτασης.

Χρησιμοποιήστε τις πληροφορίες της ENX για το TISAX και την καθοδήγηση για τους συμμετέχοντες για να επιβεβαιώσετε τους εφαρμοστέους στόχους, τις ρυθμίσεις αξιολόγησης και την έκδοση του ISA. Καταχωρίστε το πεδίο και επιλέξτε έναν εξουσιοδοτημένο πάροχο αξιολόγησης μέσω της κατάλληλης διαδικασίας. Συζητήστε νωρίς τις προϋποθέσεις και τη διαθεσιμότητα· η προθεσμία ενός πελάτη δεν είναι εγγυημένη ημερομηνία αξιολόγησης.

Το παραδοτέο είναι ένα αρχείο πεδίου με τα κριτήρια αποδοχής του πελάτη, τις τοποθεσίες, τους στόχους, τις εξαρτήσεις, τους κατόχους και τη συμφωνημένη προσέγγιση αξιολόγησης. Αποφύγετε τόσο την περιττή διεύρυνση του πεδίου όσο και τις εξαιρέσεις που παραλείπουν υπηρεσίες οι οποίες υποστηρίζουν προστατευόμενες πληροφορίες.

Μετατρέψτε την αυτοαξιολόγηση ISA σε εργασία υλοποίησης

Συμπληρώστε την εφαρμοστέα αυτοαξιολόγηση με βάση τις πραγματικές λειτουργικές πρακτικές. Όπου μια απαίτηση έχει επίπεδο ωριμότητας-στόχο, εξηγήστε πώς η υλοποίησή σας στηρίζει την απάντηση αντί να αποδίδετε βαθμολογία με βάση την ύπαρξη μιας πολιτικής.

Χρησιμοποιήστε ένα μητρώο εργασίας με απαίτηση, περιγραφή υλοποίησης, κάτοχο, τοποθεσία, αναφορά τεκμηρίου, κενό και διορθωτική ενέργεια. Αναθέστε ευθύνη επανεξέτασης καθώς και ευθύνη υλοποίησης: κάποιος πρέπει να αμφισβητεί αν τα τεκμήρια αποδεικνύουν τον ισχυρισμό.

Ασφαλίστε τις πληροφορίες μηχανικής και την υποστηρικτική πληροφορική

Ιχνηλατήστε εμπιστευτικά σχέδια, πηγαίο κώδικα, προδιαγραφές και δεδομένα πελατών από την παραλαβή μέσω της συνεργασίας, της αποθήκευσης, της παράδοσης και της διάθεσης. Ελέγξτε την ταξινόμηση, τα δικαιώματα, την εξωτερική κοινή χρήση, την προνομιακή πρόσβαση, την προστασία τερματικών συσκευών, την καταγραφή, την επαναφορά αντιγράφων ασφαλείας και τον χειρισμό περιστατικών.

Για παράδειγμα, μια εγκεκριμένη διαδικασία ανταλλαγής σχεδίων πρέπει να προσδιορίζει τον επιτρεπόμενο δίαυλο, τους εξουσιοδοτημένους αποδέκτες, τη λήξη της πρόσβασης και την ευθύνη για την αφαίρεση παρωχημένης πρόσβασης. Μια πολιτική που απαγορεύει τους δημόσιους συνδέσμους είναι αδύναμο τεκμήριο αν οι ομάδες έργων εξακολουθούν να τους χρησιμοποιούν.

Αξιολογήστε και τους εξωτερικούς παρόχους. Καταγράψτε ποιες υπηρεσίες υποστηρίζουν το πεδίο, ποιος τις διαχειρίζεται, ποιες συμβατικές προσδοκίες ασφάλειας ισχύουν και ποια τεκμήρια μπορείτε να λάβετε. Η ανάθεση μιας υπηρεσίας σε τρίτους δεν εξαλείφει την ανάγκη σας να κατανοείτε τα μέτρα ελέγχου της.

Καθιερώστε τοπικά φυσικά μέτρα ελέγχου και μέτρα για τα πρωτότυπα

Οι κεντρικές πολιτικές μπορούν να υποστηρίζουν πολλές εγκαταστάσεις, αλλά κάθε τοποθεσία χρειάζεται τεκμήρια εφαρμογής. Συνδέστε τους κανόνες πρόσβασης με τα δικαιώματα καρτών εισόδου, τα αρχεία επισκεπτών, τις ρυθμίσεις συνοδείας και την αφαίρεση πρόσβασης όταν αποχωρεί προσωπικό.

Όπου εφαρμόζεται η προστασία πρωτοτύπων, εξετάστε το περιβάλλον χειρισμού: ζώνες περιορισμένης πρόσβασης, ορατότητα από έξω, περιορισμούς φωτογράφισης, μεταφορά, προσωρινή αποθήκευση και εγκεκριμένη διάθεση. Προσδιορίστε το υπεύθυνο προσωπικό και τεκμηριώστε τις παραδόσεις όπου είναι σκόπιμο. Τα ψηφιακά αρχεία καταγραφής πρόσβασης από μόνα τους δεν αποδεικνύουν έλεγχο ενός φυσικού εξαρτήματος.

Αντιμετωπίστε τους ανθρώπους και την προστασία δεδομένων

Το HR πρέπει να υποστηρίζει την ένταξη νέων εργαζομένων, τις δεσμεύσεις εμπιστευτικότητας, την εκπαίδευση ανά ρόλο και τον συντονισμό των αποχωρήσεων. Οι προμήθειες, η διαχείριση εγκαταστάσεων και η ομάδα μηχανικών χρειάζονται ρητές εργασίες αντί για μια γενική οδηγία να «υποστηρίζουν το IT».

Όπου εφαρμόζονται στόχοι προστασίας δεδομένων, αξιολογήστε τη σχετική επεξεργασία και τις συμβατικές αρμοδιότητες. Ένα αποτέλεσμα TISAX δεν τεκμηριώνει συμμόρφωση με τον ΓΚΠΔ· οι νομικές υποχρεώσεις εξακολουθούν να εξαρτώνται από τον ρόλο σας και τις δραστηριότητες επεξεργασίας.

Συγκεντρώστε τεκμήρια που αποδεικνύουν τη λειτουργία

Τα τεκμήρια πρέπει να τεκμηριώνουν τι συνέβη, πού, πότε και υπό ποιανού την ευθύνη. Ως πρακτική σύσταση, χρησιμοποιήστε τις ακόλουθες διακρίσεις κατά την επανεξέταση της ετοιμότητας:

Καταγράψτε τις ημερομηνίες των τεκμηρίων, τα συστήματα προέλευσης, τις τοποθεσίες και τους ελεγκτές. Διατηρήστε ιστορικά αρχεία όπου χρειάζεται για να εξηγήσετε τη λειτουργία και τις αλλαγές. Ένα παλιό στιγμιότυπο οθόνης δεν είναι αυτομάτως άχρηστο, αλλά δεν μπορεί να τεκμηριώσει τη σημερινή διαμόρφωση χωρίς υποστηρικτικό πλαίσιο.

Κρατήστε τα εμπιστευτικά τεκμήρια της αξιολόγησης υπό έλεγχο πρόσβασης. Αποφύγετε τη συλλογή περιττών σχεδίων πελατών ή δεδομένων προσωπικού χαρακτήρα όταν ένα αρχείο από το οποίο έχουν αφαιρεθεί ευαίσθητα στοιχεία μπορεί να αποδείξει το μέτρο ελέγχου.

Αυτοματοποιήστε την επαναλαμβανόμενη συλλογή, όχι τη λογοδοσία

Ξεκινήστε με επαναλαμβανόμενες εργασίες που έχουν σαφείς εισροές και εκροές: εξαγωγές δικαιωμάτων, ενημερώσεις απογραφής παγίων, αρχεία εκπαίδευσης, υπενθυμίσεις επανεξέτασης και ελέγχους επικαιρότητας τεκμηρίων. Τεκμηριώστε πρώτα τη χειροκίνητη διαδικασία ώστε ο αυτοματισμός να μην αναπαράγει απλώς ταχύτερα μια ασαφή ροή εργασίας.

Για κάθε αυτοματοποιημένη συλλογή, προσδιορίστε την πηγή, το πεδίο, τη συχνότητα, τον χειρισμό αποτυχιών και τον κάτοχο της επανεξέτασης. Ελέγξτε αν οι εξαγωγές περιλαμβάνουν κάθε σχετική εγκατάσταση και κάθε τύπο λογαριασμού. Μια επιτυχής εργασία συλλογής μπορεί παρ' όλα αυτά να παραλείπει ταυτότητες εξωτερικών συνεργατών ή ένα χωριστά διαχειριζόμενο δίκτυο εργοστασίου.

Κατά την αξιολόγηση εργαλείων, δοκιμάστε την ιχνηλασιμότητα των τεκμηρίων, την ιδιοκτησία ανά εγκατάσταση, τον χειρισμό εκδόσεων, τις αποφάσεις επανεξέτασης και τη χρηστικότητα των εξαγωγών. Ρωτήστε χωριστά πώς αναπαρίστανται τα τεκμήρια για τα πρωτότυπα· μια αντιστοίχιση ασφάλειας πληροφοριών δεν τεκμηριώνει φυσική προστασία πρωτοτύπων. Μην υποθέτετε ότι η μορφή εξόδου ενός εργαλείου θα γίνει αποδεκτή χωρίς να συζητήσετε τις προσδοκίες για τα τεκμήρια με τον αξιολογητή.

Παράδειγμα: δύο τοποθεσίες, μία διαδικασία μηχανικής

Ας υποθέσουμε, ενδεικτικά, ότι ένας προμηθευτής λειτουργεί ένα γραφείο μηχανικών και ένα εργαστήριο πρωτοτύπων. Ο πελάτης του ζητά στόχους που καλύπτουν εμπιστευτικές πληροφορίες ανάπτυξης και την προστασία πρωτοτύπων και στις δύο τοποθεσίες.

Η ομάδα μηχανικών προσδιορίζει το αποθετήριο σχεδίων και την υπηρεσία ανταλλαγής. Η διαχείριση εγκαταστάσεων χαρτογραφεί την πρόσβαση στο εργαστήριο και τον χειρισμό επισκεπτών. Μια επανεξέταση διαπιστώνει ότι τα δικαιώματα του αποθετηρίου επανεξετάζονται κεντρικά, αλλά η πρόσβαση στο εργαστήριο εξακολουθεί να περιλαμβάνει δύο εργαζόμενους που έχουν μετατεθεί.

Η διορθωτική ενέργεια αφαιρεί αυτά τα δικαιώματα, ορίζει έναν τοπικό ελεγκτή και καταγράφει την ημερομηνία της επόμενης επανεξέτασης. Τα τεκμήρια περιλαμβάνουν αρχεία πρόσβασης πριν και μετά, την απόφαση έγκρισης και την επικαιροποιημένη διαδικασία του εργαστηρίου. Η απάντηση της αυτοαξιολόγησης παραπέμπει σε αυτά τα αρχεία και προσδιορίζει την τοποθεσία που αφορά. Έτσι, το εύρημα, η επανόρθωση και η υλοποίηση γίνονται ιχνηλάσιμα χωρίς η κεντρική πολιτική να αντιμετωπίζεται ως απόδειξη και για τις δύο εγκαταστάσεις.

Κρατήστε τον κύκλο αξιολόγησης αξιοποιήσιμο

Πριν από την αξιολόγηση, κάντε πρόβα ανάκτησης τεκμηρίων με τους κατόχους των μέτρων ελέγχου και συμφωνήστε ποιος χειρίζεται τα ευρήματα. Παρακολουθείτε τις διορθωτικές ενέργειες μέσω της υλοποίησης και της επαναξιολόγησης, όπως απαιτεί η διαδικασία του παρόχου. Επιβεβαιώστε πώς θα κοινοποιηθούν τα αποτελέσματα στον πελάτη που τα ζήτησε σύμφωνα με τους κανόνες της ENX. Τα labels TISAX έχουν γενικά περίοδο ισχύος τριών ετών· διατηρήστε τα μέτρα ελέγχου και εξετάζετε τις αλλαγές πεδίου μεταξύ των αξιολογήσεων.

Η Secani παρέχει έναν διασυνδεδεμένο χώρο εργασίας για απαιτήσεις, κατόχους, εργασίες και τεκμήρια. Οι ομάδες μπορούν να συνδέουν αρχεία ανά εγκατάσταση με μέτρα ελέγχου, να παρακολουθούν κενά και να διατηρούν τις αποφάσεις ανθρώπινης επανεξέτασης. Η δομημένη προετοιμασία ελέγχων βοηθά στην επαναχρησιμοποίηση κοινής εργασίας χωρίς να χάνεται το τοπικό πλαίσιο.

Ξεκινήστε με τους στόχους που ζήτησε ο πελάτης, στη συνέχεια επιλέξτε μία κρίσιμη ροή πληροφοριών και ιχνηλατήστε τα αρχεία που αποδεικνύουν την προστασία της σε κάθε περιλαμβανόμενη τοποθεσία.