Sagatavošanās TISAX autobūves piegādātājiem

Autobūves klients pieprasa TISAX rezultātu. Pirms uzdevumu piešķiršanas noskaidrojiet, kurus novērtējuma mērķus un atrašanās vietas klients sagaida. Šis pieprasījums nosaka garantijas darbu, kas jums jāorganizē: sistēmas, fiziskās vides, atbildīgās komandas un pierādījumus.

TISAX ir novērtēšanas un apmaiņas mehānisms, ko administrē ENX un kas izmanto VDA informācijas drošības novērtējumu (ISA). Tā rezultāts saskaņā ar tā noteikumiem ir novērtējuma rezultāti un marķējumi, nevis ISO tipa sertifikāts. CTO sagatavošanās nozīmē savienot klienta gaidas ar ieviestajām kontrolēm, nevis vienkārši aizpildīt anketu.

Pārvērtiet klienta pieprasījumu novērtējuma tvērumā

Pieprasījumi var nākt no OEM vai cita piegādātāja. Noskaidrojiet precīzus mērķus, sagaidāmos marķējumus, nepieciešamo laiku un atrašanās vietas, kas jāaptver. Pārliecinieties par iesaistītajām juridiskajām personām un to, vai inženierijas biroji, ražotnes, attālinātā darba kārtība un atbalsta pakalpojumi ietekmē robežu.

Novērtējuma mērķi nosaka attiecīgās prasības un garantijas dziļumu. Informācijas drošība, prototipu aizsardzība un datu aizsardzība ir svarīgas dimensijas, taču tās neaizstāj konkrēto mērķu izvēli saskaņā ar aktuālajām ENX vadlīnijām.

Novērtējuma līmeņi apraksta pārbaudes dziļumu:

• AL1: pašnovērtējums iekšējiem mērķiem; rezultāti netiek kopīgoti caur TISAX un nesaņem TISAX marķējumus.
• AL2: pašnovērtējuma un pamatojošo pierādījumu ticamības novērtējums.
• AL3: visaptverošs novērtējums, ieskaitot pārbaudi uz vietas.

Izmantojiet ENX TISAX informāciju un dalībnieku vadlīnijas, lai noskaidrotu piemērojamos mērķus, novērtējuma kārtību un ISA versiju. Reģistrējiet tvērumu un izvēlieties pilnvarotu novērtējuma sniedzēju atbilstošā procesā. Agri apspriediet priekšnoteikumus un pieejamību; klienta termiņš nav garantēts novērtējuma datums.

Rezultāts ir tvēruma ieraksts ar klienta pieņemšanas kritērijiem, atrašanās vietām, mērķiem, atkarībām, īpašniekiem un saskaņoto novērtējuma pieeju. Izvairieties gan no nevajadzīgas tvēruma paplašināšanas, gan no izslēgumiem, kas izlaiž pakalpojumus, kuri atbalsta aizsargājamo informāciju.

Pārvērtiet ISA pašnovērtējumu ieviešanas darbā

Aizpildiet piemērojamo pašnovērtējumu atbilstoši faktiskajai darbības praksei. Ja prasībai ir mērķa brieduma līmenis, paskaidrojiet, kā jūsu ieviešana pamato atbildi, nevis piešķiriet vērtējumu, balstoties uz politikas esamību.

Izmantojiet darba reģistru ar prasību, ieviešanas aprakstu, īpašnieku, atrašanās vietu, atsauci uz pierādījumiem, trūkumu un korektīvo darbību. Piešķiriet ne tikai īstenošanas, bet arī pārskatīšanas atbildību: kādam jāapšauba, vai pierādījumi apliecina apgalvojumu.

Aizsargājiet inženierijas informāciju un atbalsta IT

Izsekojiet konfidenciāliem rasējumiem, pirmkodam, specifikācijām un klientu datiem no saņemšanas līdz sadarbībai, glabāšanai, piegādei un iznīcināšanai. Pārbaudiet klasifikāciju, atļaujas, ārējo kopīgošanu, priviliģēto piekļuvi, galiekārtu aizsardzību, žurnalēšanu, rezerves kopiju atjaunošanu un incidentu apstrādi.

Piemēram, apstiprinātā rasējumu apmaiņas procesā jāidentificē atļautais kanāls, pilnvarotie saņēmēji, piekļuves derīguma termiņš un atbildība par novecojušas piekļuves noņemšanu. Politika, kas aizliedz publiskas saites, ir vājš pierādījums, ja projektu komandas tās joprojām izmanto.

Izvērtējiet arī ārējos pakalpojumu sniedzējus. Dokumentējiet, kuri pakalpojumi atbalsta tvērumu, kas tos administrē, kādas līgumiskās drošības gaidas ir piemērojamas un kādus pierādījumus varat iegūt. Pakalpojuma nodošana ārpakalpojumā nenovērš nepieciešamību izprast tā kontroles.

Izveidojiet vietējās fiziskās un prototipu kontroles

Centrālās politikas var atbalstīt vairākas atrašanās vietas, taču katrai vietai nepieciešami ieviešanas pierādījumi. Sasaistiet piekļuves noteikumus ar caurlaižu atļaujām, apmeklētāju ierakstiem, pavadīšanas kārtību un piekļuves noņemšanu, kad darbinieki aiziet.

Ja piemērojama prototipu aizsardzība, izvērtējiet apstrādes vidi: ierobežotas piekļuves zonas, redzamību no ārpuses, fotografēšanas ierobežojumus, transportēšanu, pagaidu glabāšanu un apstiprinātu iznīcināšanu. Identificējiet atbildīgos darbiniekus un, kur piemēroti, dokumentējiet nodošanu. Digitālās piekļuves žurnāli vien neapliecina kontroli pār fizisku komponentu.

Risiniet personāla un datu aizsardzības jautājumus

Personāla daļai jāatbalsta jaunu darbinieku ievadīšana, konfidencialitātes saistības, lomai specifiskas mācības un aizgājēju koordinēšana. Iepirkumu, saimniecības un inženierijas nodaļām nepieciešami skaidri uzdevumi, nevis vispārīgs norādījums „atbalstīt IT”.

Ja piemērojami datu aizsardzības mērķi, novērtējiet attiecīgo apstrādi un līgumiskos pienākumus. TISAX rezultāts neapliecina atbilstību VDAR; juridiskie pienākumi joprojām ir atkarīgi no jūsu lomas un apstrādes darbībām.

Apkopojiet pierādījumus, kas apliecina darbību

Pierādījumiem jānosaka, kas notika, kur, kad un kura atbildībā. Praktisks ieteikums ir, izvērtējot gatavību, izmantot šādas atšķirības:

Dokumentējiet pierādījumu datumus, avota sistēmas, atrašanās vietas un pārskatītājus. Saglabājiet vēsturiskos ierakstus, ja tie nepieciešami darbības un izmaiņu izskaidrošanai. Vecs ekrānuzņēmums automātiski nav bezvērtīgs, taču bez pamatojoša konteksta tas nevar apliecināt šodienas konfigurāciju.

Uzturiet konfidenciālus novērtējuma pierādījumus ar kontrolētu piekļuvi. Nevāciet nevajadzīgus klientu dizainus vai personas informāciju, ja kontroli var apliecināt ar rediģētu ierakstu.

Automatizējiet atkārtojamu vākšanu, nevis pārskatatbildību

Sāciet ar atkārtotiem uzdevumiem, kuriem ir skaidri ievaddati un rezultāti: atļauju eksportiem, aktīvu inventāra atjauninājumiem, mācību ierakstiem, pārskatīšanas atgādinājumiem un pierādījumu aktualitātes pārbaudēm. Vispirms dokumentējiet manuālo procesu, lai automatizācija ātrāk neatkārtotu neskaidru darbplūsmu.

Katrai automatizētai vākšanai norādiet tās avotu, tvērumu, biežumu, kļūmju apstrādi un pārskatīšanas īpašnieku. Pārbaudiet, vai eksporti ietver katru attiecīgo atrašanās vietu un kontu veidu. Veiksmīgs vākšanas uzdevums joprojām var izlaist darbuzņēmēju identitātes vai atsevišķi pārvaldītu rūpnīcas tīklu.

Izvērtējot rīkus, pārbaudiet pierādījumu izsekojamību, atrašanās vietām specifiskas īpašumtiesības, versiju apstrādi, pārskatīšanas lēmumus un eksportu lietojamību. Atsevišķi jautājiet, kā tiek attēloti prototipu pierādījumi; informācijas drošības sasaiste neapliecina fizisku prototipu aizsardzību. Nepieņemiet, ka rīka izvades formāts tiks pieņemts, neapspriežot pierādījumu gaidas ar vērtētāju.

Piemērs: divas atrašanās vietas, viens inženierijas process

Pieņemsim, ilustrācijas nolūkos, ka piegādātājam ir inženierijas birojs un prototipu darbnīca. Tā klients pieprasa mērķus, kas aptver konfidenciālu izstrādes informāciju un prototipu aizsardzību abās atrašanās vietās.

Inženieru komanda identificē dizaina repozitoriju un apmaiņas pakalpojumu. Saimniecības nodaļa kartē piekļuvi darbnīcai un apmeklētāju apstrādi. Pārskatā atklājas, ka repozitorija atļaujas tiek pārskatītas centralizēti, taču piekļuve darbnīcai joprojām ietver divus uz citu amatu pārceltus darbiniekus.

Korektīvā darbība noņem šīs atļaujas, ieceļ vietējo pārskatītāju un dokumentē nākamās pārskatīšanas datumu. Pierādījumi ietver piekļuves ierakstus pirms un pēc izmaiņām, apstiprinājuma lēmumu un darbnīcas atjaunināto procedūru. Pašnovērtējuma atbilde atsaucas uz šiem ierakstiem un identificē attiecīgo atrašanās vietu. Tas padara konstatējumu, novēršanu un ieviešanu izsekojamus, neuzskatot centrālo politiku par pierādījumu abām atrašanās vietām.

Uzturiet novērtējuma ciklu izmantojamu

Pirms novērtējuma izmēģiniet pierādījumu izgūšanu kopā ar kontroļu īpašniekiem un vienojieties, kas apstrādās konstatējumus. Sekojiet korektīvajām darbībām līdz ieviešanai un atkārtotam novērtējumam, kā to prasa sniedzēja process. Noskaidrojiet, kā rezultāti tiks kopīgoti ar pieprasītāju klientu saskaņā ar ENX noteikumiem. TISAX marķējumiem parasti ir trīs gadu derīguma termiņš; uzturiet kontroles un ņemiet vērā tvēruma izmaiņas starp novērtējumiem.

Secani nodrošina saistītu darbvietu prasībām, īpašniekiem, uzdevumiem un pierādījumiem. Komandas var piesaistīt kontrolēm atrašanās vietām specifiskus ierakstus, sekot trūkumiem un saglabāt cilvēku pārskatīšanas lēmumus. Strukturēta sagatavošanās auditam palīdz atkārtoti izmantot kopīgu darbu, nezaudējot vietējo kontekstu.

Sāciet ar klienta pieprasītajiem mērķiem, pēc tam izvēlieties vienu kritisku informācijas plūsmu un izsekojiet ierakstiem, kas apliecina tās aizsardzību katrā iekļautajā atrašanās vietā.