Príprava na TISAX pre dodávateľov v automobilovom priemysle

Zákazník z automobilového priemyslu od vás žiada výsledok TISAX. Predtým, ako začnete prideľovať úlohy, zistite, ktoré ciele posúdenia a lokality chce zákazník vidieť. Táto požiadavka určuje prácu na uistení, ktorú musíte zorganizovať: systémy, fyzické prostredia, zodpovedné tímy a dôkazy.

TISAX je mechanizmus posudzovania a výmeny, ktorý spravuje ENX a ktorý využíva VDA Information Security Assessment (ISA). Podľa svojich pravidiel vydáva výsledky posúdení a označenia (labels), nie certifikát v štýle ISO. Pre CTO príprava znamená prepojiť očakávania zákazníka so zavedenými opatreniami, nie len vyplniť dotazník.

Preložte požiadavku zákazníka do rozsahu posúdenia

Požiadavky môžu prísť od OEM alebo od iného dodávateľa. Vyžiadajte si presné ciele, očakávané označenia, požadované termíny a lokality, ktoré musia byť pokryté. Potvrďte zúčastnené právnické osoby a to, či hranicu ovplyvňujú vývojové kancelárie, výrobné zariadenia, režimy práce na diaľku a podporné služby.

Ciele posúdenia určujú relevantné požiadavky a hĺbku uistenia. Informačná bezpečnosť, ochrana prototypov a ochrana údajov sú dôležité dimenzie, ale nenahrádzajú výber konkrétnych cieľov podľa aktuálnych usmernení ENX.

Úrovne posúdenia opisujú hĺbku preverenia:

• AL1: samohodnotenie na interné účely; výsledky sa cez TISAX nezdieľajú a nedostávajú označenia TISAX.
• AL2: posúdenie hodnovernosti samohodnotenia a podporných dôkazov.
• AL3: komplexné posúdenie vrátane preverenia na mieste.

Na potvrdenie uplatniteľných cieľov, spôsobu posúdenia a verzie ISA použite informácie o TISAX a usmernenia pre účastníkov od ENX. Zaregistrujte rozsah a príslušným postupom vyberte autorizovaného poskytovateľa posúdenia. O predpokladoch a dostupnosti hovorte včas; termín zákazníka nie je zaručeným dátumom posúdenia.

Výstupom je záznam o rozsahu s kritériami prijatia zo strany zákazníka, lokalitami, cieľmi, závislosťami, vlastníkmi a dohodnutým prístupom k posúdeniu. Vyhnite sa zbytočnému rozširovaniu rozsahu aj výlukám, ktoré vynechávajú služby podporujúce chránené informácie.

Premeňte samohodnotenie ISA na implementačnú prácu

Uplatniteľné samohodnotenie vyplňte podľa skutočnej prevádzkovej praxe. Ak má požiadavka cieľovú úroveň vyspelosti, vysvetlite, ako vaša implementácia podporuje odpoveď, namiesto prideľovania skóre len na základe existencie politiky.

Používajte pracovný register s požiadavkou, opisom implementácie, vlastníkom, lokalitou, odkazom na dôkaz, medzerou a nápravným opatrením. Prideľte zodpovednosť za preskúmanie aj za realizáciu: niekto by mal spochybniť, či dôkaz tvrdenie preukazuje.

Zabezpečte vývojové informácie a podporné IT

Sledujte dôverné výkresy, zdrojový kód, špecifikácie a údaje zákazníkov od prijatia cez spoluprácu, ukladanie a doručenie až po likvidáciu. Skontrolujte klasifikáciu, oprávnenia, externé zdieľanie, privilegovaný prístup, ochranu koncových zariadení, logovanie, obnovu zo záloh a riešenie incidentov.

Napríklad schválený proces výmeny výkresov by mal určovať povolený kanál, oprávnených príjemcov, expiráciu prístupu a zodpovednosť za odstránenie zastaraného prístupu. Politika zakazujúca verejné odkazy je slabým dôkazom, ak ich projektové tímy stále používajú.

Posúďte aj externých poskytovateľov. Zaznamenajte, ktoré služby podporujú rozsah, kto ich spravuje, aké zmluvné bezpečnostné očakávania sa uplatňujú a aké dôkazy môžete získať. Outsourcing služby neodstraňuje vašu potrebu rozumieť jej opatreniam.

Zaveďte lokálne fyzické opatrenia a opatrenia na ochranu prototypov

Centrálne politiky môžu podporovať viacero lokalít, ale každá lokalita potrebuje dôkazy o implementácii. Prepojte pravidlá prístupu s oprávneniami na prístupové karty, záznamami o návštevách, sprievodom návštev a odobratím prístupu pri odchode zamestnancov.

Ak sa uplatňuje ochrana prototypov, preskúmajte prostredie, v ktorom sa s nimi pracuje: zakázané zóny, viditeľnosť zvonka, obmedzenia fotografovania, prepravu, dočasné uskladnenie a schválenú likvidáciu. Identifikujte zodpovedných pracovníkov a tam, kde je to vhodné, zdokumentujte odovzdávanie. Samotné digitálne prístupové logy nepreukazujú kontrolu nad fyzickým komponentom.

Riešte ľudí a ochranu údajov

HR by malo podporovať nástup zamestnancov, záväzky mlčanlivosti, školenia podľa rolí a koordináciu pri odchode. Nákup, správa budov a vývoj potrebujú explicitné úlohy namiesto všeobecného pokynu „podporovať IT“.

Ak sa uplatňujú ciele ochrany údajov, posúďte relevantné spracúvanie a zmluvné zodpovednosti. Výsledok TISAX nezakladá súlad s GDPR; zákonné povinnosti naďalej závisia od vašej úlohy a spracovateľských činností.

Zhromaždite dôkazy, ktoré preukazujú prevádzku

Dôkazy by mali preukázať, čo sa stalo, kde, kedy a v čej zodpovednosti. Ako praktické odporúčanie použite pri preskúmavaní pripravenosti tieto rozlíšenia:

Zaznamenajte dátumy dôkazov, zdrojové systémy, lokality a posudzovateľov. Tam, kde je to potrebné na vysvetlenie prevádzky a zmien, uchovajte historické záznamy. Stará snímka obrazovky nie je automaticky bezcenná, ale bez podporného kontextu nedokáže preukázať dnešnú konfiguráciu.

Prístup k dôverným dôkazom z posúdenia riaďte. Nezbierajte zbytočne návrhy zákazníkov ani osobné údaje, ak opatrenie dokáže preukázať anonymizovaný záznam.

Automatizujte opakovateľný zber, nie zodpovednosť

Začnite opakujúcimi sa úlohami, ktoré majú jasné vstupy a výstupy: exportmi oprávnení, aktualizáciami inventára aktív, záznamami o školeniach, pripomienkami preskúmaní a kontrolami aktuálnosti dôkazov. Najprv zdokumentujte manuálny proces, aby automatizácia len rýchlejšie nereprodukovala nejasný pracovný postup.

Pri každom automatizovanom zbere určte jeho zdroj, rozsah, frekvenciu, riešenie zlyhaní a vlastníka preskúmania. Otestujte, či exporty zahŕňajú každú relevantnú lokalitu a typ účtu. Úspešná úloha zberu môže stále vynechať identity externých pracovníkov alebo samostatne spravovanú sieť závodu.

Pri hodnotení nástrojov testujte sledovateľnosť dôkazov, vlastníctvo podľa lokality, správu verzií, rozhodnutia z preskúmaní a použiteľnosť exportov. Samostatne sa opýtajte, ako sú zastúpené dôkazy o prototypoch; mapovanie informačnej bezpečnosti nepreukazuje fyzickú ochranu prototypov. Nepredpokladajte, že výstupný formát nástroja bude akceptovaný bez toho, aby ste očakávania týkajúce sa dôkazov prediskutovali s posudzovateľom.

Modelový príklad: dve lokality, jeden vývojový proces

Predpokladajme ilustratívne, že dodávateľ prevádzkuje vývojovú kanceláriu a dielňu na prototypy. Jeho zákazník požaduje ciele pokrývajúce dôverné vývojové informácie a ochranu prototypov v oboch lokalitách.

Vývojový tím identifikuje repozitár návrhov a službu na výmenu. Správa budov zmapuje prístup do dielne a zaobchádzanie s návštevami. Preskúmanie zistí, že oprávnenia k repozitáru sa preskúmavajú centrálne, ale prístup do dielne stále zahŕňa dvoch preradených zamestnancov.

Nápravné opatrenie tieto oprávnenia odstráni, určí lokálneho posudzovateľa a zaznamená dátum ďalšieho preskúmania. Dôkazy zahŕňajú záznamy o prístupe pred zmenou a po nej, rozhodnutie o schválení a aktualizovaný postup dielne. Odpoveď v samohodnotení odkazuje na tieto záznamy a uvádza dotknutú lokalitu. Zistenie, náprava a implementácia sú tak sledovateľné bez toho, aby sa centrálna politika považovala za dôkaz pre obe lokality.

Udržte cyklus posúdenia použiteľný

Pred posúdením si s vlastníkmi opatrení nacvičte vyhľadávanie dôkazov a dohodnite sa, kto bude riešiť zistenia. Nápravné opatrenia sledujte cez implementáciu a opätovné posúdenie podľa postupu poskytovateľa. Potvrďte, ako sa výsledky v rámci pravidiel ENX zdieľajú so žiadajúcim zákazníkom. Označenia TISAX majú spravidla trojročnú platnosť; medzi posúdeniami udržiavajte opatrenia a zohľadňujte zmeny rozsahu.

Secani poskytuje prepojený pracovný priestor pre požiadavky, vlastníkov, úlohy a dôkazy. Tímy môžu k opatreniam pripájať záznamy špecifické pre lokalitu, sledovať medzery a zachovávať ľudské rozhodnutia z preskúmaní. Štruktúrovaná príprava na audit pomáha opakovane využívať spoločnú prácu bez straty lokálneho kontextu.

Začnite cieľmi, ktoré zákazník požaduje, potom vyberte jeden kritický informačný tok a sledujte záznamy, ktoré preukazujú jeho ochranu v každej zahrnutej lokalite.