Pregătirea TISAX pentru furnizorii din industria auto

Un client din industria auto vă cere un rezultat TISAX. Înainte de a atribui sarcini, stabiliți ce obiective de evaluare și ce locații se așteaptă clientul să vadă. Această solicitare determină activitatea de asigurare pe care trebuie s-o organizați: sisteme, medii fizice, echipe responsabile și dovezi.

TISAX este un mecanism de evaluare și de schimb administrat de ENX, care folosește VDA Information Security Assessment (ISA). El produce rezultate de evaluare și etichete conform regulilor sale, nu un certificat de tip ISO. Pentru un CTO, pregătirea înseamnă a lega așteptările clientului de controalele implementate, nu doar a completa un chestionar.

Transpuneți solicitarea clientului într-un domeniu de evaluare

Solicitările pot veni de la un OEM sau de la un alt furnizor. Cereți obiectivele exacte, etichetele așteptate, calendarul impus și locațiile care trebuie acoperite. Confirmați entitățile juridice participante și dacă birourile de inginerie, unitățile de producție, aranjamentele de lucru la distanță și serviciile de suport influențează limitele.

Obiectivele de evaluare determină cerințele relevante și profunzimea asigurării. Securitatea informației, protecția prototipurilor și protecția datelor sunt dimensiuni importante, dar nu înlocuiesc selectarea obiectivelor specifice din ghidurile ENX actuale.

Nivelurile de evaluare descriu profunzimea examinării:

• AL1: autoevaluare în scopuri interne; rezultatele nu sunt partajate prin TISAX și nu primesc etichete TISAX.
• AL2: o evaluare de plauzibilitate a autoevaluării și a dovezilor justificative.
• AL3: o evaluare cuprinzătoare, inclusiv examinare la fața locului.

Folosiți informațiile ENX despre TISAX și ghidurile pentru participanți pentru a confirma obiectivele aplicabile, aranjamentele de evaluare și versiunea ISA. Înregistrați domeniul de aplicare și selectați un furnizor de evaluare autorizat prin procesul corespunzător. Discutați din timp condițiile prealabile și disponibilitatea; un termen-limită al clientului nu este o dată de evaluare garantată.

Livrabilul este o evidență a domeniului de aplicare care cuprinde criteriile de acceptare ale clientului, locațiile, obiectivele, dependențele, responsabilii și abordarea de evaluare convenită. Evitați atât extinderea inutilă a domeniului, cât și excluderile care omit servicii ce susțin informații protejate.

Transformați autoevaluarea ISA în activitate de implementare

Completați autoevaluarea aplicabilă pe baza practicilor operaționale reale. Acolo unde o cerință are o maturitate-țintă, explicați cum susține implementarea dumneavoastră răspunsul, în loc să atribuiți un scor pe baza simplei existențe a unei politici.

Folosiți un registru de lucru cu cerința, descrierea implementării, responsabilul, locația, referința la dovadă, lacuna și acțiunea corectivă. Atribuiți atât responsabilitatea de revizuire, cât și pe cea de livrare: cineva ar trebui să conteste dacă dovada demonstrează afirmația.

Securizați informațiile de inginerie și IT-ul de suport

Urmăriți desenele confidențiale, codul sursă, specificațiile și datele clienților de la primire, prin colaborare, stocare și livrare, până la eliminare. Verificați clasificarea, permisiunile, partajarea externă, accesul privilegiat, protecția endpoint-urilor, jurnalizarea, restaurarea din backup și gestionarea incidentelor.

De exemplu, un proces aprobat de schimb de desene ar trebui să identifice canalul permis, destinatarii autorizați, expirarea accesului și responsabilitatea pentru eliminarea accesului devenit inutil. O politică ce interzice linkurile publice este o dovadă slabă dacă echipele de proiect încă le folosesc.

Evaluați și furnizorii externi. Consemnați ce servicii susțin domeniul de aplicare, cine le administrează, ce așteptări contractuale de securitate se aplică și ce dovezi puteți obține. Externalizarea unui serviciu nu elimină nevoia de a-i înțelege controalele.

Stabiliți controale fizice locale și pentru prototipuri

Politicile centrale pot susține mai multe sedii, dar fiecare locație are nevoie de dovezi ale implementării. Legați regulile de acces de permisiunile ecusoanelor, evidențele vizitatorilor, aranjamentele de însoțire și retragerea accesului atunci când angajații pleacă.

Acolo unde se aplică protecția prototipurilor, examinați mediul de manipulare: zone restricționate, vizibilitatea din exterior, restricțiile de fotografiere, transportul, depozitarea temporară și eliminarea aprobată. Identificați personalul responsabil și documentați predările acolo unde este cazul. Jurnalele de acces digitale nu demonstrează, singure, controlul asupra unei componente fizice.

Abordați oamenii și protecția datelor

Departamentul de HR ar trebui să susțină integrarea noilor angajați, angajamentele de confidențialitate, instruirea specifică rolului și coordonarea plecărilor. Achizițiile, administrarea clădirilor și ingineria au nevoie de sarcini explicite, nu de o instrucțiune generală de „a sprijini IT-ul”.

Acolo unde se aplică obiective de protecție a datelor, evaluați prelucrările relevante și responsabilitățile contractuale. Un rezultat TISAX nu stabilește conformitatea cu RGPD; obligațiile legale depind în continuare de rolul și de activitățile dumneavoastră de prelucrare.

Reuniți dovezi care demonstrează funcționarea

Dovezile ar trebui să stabilească ce s-a întâmplat, unde, când și sub responsabilitatea cui. Ca recomandare practică, folosiți următoarele distincții atunci când evaluați nivelul de pregătire:

Consemnați datele dovezilor, sistemele sursă, locațiile și persoanele care le-au revizuit. Păstrați evidențele istorice acolo unde este nevoie pentru a explica funcționarea și schimbările. O captură de ecran veche nu este automat inutilă, dar nu poate stabili configurația actuală fără un context justificativ.

Mențineți accesul controlat la dovezile confidențiale ale evaluării. Evitați colectarea inutilă de proiecte ale clienților sau de informații cu caracter personal atunci când o evidență anonimizată poate demonstra controlul.

Automatizați colectarea repetabilă, nu răspunderea

Începeți cu sarcinile recurente care au date de intrare și de ieșire clare: exporturi de permisiuni, actualizări ale inventarului de active, evidențe de instruire, mementouri de revizuire și verificări ale actualității dovezilor. Documentați mai întâi procesul manual, astfel încât automatizarea să nu reproducă mai rapid un flux de lucru neclar.

Pentru fiecare colectare automată, specificați sursa, domeniul de aplicare, frecvența, tratarea erorilor și responsabilul de revizuire. Testați dacă exporturile includ fiecare sediu și fiecare tip de cont relevant. O sarcină de colectare reușită poate totuși omite identitățile contractorilor sau o rețea de fabrică administrată separat.

Atunci când evaluați instrumentele, testați trasabilitatea dovezilor, responsabilitatea specifică fiecărui sediu, gestionarea versiunilor, deciziile de revizuire și utilizabilitatea exporturilor. Întrebați separat cum sunt reprezentate dovezile privind prototipurile; o corespondență pentru securitatea informației nu stabilește protecția fizică a prototipurilor. Nu presupuneți că formatul de ieșire al unui instrument va fi acceptat fără să discutați cu evaluatorul așteptările privind dovezile.

Exemplu practic: două locații, un singur proces de inginerie

Să presupunem, cu titlu ilustrativ, că un furnizor are un birou de inginerie și un atelier de prototipuri. Clientul său solicită obiective care acoperă informațiile confidențiale de dezvoltare și protecția prototipurilor în ambele locații.

Echipa de inginerie identifică depozitul de proiecte și serviciul de schimb. Departamentul de administrare a clădirilor cartografiază accesul în atelier și gestionarea vizitatorilor. O revizuire constată că permisiunile pentru depozit sunt revizuite central, dar accesul în atelier include încă doi angajați transferați.

Acțiunea corectivă elimină aceste permisiuni, atribuie un revizor local și consemnează data următoarei revizuiri. Dovezile includ evidențele de acces dinainte și de după, decizia de aprobare și procedura actualizată a atelierului. Răspunsul din autoevaluare face trimitere la aceste evidențe și identifică locația în cauză. Astfel, constatarea, remedierea și implementarea devin trasabile, fără ca politica centrală să fie tratată drept dovadă pentru ambele sedii.

Mențineți ciclul de evaluare utilizabil

Înainte de evaluare, repetați împreună cu responsabilii de controale regăsirea dovezilor și conveniți cine gestionează constatările. Urmăriți acțiunile corective prin implementare și reevaluare, așa cum cere procesul furnizorului. Confirmați cum vor fi partajate rezultatele cu clientul solicitant în cadrul regulilor ENX. Etichetele TISAX au, în general, o perioadă de valabilitate de trei ani; mențineți controalele și luați în considerare modificările domeniului de aplicare între evaluări.

Secani oferă un spațiu de lucru conectat pentru cerințe, responsabili, sarcini și dovezi. Echipele pot atașa la controale evidențe specifice fiecărui sediu, pot urmări lacunele și pot păstra deciziile de revizuire umane. Pregătirea structurată a auditului ajută la reutilizarea activității comune fără pierderea contextului local.

Începeți cu obiectivele solicitate de client, apoi selectați un flux de informații critic și urmăriți evidențele care demonstrează protecția acestuia în fiecare locație inclusă.