Priprava na TISAX za avtomobilske dobavitelje

Stranka iz avtomobilske industrije zahteva rezultat TISAX. Preden dodelite naloge, ugotovite, katere cilje ocene in katere lokacije stranka pričakuje. Ta zahteva določa delo za zagotovilo, ki ga morate organizirati: sisteme, fizična okolja, odgovorne ekipe in dokaze.

TISAX je mehanizem ocenjevanja in izmenjave, ki ga upravlja ENX in uporablja VDA Information Security Assessment (ISA). Po svojih pravilih daje rezultate ocen in oznake (labels), ne certifikata po vzoru ISO. Za tehničnega direktorja (CTO) priprava pomeni povezovanje pričakovanj stranke z izvedenimi kontrolami, ne zgolj izpolnjevanja vprašalnika.

Zahtevo stranke prevedite v obseg ocene

Zahteve lahko pridejo od proizvajalca vozil (OEM) ali drugega dobavitelja. Vprašajte za natančne cilje, pričakovane oznake, zahtevano časovnico in lokacije, ki morajo biti zajete. Potrdite sodelujoče pravne osebe in ali na mejo vplivajo inženirski uradi, proizvodni obrati, ureditve dela na daljavo in podporne storitve.

Cilji ocene določajo relevantne zahteve in globino zagotovila. Informacijska varnost, zaščita prototipov in varstvo podatkov so pomembne razsežnosti, vendar ne nadomeščajo izbire konkretnih ciljev po aktualnih smernicah ENX.

Ravni ocene opisujejo globino pregleda:

• AL1: samoocena za notranje namene; rezultati se ne delijo prek TISAX in ne prejmejo oznak TISAX.
• AL2: ocena verodostojnosti samoocene in podpornih dokazov.
• AL3: celovita ocena, vključno s pregledom na kraju samem.

Za potrditev veljavnih ciljev, ureditev ocene in različice ISA uporabite ENX-ove informacije o TISAX in smernice za udeležence. Obseg registrirajte in pooblaščenega ponudnika ocene izberite po ustreznem postopku. O predpogojih in razpoložljivosti se pogovorite zgodaj; rok stranke ni zagotovljen datum ocene.

Rezultat je zapis o obsegu z merili sprejemljivosti stranke, lokacijami, cilji, odvisnostmi, lastniki in dogovorjenim pristopom k oceni. Izogibajte se tako nepotrebni razširitvi obsega kot izključitvam, ki izpustijo storitve, ki podpirajo zaščitene informacije.

Samooceno ISA pretvorite v delo pri izvedbi

Veljavno samooceno izpolnite glede na dejanske operativne prakse. Kjer ima zahteva ciljno zrelost, pojasnite, kako vaša izvedba podpira odgovor, namesto da bi oceno dodelili na podlagi obstoja politike.

Uporabite delovni register z zahtevo, opisom izvedbe, lastnikom, lokacijo, sklicem na dokaz, vrzeljo in korektivnim ukrepom. Dodelite tako odgovornost za pregled kot odgovornost za izvedbo: nekdo mora izpodbijati, ali dokaz dokazuje trditev.

Zavarujte inženirske informacije in podporni IT

Zaupnim risbam, izvorni kodi, specifikacijam in podatkom strank sledite od prejema prek sodelovanja, shranjevanja in dostave do odstranitve. Preverite razvrščanje, dovoljenja, zunanje deljenje, privilegiran dostop, zaščito končnih točk, beleženje, obnovitev iz varnostnih kopij in obravnavo incidentov.

Odobren postopek izmenjave risb mora na primer določati dovoljeni kanal, pooblaščene prejemnike, potek dostopa in odgovornost za odstranitev zastarelega dostopa. Politika, ki prepoveduje javne povezave, je šibek dokaz, če jih projektne ekipe še vedno uporabljajo.

Ovrednotite tudi zunanje ponudnike. Zapišite, katere storitve podpirajo obseg, kdo jih upravlja, katera pogodbena varnostna pričakovanja veljajo in katere dokaze lahko pridobite. Zunanje izvajanje storitve ne odpravi vaše potrebe po razumevanju njenih kontrol.

Vzpostavite lokalne fizične kontrole in kontrole za prototipe

Centralne politike lahko podpirajo več lokacij, vendar vsaka lokacija potrebuje dokaze o izvedbi. Pravila dostopa povežite z dovoljenji na identifikacijskih karticah, evidencami obiskovalcev, ureditvami spremstva in odvzemom dostopa, ko zaposleni odidejo.

Kjer se uporablja zaščita prototipov, preučite okolje ravnanja z njimi: omejena območja, vidnost od zunaj, omejitve fotografiranja, prevoz, začasno shranjevanje in odobreno odstranjevanje. Določite odgovorno osebje in, kjer je primerno, dokumentirajte predaje. Digitalni dnevniki dostopa sami ne izkazujejo nadzora nad fizično komponento.

Naslovite ljudi in varstvo podatkov

Kadrovska služba naj podpira uvajanje, zaveze o zaupnosti, usposabljanje glede na vlogo in usklajevanje ob odhodih. Nabava, upravljanje objektov in inženiring potrebujejo izrecne naloge namesto splošnega navodila, naj »podpirajo IT«.

Kjer veljajo cilji varstva podatkov, ocenite relevantno obdelavo in pogodbene odgovornosti. Rezultat TISAX ne izkazuje skladnosti z GDPR; pravne dolžnosti so še vedno odvisne od vaše vloge in dejavnosti obdelave.

Zberite dokaze, ki dokazujejo delovanje

Dokazi morajo izkazati, kaj se je zgodilo, kje, kdaj in pod čigavo odgovornostjo. Kot praktično priporočilo pri pregledu pripravljenosti uporabite naslednje razlikovanje:

Zapišite datume dokazov, izvorne sisteme, lokacije in pregledovalce. Kjer je potrebno, ohranite zgodovinske zapise, ki pojasnjujejo delovanje in spremembe. Star posnetek zaslona ni samodejno neuporaben, ne more pa brez podpornega konteksta izkazati današnje konfiguracije.

Zaupni dokazi za oceno naj bodo pod nadzorom dostopa. Ne zbirajte nepotrebnih zasnov strank ali osebnih podatkov, kadar lahko kontrolo izkaže redigiran zapis.

Avtomatizirajte ponovljivo zbiranje, ne odgovornosti

Začnite s ponavljajočimi se nalogami, ki imajo jasne vhode in izhode: izvozi dovoljenj, posodobitve popisa sredstev, zapisi o usposabljanju, opomniki za preglede in preverjanja aktualnosti dokazov. Najprej dokumentirajte ročni proces, da avtomatizacija ne bo zgolj hitreje ponovila nejasnega delovnega toka.

Za vsako samodejno zbiranje določite njegov vir, obseg, pogostost, obravnavo napak in lastnika pregleda. Preizkusite, ali izvozi vključujejo vse relevantne lokacije in vrste računov. Uspešno opravilo zbiranja lahko še vedno izpusti identitete pogodbenih sodelavcev ali ločeno upravljano omrežje obrata.

Pri vrednotenju orodij preizkusite sledljivost dokazov, lastništvo po lokacijah, upravljanje različic, odločitve pregledov in uporabnost izvozov. Posebej vprašajte, kako so predstavljeni dokazi za prototipe; preslikava informacijske varnosti ne izkazuje fizične zaščite prototipov. Ne predpostavljajte, da bo oblika izhoda orodja sprejeta, ne da bi se o pričakovanjih glede dokazov pogovorili z ocenjevalcem.

Primer: dve lokaciji, en inženirski proces

Ponazoritveno predpostavimo, da dobavitelj upravlja inženirski urad in delavnico za prototipe. Njegova stranka zahteva cilje, ki zajemajo zaupne razvojne informacije in zaščito prototipov na obeh lokacijah.

Inženirska ekipa opredeli repozitorij zasnov in storitev za izmenjavo. Upravljanje objektov preslika dostop do delavnice in ravnanje z obiskovalci. Pregled ugotovi, da se dovoljenja za repozitorij pregledujejo centralno, dostop do delavnice pa še vedno vključuje dva premeščena zaposlena.

Korektivni ukrep ta dovoljenja odstrani, dodeli lokalnega pregledovalca in zapiše datum naslednjega pregleda. Dokazi vključujejo zapise o dostopu pred in po spremembi, odločitev o odobritvi in posodobljen postopek delavnice. Odgovor v samooceni se sklicuje na te zapise in navaja zadevno lokacijo. Tako so ugotovitev, odprava in izvedba sledljive, ne da bi centralno politiko obravnavali kot dokaz za obe lokaciji.

Cikel ocenjevanja naj ostane uporaben

Pred oceno z lastniki kontrol vadite pridobivanje dokazov in se dogovorite, kdo obravnava ugotovitve. Korektivne ukrepe spremljajte skozi izvedbo in ponovno oceno, kot zahteva postopek ponudnika. Potrdite, kako bodo rezultati v skladu s pravili ENX deljeni s stranko, ki jih je zahtevala. Oznake TISAX imajo praviloma triletno obdobje veljavnosti; kontrole vzdržujte in med ocenami upoštevajte spremembe obsega.

Secani ponuja povezan delovni prostor za zahteve, lastnike, naloge in dokaze. Ekipe lahko kontrolam pripnejo zapise, specifične za lokacijo, spremljajo vrzeli in ohranjajo človeške odločitve pregledov. Strukturirana priprava na presojo pomaga ponovno uporabiti skupno delo, ne da bi izgubili lokalni kontekst.

Začnite s cilji, ki jih je zahtevala stranka, nato izberite en kritičen informacijski tok in sledite zapisom, ki izkazujejo njegovo zaščito na vsaki vključeni lokaciji.