TISAX-felkészülés autóipari beszállítóknak

Egy autóipari ügyfél TISAX-eredményt kér. Mielőtt feladatokat osztana ki, tisztázza, mely értékelési célokat és telephelyeket vár el az ügyfél. Ez a kérés határozza meg, milyen bizonyossági munkát kell megszerveznie: rendszereket, fizikai környezeteket, felelős csapatokat és bizonyítékokat.

A TISAX az ENX által működtetett értékelési és adatcsere-mechanizmus, amely a VDA Information Security Assessmentet (ISA) használja. Saját szabályai szerint értékelési eredményeket és címkéket (labeleket) ad ki, nem ISO-típusú tanúsítványt. A technológiai vezető (CTO) számára a felkészülés azt jelenti, hogy az ügyfél elvárásait a megvalósított kontrollokhoz kapcsolja, nem pedig egyszerűen kitölt egy kérdőívet.

Fordítsa le az ügyfél kérését értékelési hatókörre

A kérés érkezhet egy járműgyártótól (OEM) vagy egy másik beszállítótól. Kérdezzen rá a pontos célokra, a várt címkékre, a megkövetelt időzítésre és a lefedendő telephelyekre. Erősítse meg a részt vevő jogalanyokat, és azt, hogy a mérnöki irodák, a gyártóüzemek, a távmunka-megoldások és a támogató szolgáltatások befolyásolják-e a határokat.

Az értékelési célok határozzák meg a releváns követelményeket és a bizonyosság mélységét. Az információbiztonság, a prototípusvédelem és az adatvédelem fontos dimenziók, de nem helyettesítik az ENX aktuális útmutatásában szereplő konkrét célok kiválasztását.

Az értékelési szintek a vizsgálat mélységét írják le:

• AL1: belső célú önértékelés; az eredményeket nem osztják meg a TISAX-on keresztül, és nem kapnak TISAX-címkét.
• AL2: az önértékelés és az alátámasztó bizonyítékok hihetőségi vizsgálata.
• AL3: átfogó értékelés, helyszíni vizsgálattal együtt.

Az ENX TISAX-tájékoztatója és résztvevői útmutatója alapján erősítse meg az alkalmazandó célokat, az értékelési megoldásokat és az ISA-verziót. Regisztrálja a hatókört, és a megfelelő eljárásban válasszon engedéllyel rendelkező értékelő szolgáltatót. Az előfeltételeket és a rendelkezésre állást korán egyeztesse; egy ügyféloldali határidő nem garantált értékelési időpont.

Az eredménytermék egy hatókör-nyilvántartás, amely tartalmazza az ügyfél elfogadási kritériumait, a telephelyeket, a célokat, a függőségeket, a felelősöket és az egyeztetett értékelési megközelítést. Kerülje el mind a szükségtelen hatókörbővítést, mind az olyan kizárásokat, amelyek kihagyják a védett információkat támogató szolgáltatásokat.

Alakítsa az ISA-önértékelést megvalósítási munkává

Az alkalmazandó önértékelést a tényleges működési gyakorlat alapján töltse ki. Ahol egy követelményhez célérettségi szint tartozik, magyarázza el, hogyan támasztja alá a megvalósítás a választ, ahelyett hogy egy szabályzat puszta létezése alapján adna pontszámot.

Használjon munkanyilvántartást, amely tartalmazza a követelményt, a megvalósítás leírását, a felelőst, a telephelyet, a bizonyítékra mutató hivatkozást, a hiányosságot és a korrekciós intézkedést. A teljesítési felelősség mellett a felülvizsgálati felelősséget is ossza ki: valakinek meg kell kérdőjeleznie, hogy a bizonyíték valóban igazolja-e az állítást.

Védje a mérnöki információkat és a támogató informatikát

Kövesse végig a bizalmas rajzok, forráskódok, specifikációk és ügyféladatok útját a beérkezéstől az együttműködésen, a tároláson és a kiszállításon át a megsemmisítésig. Ellenőrizze a besorolást, a jogosultságokat, a külső megosztást, a kiemelt hozzáféréseket, a végpontvédelmet, a naplózást, a biztonsági mentések visszaállítását és az incidenskezelést.

Egy jóváhagyott rajzcsere-folyamatnak például meg kell határoznia az engedélyezett csatornát, a jogosult címzetteket, a hozzáférés lejáratát és az elavult hozzáférések megszüntetéséért való felelősséget. A nyilvános linkeket tiltó szabályzat gyenge bizonyíték, ha a projektcsapatok továbbra is használják őket.

A külső szolgáltatókat is értékelje. Rögzítse, mely szolgáltatások támogatják a hatókört, ki adminisztrálja őket, milyen szerződéses biztonsági elvárások vonatkoznak rájuk, és milyen bizonyítékokat szerezhet be. Egy szolgáltatás kiszervezése nem szünteti meg annak szükségességét, hogy értse annak kontrolljait.

Alakítson ki helyi fizikai és prototípusvédelmi kontrollokat

A központi szabályzatok több telephelyet is támogathatnak, de minden telephelynek szüksége van a megvalósítás bizonyítékaira. Kapcsolja össze a belépési szabályokat a belépőkártya-jogosultságokkal, a látogatói nyilvántartással, a kísérési szabályokkal és a kilépő munkatársak hozzáférésének megszüntetésével.

Ahol a prototípusvédelem alkalmazandó, vizsgálja meg a kezelési környezetet: korlátozott zónák, kívülről való beláthatóság, fényképezési korlátozások, szállítás, ideiglenes tárolás és jóváhagyott megsemmisítés. Azonosítsa a felelős munkatársakat, és ahol indokolt, dokumentálja az átadásokat. A digitális hozzáférési naplók önmagukban nem igazolják egy fizikai alkatrész feletti kontrollt.

Foglalkozzon a munkatársakkal és az adatvédelemmel

A HR-nek támogatnia kell a beléptetést, a titoktartási kötelezettségvállalásokat, a szerepkörspecifikus képzéseket és a kilépők kezelésének koordinálását. A beszerzésnek, a létesítménygazdálkodásnak és a mérnöki területnek kifejezett feladatokra van szüksége, nem pedig általános utasításra, hogy „támogassák az IT-t”.

Ahol adatvédelmi célok alkalmazandók, értékelje a releváns adatkezeléseket és szerződéses felelősségeket. Egy TISAX-eredmény nem igazolja a GDPR-nak való megfelelést; a jogi kötelezettségek továbbra is az Ön szerepétől és adatkezelési tevékenységeitől függenek.

Gyűjtsön a működést igazoló bizonyítékokat

A bizonyítékoknak azt kell igazolniuk, mi történt, hol, mikor és kinek a felelősségével. Gyakorlati ajánlásként a felkészültség felülvizsgálatakor használja a következő megkülönböztetéseket:

Rögzítse a bizonyítékok dátumát, forrásrendszerét, telephelyét és felülvizsgálóját. Ahol szükséges, őrizze meg a korábbi nyilvántartásokat a működés és a változások magyarázatához. Egy régi képernyőkép nem automatikusan haszontalan, de alátámasztó kontextus nélkül nem igazolja a mai konfigurációt.

A bizalmas értékelési bizonyítékokhoz való hozzáférést tartsa ellenőrzés alatt. Kerülje a szükségtelen ügyféltervek vagy személyes adatok gyűjtését, ha egy kitakart nyilvántartás is igazolni tudja a kontrollt.

Az ismétlődő gyűjtést automatizálja, ne az elszámoltathatóságot

Kezdje az egyértelmű bemenetekkel és kimenetekkel rendelkező ismétlődő feladatokkal: jogosultság-exportok, eszközleltár-frissítések, képzési nyilvántartások, felülvizsgálati emlékeztetők és a bizonyítékok frissességének ellenőrzése. Először dokumentálja a kézi folyamatot, hogy az automatizálás ne egy tisztázatlan munkafolyamatot ismételjen meg gyorsabban.

Minden automatizált gyűjtésnél határozza meg a forrást, a hatókört, a gyakoriságot, a hibakezelést és a felülvizsgálat felelősét. Tesztelje, hogy az exportok minden releváns telephelyet és fióktípust tartalmaznak-e. Egy sikeresen lefutó gyűjtési feladat is kihagyhatja a külső vállalkozók identitásait vagy egy külön kezelt üzemi hálózatot.

Eszközök értékelésekor tesztelje a bizonyítékok nyomon követhetőségét, a telephelyspecifikus felelősségeket, a verziókezelést, a felülvizsgálati döntéseket és az exportok használhatóságát. Külön kérdezzen rá, hogyan jelennek meg a prototípusokra vonatkozó bizonyítékok; egy információbiztonsági megfeleltetés nem igazolja a fizikai prototípusvédelmet. Ne feltételezze, hogy egy eszköz kimeneti formátumát elfogadják, amíg nem egyeztette az értékelővel a bizonyítékokkal kapcsolatos elvárásokat.

Kidolgozott példa: két telephely, egy mérnöki folyamat

Tegyük fel szemléltetésképpen, hogy egy beszállító egy mérnöki irodát és egy prototípusműhelyt üzemeltet. Ügyfele mindkét telephelyre olyan célokat kér, amelyek a bizalmas fejlesztési információkra és a prototípusvédelemre terjednek ki.

A mérnöki csapat azonosítja a tervezési tárolót és az adatcsere-szolgáltatást. A létesítménygazdálkodás feltérképezi a műhelybe való belépést és a látogatók kezelését. Egy felülvizsgálat megállapítja, hogy a tároló jogosultságait központilag felülvizsgálják, a műhely hozzáférési listáján azonban még mindig szerepel két áthelyezett munkatárs.

A korrekciós intézkedés megszünteti ezeket a jogosultságokat, helyi felülvizsgálót jelöl ki, és rögzíti a következő felülvizsgálat időpontját. A bizonyítékok között szerepelnek a módosítás előtti és utáni hozzáférési nyilvántartások, a jóváhagyási döntés és a műhely frissített eljárása. Az önértékelési válasz ezekre a nyilvántartásokra hivatkozik, és megnevezi az érintett telephelyet. Így a megállapítás, a javítás és a megvalósítás nyomon követhető anélkül, hogy a központi szabályzatot mindkét telephely bizonyítékaként kezelnék.

Tartsa használhatóan az értékelési ciklust

Az értékelés előtt gyakorolja a bizonyítékok előkeresését a kontrollfelelősökkel, és állapodjanak meg, ki kezeli a megállapításokat. Kövesse nyomon a korrekciós intézkedéseket a megvalósításon és az újraértékelésen keresztül, a szolgáltató eljárásának megfelelően. Erősítse meg, hogyan osztják meg az eredményeket a kérelmező ügyféllel az ENX szabályai szerint. A TISAX-címkék általában három évig érvényesek; tartsa fenn a kontrollokat, és az értékelések között vegye figyelembe a hatókör változásait.

A Secani összekapcsolt munkaterületet biztosít a követelmények, felelősök, feladatok és bizonyítékok számára. A csapatok telephelyspecifikus nyilvántartásokat csatolhatnak a kontrollokhoz, nyomon követhetik a hiányosságokat, és megőrizhetik az emberi felülvizsgálati döntéseket. A strukturált auditfelkészülés segít a közös munka újrahasznosításában a helyi kontextus elvesztése nélkül.

Kezdje az ügyfél által kért célokkal, majd válasszon ki egy kritikus információáramlást, és kövesse végig azokat a nyilvántartásokat, amelyek minden érintett telephelyen igazolják annak védelmét.