Priprema za TISAX za dobavljače u automobilskoj industriji

Kupac iz automobilske industrije traži rezultat TISAX-a. Prije dodjeljivanja zadataka utvrdite koje ciljeve procjene i lokacije kupac očekuje. Taj zahtjev određuje posao na jamstvu koji trebate organizirati: sustave, fizička okruženja, odgovorne timove i dokaze.

TISAX je mehanizam procjene i razmjene kojim upravlja ENX, a koristi VDA Information Security Assessment (ISA). Prema svojim pravilima daje rezultate procjene i oznake (labels), a ne certifikat po uzoru na ISO. Za tehničkog direktora priprema znači povezivanje očekivanja kupca s implementiranim kontrolama, a ne samo ispunjavanje upitnika.

Pretvorite zahtjev kupca u opseg procjene

Zahtjevi mogu stići od proizvođača originalne opreme (OEM) ili drugog dobavljača. Zatražite točne ciljeve, očekivane oznake, potrebne rokove i lokacije koje moraju biti obuhvaćene. Potvrdite pravne osobe koje sudjeluju te utječu li na granicu inženjerski uredi, proizvodni pogoni, aranžmani rada na daljinu i prateće usluge.

Ciljevi procjene određuju relevantne zahtjeve i dubinu jamstva. Informacijska sigurnost, zaštita prototipova i zaštita podataka važne su dimenzije, ali nisu zamjena za odabir konkretnih ciljeva prema aktualnim smjernicama ENX-a.

Razine procjene opisuju dubinu ispitivanja:

• AL1: samoprocjena za interne potrebe; rezultati se ne dijele putem TISAX-a i ne dobivaju oznake TISAX.
• AL2: procjena vjerodostojnosti samoprocjene i popratnih dokaza.
• AL3: sveobuhvatna procjena, uključujući ispitivanje na licu mjesta.

Koristite ENX-ove informacije o TISAX-u i smjernice za sudionike kako biste potvrdili primjenjive ciljeve, aranžmane procjene i verziju ISA-e. Registrirajte opseg i odaberite ovlaštenog pružatelja procjene kroz odgovarajući proces. Rano razgovarajte o preduvjetima i dostupnosti; rok kupca nije zajamčeni datum procjene.

Rezultat je zapis o opsegu s kriterijima prihvaćanja kupca, lokacijama, ciljevima, ovisnostima, vlasnicima i dogovorenim pristupom procjeni. Izbjegavajte i nepotrebno proširenje opsega i isključenja koja izostavljaju usluge koje podupiru zaštićene informacije.

Pretvorite samoprocjenu ISA u implementacijski posao

Ispunite primjenjivu samoprocjenu prema stvarnim operativnim praksama. Kada zahtjev ima ciljnu razinu zrelosti, objasnite kako vaša implementacija podupire odgovor umjesto da dodijelite ocjenu na temelju samog postojanja politike.

Koristite radni registar sa zahtjevom, opisom implementacije, vlasnikom, lokacijom, referencom na dokaz, nedostatkom i korektivnom radnjom. Dodijelite odgovornost za pregled kao i odgovornost za isporuku: netko treba preispitati dokazuju li dokazi tvrdnju.

Zaštitite inženjerske informacije i prateći IT

Pratite povjerljive nacrte, izvorni kôd, specifikacije i podatke kupaca od primitka preko suradnje, pohrane i isporuke do zbrinjavanja. Provjerite klasifikaciju, dopuštenja, vanjsko dijeljenje, povlašteni pristup, zaštitu krajnjih točaka, bilježenje zapisa, vraćanje sigurnosnih kopija i postupanje s incidentima.

Primjerice, odobreni proces razmjene nacrta trebao bi identificirati dopušteni kanal, ovlaštene primatelje, istek pristupa i odgovornost za uklanjanje zastarjelog pristupa. Politika koja zabranjuje javne poveznice slab je dokaz ako ih projektni timovi i dalje koriste.

Ocijenite i vanjske pružatelje. Zabilježite koje usluge podupiru opseg, tko ih administrira, koja se ugovorna sigurnosna očekivanja primjenjuju i koje dokaze možete dobiti. Eksternalizacija usluge ne uklanja vašu potrebu da razumijete njezine kontrole.

Uspostavite lokalne fizičke kontrole i kontrole za prototipove

Središnje politike mogu podupirati više lokacija, ali svaka lokacija treba dokaze o implementaciji. Povežite pravila pristupa s dopuštenjima na karticama za pristup, evidencijom posjetitelja, aranžmanima pratnje i uklanjanjem pristupa kada zaposlenici odu.

Kada se primjenjuje zaštita prototipova, ispitajte okruženje rukovanja: ograničene zone, vidljivost izvana, ograničenja fotografiranja, prijevoz, privremenu pohranu i odobreno zbrinjavanje. Identificirajte odgovorno osoblje i dokumentirajte primopredaje gdje je to primjereno. Sami digitalni zapisi o pristupu ne dokazuju kontrolu nad fizičkom komponentom.

Obradite pitanja ljudi i zaštite podataka

Ljudski resursi trebaju podupirati uvođenje zaposlenika, obveze povjerljivosti, obuku prilagođenu ulozi i koordinaciju odlazaka. Nabava, upravljanje objektima i inženjering trebaju izričite zadatke, a ne općenitu uputu da „podupiru IT“.

Kada se primjenjuju ciljevi zaštite podataka, procijenite relevantnu obradu i ugovorne odgovornosti. Rezultat TISAX-a ne utvrđuje usklađenost s GDPR-om (Općom uredbom o zaštiti podataka); zakonske obveze i dalje ovise o vašoj ulozi i aktivnostima obrade.

Prikupite dokaze koji dokazuju rad

Dokazi trebaju utvrditi što se dogodilo, gdje, kada i pod čijom odgovornošću. Kao praktičnu preporuku, pri pregledu spremnosti koristite sljedeće razlike:

Bilježite datume dokaza, izvorne sustave, lokacije i recenzente. Sačuvajte povijesne zapise kada su potrebni za objašnjenje rada i promjena. Stara snimka zaslona nije automatski beskorisna, ali bez popratnog konteksta ne može utvrditi današnju konfiguraciju.

Pristup povjerljivim dokazima za procjenu neka bude kontroliran. Izbjegavajte prikupljanje nepotrebnih nacrta kupaca ili osobnih podataka kada redigirani zapis može dokazati kontrolu.

Automatizirajte ponovljivo prikupljanje, a ne odgovornost

Počnite s ponavljajućim zadacima koji imaju jasne ulaze i izlaze: izvozima dopuštenja, ažuriranjima popisa imovine, evidencijom obuke, podsjetnicima za preglede i provjerama ažurnosti dokaza. Najprije dokumentirajte ručni proces kako automatizacija ne bi samo brže reproducirala nejasan tijek rada.

Za svako automatizirano prikupljanje navedite izvor, opseg, učestalost, postupanje u slučaju neuspjeha i vlasnika pregleda. Testirajte uključuju li izvozi svaku relevantnu lokaciju i vrstu računa. Uspješan zadatak prikupljanja i dalje može izostaviti identitete vanjskih suradnika ili zasebno upravljanu mrežu pogona.

Pri ocjenjivanju alata testirajte sljedivost dokaza, vlasništvo po lokacijama, postupanje s verzijama, odluke iz pregleda i upotrebljivost izvoza. Zasebno pitajte kako se prikazuju dokazi o prototipovima; mapiranje informacijske sigurnosti ne utvrđuje fizičku zaštitu prototipova. Nemojte pretpostaviti da će format izlaznih podataka alata biti prihvaćen a da prethodno s procjeniteljem niste razgovarali o očekivanjima u pogledu dokaza.

Razrađeni primjer: dvije lokacije, jedan inženjerski proces

Pretpostavimo, ilustrativno, da dobavljač ima inženjerski ured i radionicu za prototipove. Njegov kupac traži ciljeve koji obuhvaćaju povjerljive razvojne informacije i zaštitu prototipova na objema lokacijama.

Inženjerski tim identificira repozitorij nacrta i uslugu za razmjenu. Služba za upravljanje objektima mapira pristup radionici i postupanje s posjetiteljima. Pregled utvrđuje da se dopuštenja za repozitorij pregledavaju središnje, ali da pristup radionici još uvijek uključuje dva premještena zaposlenika.

Korektivna radnja uklanja ta dopuštenja, imenuje lokalnog recenzenta i bilježi datum sljedećeg pregleda. Dokazi uključuju zapise o pristupu prije i poslije, odluku o odobrenju i ažurirani postupak radionice. Odgovor u samoprocjeni upućuje na te zapise i identificira lokaciju na koju se odnosi. Time nalaz, otklanjanje i implementacija postaju sljedivi, a da se središnja politika ne tretira kao dokaz za obje lokacije.

Održavajte ciklus procjene upotrebljivim

Prije procjene uvježbajte dohvaćanje dokaza s vlasnicima kontrola i dogovorite tko postupa s nalazima. Pratite korektivne radnje kroz implementaciju i ponovnu procjenu kako zahtijeva proces pružatelja. Potvrdite kako će se rezultati dijeliti s kupcem koji ih traži unutar pravila ENX-a. Oznake TISAX općenito vrijede tri godine; održavajte kontrole i razmotrite promjene opsega između procjena.

Secani pruža povezani radni prostor za zahtjeve, vlasnike, zadatke i dokaze. Timovi mogu povezivati zapise specifične za lokaciju s kontrolama, pratiti nedostatke i čuvati ljudske odluke iz pregleda. Strukturirana priprema za reviziju pomaže ponovno upotrijebiti zajednički posao bez gubitka lokalnog konteksta.

Počnite s ciljevima koje je kupac zatražio, a zatim odaberite jedan kritičan tok informacija i pratite zapise koji dokazuju njegovu zaštitu na svakoj uključenoj lokaciji.