Przygotowanie do TISAX dla dostawców branży motoryzacyjnej

Klient z branży motoryzacyjnej prosi o wynik TISAX. Zanim rozdzielicie zadania, ustalcie, jakie cele oceny i jakie lokalizacje klient spodziewa się zobaczyć. Ta prośba określa prace w zakresie zapewnienia, które trzeba zorganizować: systemy, środowiska fizyczne, odpowiedzialne zespoły i dowody.

TISAX to mechanizm oceny i wymiany wyników administrowany przez ENX, oparty na VDA Information Security Assessment (ISA). Jego wynikiem są rezultaty oceny i etykiety (labels) nadawane zgodnie z jego zasadami, a nie certyfikat w stylu ISO. Dla CTO przygotowanie oznacza powiązanie oczekiwań klienta z wdrożonymi zabezpieczeniami, a nie jedynie wypełnienie kwestionariusza.

Przełóż prośbę klienta na zakres oceny

Prośby mogą przychodzić od producenta OEM lub od innego dostawcy. Zapytajcie o dokładne cele, oczekiwane etykiety, wymagany termin i lokalizacje, które muszą zostać objęte. Potwierdźcie uczestniczące podmioty prawne oraz to, czy biura inżynierskie, zakłady produkcyjne, rozwiązania w zakresie pracy zdalnej i usługi wspierające wpływają na granicę zakresu.

Cele oceny określają odpowiednie wymagania i głębokość zapewnienia. Bezpieczeństwo informacji, ochrona prototypów i ochrona danych to ważne wymiary, ale nie zastępują wyboru konkretnych celów zgodnie z aktualnymi wytycznymi ENX.

Poziomy oceny (assessment levels) opisują głębokość badania:

• AL1: samoocena do celów wewnętrznych; wyniki nie są udostępniane przez TISAX i nie otrzymują etykiet TISAX.
• AL2: ocena wiarygodności samooceny i dowodów, które ją wspierają.
• AL3: kompleksowa ocena, obejmująca badanie na miejscu.

Skorzystajcie z informacji o TISAX i wytycznych dla uczestników udostępnianych przez ENX, aby potwierdzić mające zastosowanie cele, zasady przeprowadzania oceny i wersję ISA. Zarejestrujcie zakres i wybierzcie uprawnionego dostawcę oceny w ramach właściwego procesu. Omówcie wcześnie warunki wstępne i dostępność terminów; termin wyznaczony przez klienta nie jest gwarantowaną datą oceny.

Rezultatem jest zapis zakresu z kryteriami akceptacji klienta, lokalizacjami, celami, zależnościami, właścicielami i uzgodnionym sposobem przeprowadzenia oceny. Unikajcie zarówno niepotrzebnego rozszerzania zakresu, jak i wyłączeń pomijających usługi, które wspierają chronione informacje.

Przekształć samoocenę ISA w prace wdrożeniowe

Wypełnijcie odpowiednią samoocenę na podstawie faktycznych praktyk operacyjnych. Tam, gdzie wymaganie ma docelowy poziom dojrzałości, wyjaśnijcie, w jaki sposób Wasze wdrożenie wspiera odpowiedź, zamiast przyznawać ocenę na podstawie samego istnienia polityki.

Korzystajcie z roboczego rejestru zawierającego wymaganie, opis wdrożenia, właściciela, lokalizację, odwołanie do dowodów, lukę i działanie korygujące. Przypiszcie odpowiedzialność nie tylko za realizację, ale też za przegląd: ktoś powinien kwestionować, czy dowody rzeczywiście potwierdzają deklarację.

Zabezpiecz informacje inżynierskie i wspierające je IT

Prześledźcie poufne rysunki, kod źródłowy, specyfikacje i dane klientów od momentu ich otrzymania, przez współpracę, przechowywanie i dostarczenie, aż po usunięcie. Sprawdźcie klasyfikację, uprawnienia, udostępnianie zewnętrzne, dostęp uprzywilejowany, ochronę stacji końcowych, logowanie, odtwarzanie kopii zapasowych i obsługę incydentów.

Na przykład zatwierdzony proces wymiany rysunków powinien wskazywać dozwolony kanał, uprawnionych odbiorców, termin wygaśnięcia dostępu i odpowiedzialność za usuwanie nieaktualnych uprawnień. Polityka zakazująca publicznych linków jest słabym dowodem, jeśli zespoły projektowe nadal z nich korzystają.

Oceńcie także dostawców zewnętrznych. Zapiszcie, które usługi wspierają zakres, kto nimi administruje, jakie umowne oczekiwania w zakresie bezpieczeństwa mają zastosowanie i jakie dowody możecie uzyskać. Zlecenie usługi na zewnątrz nie zwalnia z konieczności zrozumienia jej zabezpieczeń.

Ustanów lokalne zabezpieczenia fizyczne i ochronę prototypów

Centralne polityki mogą obejmować wiele lokalizacji, ale każda lokalizacja wymaga dowodów wdrożenia. Powiążcie zasady dostępu z uprawnieniami kart dostępowych, rejestrami gości, zasadami asysty oraz odbieraniem dostępu po odejściu pracowników.

Tam, gdzie ma zastosowanie ochrona prototypów, zbadajcie środowisko, w którym się z nimi pracuje: strefy o ograniczonym dostępie, widoczność z zewnątrz, ograniczenia fotografowania, transport, tymczasowe przechowywanie i zatwierdzone sposoby utylizacji. Wskażcie odpowiedzialnych pracowników i w stosownych przypadkach dokumentujcie przekazania. Same cyfrowe logi dostępu nie wykazują kontroli nad fizycznym komponentem.

Zadbaj o kwestie kadrowe i ochronę danych

Dział kadr powinien wspierać onboarding, zobowiązania do zachowania poufności, szkolenia dostosowane do ról i koordynację odejść pracowników. Dział zakupów, administracja obiektów i zespół inżynierski potrzebują wyraźnie określonych zadań, a nie ogólnego polecenia „wspierania IT”.

Tam, gdzie mają zastosowanie cele dotyczące ochrony danych, oceńcie odpowiednie przetwarzanie i odpowiedzialności umowne. Wynik TISAX nie potwierdza zgodności z RODO; obowiązki prawne nadal zależą od Waszej roli i czynności przetwarzania.

Zbierz dowody, które potwierdzają działanie

Dowody powinny ustalać, co się wydarzyło, gdzie, kiedy i pod czyją odpowiedzialnością. Praktycznym zaleceniem jest stosowanie podczas przeglądu gotowości następujących rozróżnień:

Dokumentujcie daty dowodów, systemy źródłowe, lokalizacje i osoby dokonujące przeglądu. W razie potrzeby zachowujcie zapisy historyczne, aby wyjaśnić działanie i zmiany. Stary zrzut ekranu nie jest automatycznie bezużyteczny, ale bez kontekstu nie może potwierdzić dzisiejszej konfiguracji.

Utrzymujcie kontrolę dostępu do poufnych dowodów z oceny. Unikajcie zbierania zbędnych projektów klientów lub danych osobowych, jeśli zabezpieczenie można wykazać zredagowanym zapisem.

Automatyzuj powtarzalne zbieranie dowodów, a nie odpowiedzialność

Zacznijcie od powtarzających się zadań z jasno określonymi danymi wejściowymi i wyjściowymi: eksportów uprawnień, aktualizacji inwentaryzacji zasobów, zapisów ze szkoleń, przypomnień o przeglądach i kontroli aktualności dowodów. Najpierw udokumentujcie proces ręczny, aby automatyzacja nie odtwarzała szybciej niejasnego przepływu pracy.

Dla każdego zautomatyzowanego zbierania określcie jego źródło, zakres, częstotliwość, obsługę błędów i właściciela przeglądu. Sprawdźcie, czy eksporty obejmują każdą odpowiednią lokalizację i każdy rodzaj konta. Zadanie zbierania zakończone sukcesem nadal może pomijać tożsamości kontraktorów lub odrębnie zarządzaną sieć zakładową.

Oceniając narzędzia, testujcie identyfikowalność dowodów, odpowiedzialność przypisaną do lokalizacji, obsługę wersji, decyzje z przeglądów i użyteczność eksportów. Zapytajcie osobno, jak reprezentowane są dowody dotyczące prototypów; mapowanie w zakresie bezpieczeństwa informacji nie potwierdza fizycznej ochrony prototypów. Nie zakładajcie, że format wyników narzędzia zostanie zaakceptowany, zanim nie omówicie oczekiwań dotyczących dowodów z oceniającym.

Przykład: dwie lokalizacje, jeden proces inżynierski

Załóżmy, poglądowo, że dostawca prowadzi biuro inżynierskie i warsztat prototypowy. Jego klient wymaga celów obejmujących poufne informacje rozwojowe i ochronę prototypów w obu lokalizacjach.

Zespół inżynierski identyfikuje repozytorium projektów i usługę wymiany plików. Administracja obiektów mapuje dostęp do warsztatu i obsługę gości. Przegląd ujawnia, że uprawnienia do repozytorium są przeglądane centralnie, ale dostęp do warsztatu nadal mają dwaj przeniesieni pracownicy.

Działanie korygujące usuwa te uprawnienia, wyznacza lokalną osobę dokonującą przeglądu i dokumentuje termin następnego przeglądu. Dowody obejmują zapisy dostępu sprzed zmiany i po niej, decyzję zatwierdzającą oraz zaktualizowaną procedurę warsztatu. Odpowiedź w samoocenie odwołuje się do tych zapisów i wskazuje, której lokalizacji dotyczy. Dzięki temu ustalenie, środek zaradczy i wdrożenie są identyfikowalne, a centralna polityka nie jest traktowana jako dowód dla obu lokalizacji.

Utrzymuj cykl oceny w użytecznej formie

Przed oceną przećwiczcie z właścicielami zabezpieczeń wyszukiwanie dowodów i uzgodnijcie, kto zajmuje się ustaleniami. Śledźcie działania korygujące aż do wdrożenia i ponownej oceny, zgodnie z procesem dostawcy oceny. Potwierdźcie, w jaki sposób wyniki zostaną udostępnione klientowi, który o nie prosił, zgodnie z zasadami ENX. Etykiety TISAX są zazwyczaj ważne przez trzy lata; utrzymujcie zabezpieczenia i uwzględniajcie zmiany zakresu między ocenami.

Secani zapewnia połączoną przestrzeń roboczą dla wymagań, właścicieli, zadań i dowodów. Zespoły mogą powiązywać zapisy specyficzne dla lokalizacji z zabezpieczeniami, śledzić luki i zachowywać decyzje z przeglądów dokonywanych przez ludzi. Ustrukturyzowane przygotowanie do audytu pomaga ponownie wykorzystywać wspólną pracę bez utraty lokalnego kontekstu.

Zacznijcie od celów wskazanych przez klienta, a następnie wybierzcie jeden krytyczny przepływ informacji i prześledźcie zapisy, które wykazują jego ochronę w każdej objętej lokalizacji.