TISAX-iks valmistumine autotööstuse tarnijatele

Autotööstuse klient küsib TISAX-i tulemust. Enne ülesannete jagamist tehke kindlaks, milliseid hindamiseesmärke ja asukohti klient ootab. See taotlus määrab kindlustandvuse töö, mida peate korraldama: süsteemid, füüsilised keskkonnad, vastutavad meeskonnad ja tõendid.

TISAX on ENX-i hallatav hindamis- ja vahetusmehhanism, mis kasutab VDA infoturbe hindamist (ISA). Selle tulemuseks on hindamistulemused ja märgised selle reeglite järgi, mitte ISO-laadne sertifikaat. Tehnikajuhi jaoks tähendab ettevalmistus klientide ootuste sidumist rakendatud kontrollimeetmetega – mitte lihtsalt küsimustiku täitmist.

Muutke kliendi taotlus hindamise ulatuseks

Taotlused võivad tulla autotootjalt või mõnelt teiselt tarnijalt. Küsige täpseid eesmärke, oodatavaid märgiseid, nõutavat ajastust ja asukohti, mis peavad olema hõlmatud. Kinnitage osalevad juriidilised isikud ning see, kas inseneribürood, tootmisrajatised, kaugtöökorraldus ja tugiteenused mõjutavad piiri.

Hindamiseesmärgid määravad asjaomased nõuded ja kindlustandvuse sügavuse. Infoturve, prototüüpide kaitse ja andmekaitse on olulised mõõtmed, kuid need ei asenda konkreetsete eesmärkide valimist ENX-i kehtivate juhiste järgi.

Hindamistasemed kirjeldavad läbivaatuse sügavust:

• AL1: enesehindamine sisekasutuseks; tulemusi ei jagata TISAX-i kaudu ja need ei saa TISAX-i märgiseid.
• AL2: enesehindamise ja seda toetavate tõendite usutavuse hindamine.
• AL3: põhjalik hindamine, sealhulgas kohapealne läbivaatus.

Kasutage ENX-i TISAX-i teavet ja osalejate juhiseid, et kinnitada kohaldatavad eesmärgid, hindamise korraldus ja ISA versioon. Registreerige ulatus ja valige asjakohase protsessi kaudu volitatud hindamisteenuse osutaja. Arutage eeltingimusi ja kättesaadavust varakult; kliendi tähtaeg ei ole garanteeritud hindamiskuupäev.

Väljundiks on ulatuse kirje, mis sisaldab kliendi vastuvõtukriteeriume, asukohti, eesmärke, sõltuvusi, omanikke ja kokkulepitud hindamisviisi. Vältige nii tarbetut ulatuse laiendamist kui ka välistusi, mis jätavad välja kaitstud teavet toetavad teenused.

Muutke ISA enesehindamine rakendustööks

Täitke kohaldatav enesehindamine tegelike töötavade alusel. Kui nõudel on sihtküpsus, selgitage, kuidas teie rakendus vastust toetab, selle asemel et anda hinnang üksnes poliitika olemasolu põhjal.

Kasutage töölehte, kus on nõue, rakenduse kirjeldus, omanik, asukoht, viide tõendile, lünk ja parandustegevus. Määrake lisaks elluviimise vastutusele ka ülevaatuse vastutus: keegi peaks vaidlustama, kas tõendid väidet tõendavad.

Kaitske inseneriteavet ja toetavat IT-d

Jälgige konfidentsiaalseid jooniseid, lähtekoodi, spetsifikatsioone ja kliendiandmeid alates vastuvõtmisest kuni koostöö, talletamise, üleandmise ja hävitamiseni. Kontrollige liigitust, õigusi, välist jagamist, privilegeeritud juurdepääsu, lõppseadmete kaitset, logimist, varukoopiate taastamist ja intsidentide käsitlemist.

Näiteks peaks heakskiidetud joonistevahetuse protsess määratlema lubatud kanali, volitatud vastuvõtjad, juurdepääsu aegumise ja vastutuse aegunud juurdepääsu eemaldamise eest. Poliitika, mis keelab avalikud lingid, on nõrk tõend, kui projektimeeskonnad neid endiselt kasutavad.

Hinnake ka väliseid teenusepakkujaid. Dokumenteerige, millised teenused ulatust toetavad, kes neid haldab, millised lepingulised turvaootused kehtivad ja milliseid tõendeid saate. Teenuse sisseostmine ei kõrvalda vajadust mõista selle kontrollimeetmeid.

Kehtestage kohalikud füüsilised ja prototüüpide kontrollimeetmed

Kesksed poliitikad võivad toetada mitut asukohta, kuid iga asukoht vajab rakendamise tõendeid. Siduge juurdepääsureeglid läbipääsukaartide õiguste, külastajate kirjete, saatmiskorralduse ja juurdepääsu eemaldamisega töötajate lahkumisel.

Kui kehtib prototüüpide kaitse, uurige käsitsemiskeskkonda: piiratud alad, nähtavus väljastpoolt, pildistamispiirangud, transport, ajutine hoiustamine ja heakskiidetud hävitamine. Tuvastage vastutavad töötajad ja dokumenteerige vajaduse korral üleandmised. Ainuüksi digitaalsed juurdepääsulogid ei näita füüsilise komponendi üle kontrolli.

Käsitlege inimesi ja andmekaitset

Personaliosakond peaks toetama tööle asumist, konfidentsiaalsuskohustusi, rollipõhist koolitust ja lahkujatega seotud koordineerimist. Hange, kinnisvarahaldus ja arendus vajavad selgesõnalisi ülesandeid, mitte üldist juhist „toetada IT-d“.

Kui kehtivad andmekaitse eesmärgid, hinnake asjaomast töötlemist ja lepingulisi kohustusi. TISAX-i tulemus ei tõenda vastavust GDPR-ile; õiguslikud kohustused sõltuvad endiselt teie rollist ja töötlemistoimingutest.

Koguge tõendid, mis näitavad toimimist

Tõendid peaksid näitama, mis juhtus, kus, millal ja kelle vastutusel. Praktilise soovitusena kasutage valmisoleku ülevaatamisel järgmisi eristusi:

Dokumenteerige tõendite kuupäevad, lähtesüsteemid, asukohad ja ülevaatajad. Säilitage vajaduse korral ajaloolised kirjed, et selgitada toimimist ja muudatusi. Vana ekraanipilt ei ole automaatselt kasutu, kuid see ei saa ilma toetava kontekstita tõendada tänast konfiguratsiooni.

Hoidke konfidentsiaalsed hindamistõendid juurdepääsukontrolli all. Vältige tarbetute kliendi kavandite või isikuandmete kogumist, kui kontrollimeedet saab näidata varjestatud kirjega.

Automatiseerige korduv kogumine, mitte vastutus

Alustage korduvatest ülesannetest, millel on selged sisendid ja väljundid: õiguste ekspordid, varainventari uuendused, koolituskirjed, ülevaatuste meeldetuletused ja tõendite ajakohasuse kontrollid. Dokumenteerige esmalt käsitsi protsess, et automatiseerimine ei kordaks ebaselget töövoogu lihtsalt kiiremini.

Iga automatiseeritud kogumise puhul määrake selle allikas, ulatus, sagedus, tõrkekäsitlus ja ülevaatuse omanik. Testige, kas ekspordid hõlmavad iga asjaomast asukohta ja kontotüüpi. Edukas kogumistöö võib siiski välja jätta lepingupartnerite identiteedid või eraldi hallatava tehase võrgu.

Tööriistade hindamisel testige tõendite jälgitavust, asukohapõhist vastutust, versioonide käsitlemist, ülevaatusotsuseid ja ekspordi kasutatavust. Küsige eraldi, kuidas prototüüpide tõendeid esitatakse; infoturbe vastendus ei tõenda prototüüpide füüsilist kaitset. Ärge eeldage, et tööriista väljundvorming võetakse vastu ilma tõendite ootusi hindajaga arutamata.

Näide: kaks asukohta, üks arendusprotsess

Oletame illustreeriva näitena, et tarnija käitab inseneribürood ja prototüüpide töökoda. Tema klient taotleb eesmärke, mis hõlmavad konfidentsiaalset arendusteavet ja prototüüpide kaitset mõlemas asukohas.

Arendusmeeskond tuvastab disainihoidla ja vahetusteenuse. Kinnisvarahaldus kaardistab töökoja juurdepääsu ja külastajate käsitlemise. Ülevaatusel selgub, et hoidla õigusi vaadatakse üle tsentraalselt, kuid töökoja juurdepääs hõlmab endiselt kaht teisele ametikohale üle viidud töötajat.

Parandustegevus eemaldab need õigused, määrab kohaliku ülevaataja ja dokumenteerib järgmise ülevaatuse kuupäeva. Tõendid hõlmavad juurdepääsukirjeid enne ja pärast muudatust, heakskiiduotsust ja töökoja ajakohastatud protseduuri. Enesehindamise vastus viitab nendele kirjetele ja nimetab asjaomase asukoha. See muudab leiu, parandusmeetme ja rakenduse jälgitavaks, käsitlemata keskset poliitikat mõlema asukoha tõendina.

Hoidke hindamistsükkel kasutatavana

Enne hindamist harjutage koos kontrollimeetmete omanikega tõendite leidmist ja leppige kokku, kes leide käsitleb. Jälgige parandustegevusi rakendamise ja korduvhindamiseni vastavalt teenuseosutaja protsessile. Kinnitage, kuidas tulemusi jagatakse taotlenud kliendiga ENX-i reeglite piires. TISAX-i märgised kehtivad üldjuhul kolm aastat; säilitage kontrollimeetmed ja kaaluge ulatuse muudatusi hindamiste vahel.

Secani pakub nõuete, omanike, ülesannete ja tõendite jaoks seotud tööruumi. Meeskonnad saavad siduda asukohapõhised kirjed kontrollimeetmetega, jälgida lünki ja säilitada inimeste ülevaatusotsuseid. Struktureeritud auditiks valmistumine aitab ühist tööd taaskasutada, kaotamata kohalikku konteksti.

Alustage kliendi taotletud eesmärkidest, valige seejärel üks kriitiline teabevoog ja jälgige kirjeid, mis näitavad selle kaitset igas hõlmatud asukohas.