Automobilių pramonės tiekėjų pasirengimas TISAX

Automobilių pramonės klientas prašo TISAX rezultato. Prieš skirstydami užduotis nustatykite, kokius vertinimo tikslus ir vietas klientas tikisi matyti. Šis prašymas nulemia patikinimo darbus, kuriuos turite organizuoti: sistemas, fizines aplinkas, atsakingas komandas ir įrodymus.

TISAX yra ENX administruojamas vertinimo ir keitimosi rezultatais mechanizmas, kuriame naudojamas VDA informacijos saugumo vertinimas (ISA). Pagal jo taisykles išduodami vertinimo rezultatai ir žymos, o ne ISO tipo sertifikatas. CTO pasirengimas reiškia kliento lūkesčių susiejimą su įgyvendintomis kontrolės priemonėmis – o ne vien klausimyno užpildymą.

Kliento prašymą paverskite vertinimo apimtimi

Prašymai gali ateiti iš OEM arba kito tiekėjo. Paprašykite tiksliai nurodyti tikslus, tikėtinas žymas, reikalaujamus terminus ir vietas, kurias būtina apimti. Patvirtinkite dalyvaujančius juridinius asmenis ir tai, ar inžinerijos biurai, gamybos įrenginiai, nuotolinio darbo tvarka ir pagalbinės paslaugos daro įtaką ribai.

Vertinimo tikslai nulemia taikomus reikalavimus ir patikinimo gylį. Informacijos saugumas, prototipų apsauga ir duomenų apsauga yra svarbūs aspektai, tačiau jie nepakeičia konkrečių tikslų pasirinkimo pagal dabartines ENX gaires.

Vertinimo lygiai apibūdina tikrinimo gylį:

• AL1: įsivertinimas vidiniams tikslams; rezultatais per TISAX nesidalijama ir TISAX žymos nesuteikiamos.
• AL2: įsivertinimo ir patvirtinančių įrodymų tikėtinumo vertinimas.
• AL3: išsamus vertinimas, įskaitant patikrinimą vietoje.

Pasinaudokite ENX TISAX informacija ir dalyvių gairėmis, kad patvirtintumėte taikomus tikslus, vertinimo tvarką ir ISA versiją. Užregistruokite apimtį ir tinkamu procesu pasirinkite įgaliotą vertinimo paslaugų teikėją. Anksti aptarkite išankstines sąlygas ir prieinamumą; kliento nustatytas terminas nėra garantuota vertinimo data.

Rezultatas – apimties įrašas su kliento priėmimo kriterijais, vietomis, tikslais, priklausomybėmis, atsakingais asmenimis ir sutartu vertinimo būdu. Venkite tiek nereikalingo apimties plėtimo, tiek išimčių, dėl kurių neįtraukiamos saugomą informaciją palaikančios paslaugos.

ISA įsivertinimą paverskite įgyvendinimo darbu

Užpildykite taikomą įsivertinimą pagal faktinę veiklos praktiką. Kai reikalavimui nustatytas tikslinis brandos lygis, paaiškinkite, kaip jūsų įgyvendinimas pagrindžia atsakymą, o ne skirkite balą vien todėl, kad egzistuoja politika.

Naudokite darbinį registrą, kuriame būtų reikalavimas, įgyvendinimo aprašymas, atsakingas asmuo, vieta, nuoroda į įrodymą, spraga ir taisomasis veiksmas. Paskirkite ne tik atsakomybę už įgyvendinimą, bet ir už peržiūrą: kažkas turėtų kritiškai įvertinti, ar įrodymai patvirtina teiginį.

Apsaugokite inžinerinę informaciją ir pagalbinę IT

Atsekite konfidencialius brėžinius, šaltinio kodą, specifikacijas ir klientų duomenis nuo gavimo per bendradarbiavimą, saugojimą ir pateikimą iki sunaikinimo. Patikrinkite klasifikavimą, leidimus, dalijimąsi su išorės šalimis, privilegijuotąją prieigą, galinių įrenginių apsaugą, registravimą žurnaluose, atsarginių kopijų atkūrimą ir incidentų valdymą.

Pavyzdžiui, patvirtintame brėžinių keitimosi procese turėtų būti nurodytas leidžiamas kanalas, įgalioti gavėjai, prieigos galiojimo pabaiga ir atsakomybė už pasenusios prieigos panaikinimą. Viešas nuorodas draudžianti politika yra silpnas įrodymas, jei projektų komandos jomis vis dar naudojasi.

Įvertinkite ir išorės paslaugų teikėjus. Užfiksuokite, kurios paslaugos palaiko apimtį, kas jas administruoja, kokie sutartiniai saugumo lūkesčiai taikomi ir kokius įrodymus galite gauti. Paslaugos perdavimas išorės teikėjui nepanaikina poreikio suprasti jos kontrolės priemones.

Įdiekite vietines fizines ir prototipų kontrolės priemones

Centrinės politikos gali būti taikomos kelioms vietoms, tačiau kiekvienoje vietoje reikia įgyvendinimo įrodymų. Susiekite prieigos taisykles su leidimų kortelių teisėmis, lankytojų įrašais, lydėjimo tvarka ir prieigos panaikinimu darbuotojams išėjus.

Kai taikoma prototipų apsauga, išnagrinėkite tvarkymo aplinką: ribotos prieigos zonas, matomumą iš išorės, fotografavimo apribojimus, transportavimą, laikiną saugojimą ir patvirtintą sunaikinimą. Nustatykite atsakingus darbuotojus ir, kai tinka, dokumentuokite perdavimus. Vien skaitmeniniai prieigos žurnalai neįrodo fizinio komponento kontrolės.

Pasirūpinkite žmonėmis ir duomenų apsauga

Personalo skyrius turėtų prisidėti prie naujų darbuotojų įvedimo, konfidencialumo įsipareigojimų, konkrečiam vaidmeniui skirtų mokymų ir išeinančių darbuotojų koordinavimo. Pirkimų, patalpų priežiūros ir inžinerijos padaliniams reikia aiškių užduočių, o ne bendro nurodymo „padėti IT“.

Kai taikomi duomenų apsaugos tikslai, įvertinkite atitinkamą duomenų tvarkymą ir sutartines atsakomybes. TISAX rezultatas neįrodo BDAR atitikties; teisinės pareigos vis tiek priklauso nuo jūsų vaidmens ir duomenų tvarkymo veiklos.

Surinkite įrodymus, kurie patvirtina veikimą

Įrodymai turėtų parodyti, kas įvyko, kur, kada ir kieno atsakomybe. Praktiškai rekomenduojame, vertinant pasirengimą, naudoti šiuos skirtumus:

Užfiksuokite įrodymų datas, šaltinių sistemas, vietas ir peržiūrėtojus. Kai reikia paaiškinti veikimą ir pokyčius, išsaugokite istorinius įrašus. Sena ekrano nuotrauka nebūtinai nenaudinga, tačiau be papildomo konteksto ji negali patvirtinti šiandieninės konfigūracijos.

Konfidencialiems vertinimo įrodymams taikykite prieigos kontrolę. Nerinkite nereikalingų klientų projektų ar asmens duomenų, kai kontrolės priemonę galima įrodyti įrašu su užtamsinta informacija.

Automatizuokite pasikartojantį rinkimą, o ne atskaitomybę

Pradėkite nuo pasikartojančių užduočių su aiškiais įvesties ir išvesties duomenimis: leidimų eksportų, turto inventoriaus atnaujinimų, mokymų įrašų, priminimų apie peržiūras ir įrodymų aktualumo patikrų. Pirmiausia dokumentuokite rankinį procesą, kad automatizavimas tiesiog greičiau neatkartotų neaiškios darbo eigos.

Kiekvienam automatiniam rinkimui nurodykite šaltinį, apimtį, dažnumą, klaidų valdymą ir už peržiūrą atsakingą asmenį. Patikrinkite, ar eksportai apima kiekvieną atitinkamą vietą ir paskyros tipą. Net sėkmingai įvykdyta rinkimo užduotis gali praleisti rangovų tapatybes ar atskirai valdomą gamyklos tinklą.

Vertindami įrankius, išbandykite įrodymų atsekamumą, atsakomybę konkrečiose vietose, versijų valdymą, peržiūros sprendimus ir eksportų tinkamumą naudoti. Atskirai paklauskite, kaip pateikiami prototipų įrodymai; informacijos saugumo susiejimas neįrodo fizinės prototipų apsaugos. Nemanykite, kad įrankio išvesties formatas bus priimtas, neaptarę įrodymų lūkesčių su vertintoju.

Pavyzdys: dvi vietos, vienas inžinerinis procesas

Tarkime, iliustracijos dėlei, kad tiekėjas turi inžinerijos biurą ir prototipų dirbtuves. Jo klientas prašo tikslų, apimančių konfidencialią kūrimo informaciją ir prototipų apsaugą abiejose vietose.

Inžinerijos komanda nustato projektų saugyklą ir keitimosi paslaugą. Patalpų priežiūros padalinys aprašo prieigą prie dirbtuvių ir lankytojų tvarkymą. Peržiūra parodo, kad saugyklos leidimai peržiūrimi centralizuotai, tačiau prieigą prie dirbtuvių vis dar turi du į kitas pareigas perkelti darbuotojai.

Taisomuoju veiksmu šie leidimai panaikinami, paskiriamas vietinis peržiūrėtojas ir užfiksuojama kitos peržiūros data. Įrodymai apima prieigos įrašus prieš ir po pakeitimo, patvirtinimo sprendimą ir atnaujintą dirbtuvių procedūrą. Įsivertinimo atsakyme nurodomi šie įrašai ir atitinkama vieta. Taip išvada, jos ištaisymas ir įgyvendinimas tampa atsekami, nelaikant centrinės politikos įrodymu abiem vietoms.

Išlaikykite vertinimo ciklą veiksmingą

Prieš vertinimą su kontrolės priemonių savininkais repetuokite įrodymų paiešką ir susitarkite, kas tvarkys išvadas. Sekite taisomuosius veiksmus per įgyvendinimą ir pakartotinį vertinimą, kaip reikalauja teikėjo procesas. Patvirtinkite, kaip pagal ENX taisykles rezultatais bus dalijamasi su prašančiu klientu. TISAX žymos paprastai galioja trejus metus; tarp vertinimų palaikykite kontrolės priemones ir apsvarstykite apimties pokyčius.

Secani suteikia susietą darbo erdvę reikalavimams, atsakingiems asmenims, užduotims ir įrodymams. Komandos gali prie kontrolės priemonių pridėti konkrečių vietų įrašus, sekti spragas ir išsaugoti žmonių peržiūros sprendimus. Struktūrizuotas pasirengimas auditui padeda pakartotinai panaudoti bendrą darbą neprarandant vietinio konteksto.

Pradėkite nuo kliento prašomų tikslų, tada pasirinkite vieną kritinį informacijos srautą ir atsekite įrašus, kurie įrodo jo apsaugą kiekvienoje įtrauktoje vietoje.