TISAX-valmistautuminen autoteollisuuden toimittajille

Autoteollisuuden asiakas pyytää TISAX-tulosta. Ennen tehtävien jakamista selvittäkää, mitkä arviointitavoitteet ja sijainnit asiakas odottaa näkevänsä. Pyyntö määrää varmennustyön, joka teidän on järjestettävä: järjestelmät, fyysiset ympäristöt, vastuulliset tiimit ja näytön.

TISAX on ENX:n hallinnoima arviointi- ja tiedonvaihtomekanismi, joka käyttää VDA Information Security Assessment -kyselyä (ISA). Se tuottaa sääntöjensä mukaisia arviointituloksia ja -merkintöjä (labels), ei ISO-tyyppistä sertifikaattia. Teknologiajohtajalle valmistautuminen tarkoittaa asiakkaan odotusten yhdistämistä toteutettuihin kontrolleihin – ei pelkkää kyselylomakkeen täyttämistä.

Muuntakaa asiakkaan pyyntö arvioinnin soveltamisalaksi

Pyynnöt voivat tulla autonvalmistajalta tai toiselta toimittajalta. Kysykää tarkat tavoitteet, odotetut merkinnät, vaadittu aikataulu ja sijainnit, jotka on katettava. Vahvistakaa osallistuvat oikeushenkilöt ja se, vaikuttavatko suunnittelutoimistot, tuotantolaitokset, etätyöjärjestelyt ja tukipalvelut rajaukseen.

Arviointitavoitteet määräävät asiaankuuluvat vaatimukset ja varmennuksen syvyyden. Tietoturva, prototyyppien suojaaminen ja tietosuoja ovat tärkeitä ulottuvuuksia, mutta ne eivät korvaa ENX:n ajantasaisen ohjeistuksen mukaisten tarkkojen tavoitteiden valintaa.

Arviointitasot kuvaavat tarkastelun syvyyttä:

• AL1: itsearviointi sisäisiin tarkoituksiin; tuloksia ei jaeta TISAXin kautta, eivätkä ne saa TISAX-merkintöjä.
• AL2: itsearvioinnin ja sitä tukevan näytön uskottavuusarviointi.
• AL3: kattava arviointi, joka sisältää paikan päällä tehtävän tarkastuksen.

Käyttäkää ENX:n TISAX-tietoja ja osallistujaohjeistusta sovellettavien tavoitteiden, arviointijärjestelyjen ja ISA-version vahvistamiseen. Rekisteröikää soveltamisala ja valitkaa valtuutettu arviointipalvelun tarjoaja asianmukaisen prosessin kautta. Keskustelkaa edellytyksistä ja saatavuudesta ajoissa; asiakkaan määräaika ei ole taattu arviointipäivä.

Tuotos on soveltamisalatallenne, joka sisältää asiakkaan hyväksymiskriteerit, sijainnit, tavoitteet, riippuvuudet, omistajat ja sovitun arviointitavan. Välttäkää sekä tarpeetonta soveltamisalan laajentamista että rajauksia, jotka jättävät pois suojattavaa tietoa tukevia palveluja.

Muuntakaa ISA-itsearviointi toteutustyöksi

Täyttäkää sovellettava itsearviointi todellisten toimintatapojen perusteella. Kun vaatimuksella on tavoiteltu kypsyystaso, selittäkää, miten toteutuksenne tukee vastausta, sen sijaan että antaisitte pistemäärän politiikan olemassaolon perusteella.

Käyttäkää työrekisteriä, jossa on vaatimus, toteutuksen kuvaus, omistaja, sijainti, näyttöviittaus, puute ja korjaava toimenpide. Osoittakaa toteutusvastuun lisäksi katselmointivastuu: jonkun on kyseenalaistettava, todistaako näyttö väitteen.

Suojatkaa suunnittelutiedot ja niitä tukeva IT

Seuratkaa luottamuksellisia piirustuksia, lähdekoodia, spesifikaatioita ja asiakastietoja vastaanotosta yhteistyön, tallennuksen ja toimituksen kautta hävittämiseen asti. Tarkistakaa luokittelu, käyttöoikeudet, ulkoinen jakaminen, etuoikeutettu pääsy, päätelaitesuojaus, lokitus, varmuuskopioiden palautus ja poikkeamien käsittely.

Esimerkiksi hyväksytyn piirustusten vaihtoprosessin tulee yksilöidä sallittu kanava, valtuutetut vastaanottajat, pääsyn päättyminen ja vastuu vanhentuneiden käyttöoikeuksien poistamisesta. Julkiset linkit kieltävä politiikka on heikkoa näyttöä, jos projektitiimit käyttävät niitä edelleen.

Arvioikaa myös ulkoiset palveluntarjoajat. Kirjatkaa, mitkä palvelut tukevat soveltamisalaa, kuka hallinnoi niitä, mitä sopimuksellisia tietoturvaodotuksia sovelletaan ja mitä näyttöä voitte saada. Palvelun ulkoistaminen ei poista tarvetta ymmärtää sen kontrolleja.

Vakiinnuttakaa paikalliset fyysiset ja prototyyppikontrollit

Keskitetyt politiikat voivat tukea useita toimipaikkoja, mutta jokainen sijainti tarvitsee näyttöä toteutuksesta. Yhdistäkää kulkusäännöt kulkukorttien oikeuksiin, vierailijatallenteisiin, saattajajärjestelyihin ja kulkuoikeuksien poistamiseen henkilöstön lähtiessä.

Kun prototyyppien suojaaminen on sovellettavissa, tarkastelkaa käsittely-ympäristöä: rajoitettuja alueita, näkyvyyttä ulkopuolelta, valokuvausrajoituksia, kuljetusta, väliaikaista säilytystä ja hyväksyttyä hävittämistä. Tunnistakaa vastuulliset henkilöt ja dokumentoikaa luovutukset tarvittaessa. Pelkät digitaaliset kulkulokit eivät osoita fyysisen komponentin hallintaa.

Huolehtikaa henkilöstöstä ja tietosuojasta

HR:n tulee tukea perehdytystä, salassapitositoumuksia, roolikohtaista koulutusta ja lähtevien työntekijöiden koordinointia. Hankinta, kiinteistöt ja suunnittelu tarvitsevat nimenomaisia tehtäviä yleisen ”tukekaa IT:tä” -ohjeen sijaan.

Kun tietosuojatavoitteet ovat sovellettavissa, arvioikaa asiaankuuluva käsittely ja sopimukselliset vastuut. TISAX-tulos ei osoita GDPR:n noudattamista; lakisääteiset velvoitteet riippuvat edelleen roolistanne ja käsittelytoimistanne.

Kootkaa näyttö, joka osoittaa toiminnan

Näytön tulee osoittaa, mitä tapahtui, missä, milloin ja kenen vastuulla. Käytännön suosituksena käyttäkää seuraavia erotteluja valmiutta katselmoidessanne:

Kirjatkaa näytön päivämäärät, lähdejärjestelmät, sijainnit ja katselmoijat. Säilyttäkää historialliset tallenteet tarvittaessa toiminnan ja muutosten selittämiseksi. Vanha kuvakaappaus ei ole automaattisesti hyödytön, mutta se ei voi osoittaa tämän päivän konfiguraatiota ilman tukevaa kontekstia.

Pitäkää luottamuksellinen arviointinäyttö pääsynhallinnan piirissä. Välttäkää tarpeettomien asiakassuunnitelmien tai henkilötietojen keräämistä, kun peitetty tallenne riittää osoittamaan kontrollin.

Automatisoikaa toistuva keruu, älkää vastuuta

Aloittakaa toistuvista tehtävistä, joilla on selkeät syötteet ja tuotokset: käyttöoikeusviennit, omaisuuserien inventaarion päivitykset, koulutustallenteet, katselmointimuistutukset ja näytön ajantasaisuuden tarkistukset. Dokumentoikaa ensin manuaalinen prosessi, jotta automaatio ei toista epäselvää työnkulkua vain nopeammin.

Määritelkää jokaiselle automatisoidulle keruulle lähde, kattavuus, tiheys, virheiden käsittely ja katselmoinnin omistaja. Testatkaa, sisältävätkö viennit jokaisen asiaankuuluvan toimipaikan ja tilityypin. Onnistunut keruutehtävä voi silti jättää pois alihankkijoiden identiteetit tai erikseen hallinnoidun tehtaan verkon.

Kun arvioitte työkaluja, testatkaa näytön jäljitettävyys, toimipaikkakohtainen omistajuus, versioiden käsittely, katselmointipäätökset ja vientien käytettävyys. Kysykää erikseen, miten prototyyppinäyttö esitetään; tietoturvavastaavuus ei osoita fyysisten prototyyppien suojaamista. Älkää olettako, että työkalun tuotosmuoto hyväksytään keskustelematta näyttöodotuksista arvioijan kanssa.

Esimerkki: kaksi sijaintia, yksi suunnitteluprosessi

Oletetaan havainnollistavasti, että toimittajalla on suunnittelutoimisto ja prototyyppipaja. Sen asiakas pyytää tavoitteita, jotka kattavat luottamukselliset kehitystiedot ja prototyyppien suojaamisen molemmissa sijainneissa.

Suunnittelutiimi tunnistaa suunnitelmien tietovaraston ja vaihtopalvelun. Kiinteistötiimi kartoittaa pajan kulkuoikeudet ja vierailijoiden käsittelyn. Katselmoinnissa havaitaan, että tietovaraston käyttöoikeudet katselmoidaan keskitetysti, mutta pajan kulkuoikeuksiin sisältyy edelleen kaksi toisiin tehtäviin siirtynyttä työntekijää.

Korjaava toimenpide poistaa nämä oikeudet, nimeää paikallisen katselmoijan ja kirjaa seuraavan katselmointipäivän. Näyttöön kuuluvat kulkuoikeustallenteet ennen muutosta ja sen jälkeen, hyväksyntäpäätös ja pajan päivitetty menettely. Itsearvioinnin vastaus viittaa näihin tallenteisiin ja yksilöi kyseisen sijainnin. Näin havainto, korjaus ja toteutus ovat jäljitettävissä ilman, että keskitettyä politiikkaa käsitellään todisteena molemmista toimipaikoista.

Pitäkää arviointisykli käyttökelpoisena

Harjoitelkaa ennen arviointia näytön hakemista kontrollien omistajien kanssa ja sopikaa, kuka käsittelee havainnot. Seuratkaa korjaavia toimenpiteitä toteutuksen ja uudelleenarvioinnin läpi arviointipalvelun tarjoajan prosessin mukaisesti. Vahvistakaa, miten tulokset jaetaan pyytäneelle asiakkaalle ENX:n sääntöjen puitteissa. TISAX-merkinnät ovat yleensä voimassa kolme vuotta; ylläpitäkää kontrolleja ja huomioikaa soveltamisalan muutokset arviointien välillä.

Secani tarjoaa yhtenäisen työtilan vaatimuksille, omistajille, tehtäville ja näytölle. Tiimit voivat liittää toimipaikkakohtaisia tallenteita kontrolleihin, seurata puutteita ja säilyttää ihmisten tekemät katselmointipäätökset. Jäsennelty auditointiin valmistautuminen auttaa käyttämään yhteistä työtä uudelleen menettämättä paikallista kontekstia.

Aloittakaa asiakkaan pyytämistä tavoitteista, valitkaa sitten yksi kriittinen tietovirta ja jäljittäkää tallenteet, jotka osoittavat sen suojaamisen jokaisessa mukana olevassa sijainnissa.