Kas yra TISAX?
TISAX (angl. Trusted Information Security Assessment Exchange) leidžia organizacijoms pagal bendrus kriterijus įvertinti informacijos saugumą ir dalytis rezultatais su pasirinktais partneriais. Sistemą administruoja ENX asociacija, o vertinimus atlieka jos patvirtintos nepriklausomos vertinimo įstaigos.
Vertinimo pagrindas – VDA ISA (Information Security Assessment) reikalavimų katalogas. Jį rengia ir prižiūri ENX darbo grupė, o skelbia Vokietijos automobilių pramonės asociacija VDA. Katalogas skirtas informacijos saugumo valdymui automobilių pramonės tiekimo grandinėje.
TISAX padeda sumažinti atskirų partnerių atliekamų patikrų poreikį: atlikto vertinimo rezultatais Jūsų organizacija gali dalytis su kitais TISAX dalyviais per ENX portalą. Vertinimo apimtis ir tikslai turi atitikti konkretaus tiekimo grandinės partnerio reikalavimus.
Ar TISAX yra sertifikatas?
Nors vartojamas terminas „TISAX sertifikatas“, TISAX nėra įprastas sertifikavimas. Sėkmingai įvertintai organizacijai suteikiamos vertinimo tikslus atitinkančios TISAX žymos (angl. labels). Jos ir vertinimo rezultatai pateikiami ENX portale, kuriame organizacija suteikia pasirinktiems partneriams prieigą prie rezultatų.
Kam reikalingas TISAX?
TISAX gali būti aktualus, jeigu Jūsų organizacija:
- tiekia gaminius ar paslaugas automobilių gamintojams arba jų pirmojo ir antrojo lygmens tiekėjams (Tier 1 ir Tier 2);
- tvarko partnerių techninius brėžinius, projektavimo duomenis, gamybos informaciją ar kitą konfidencialią informaciją;
- dirba su prototipais arba teikia susijusias inžinerijos, IT ar logistikos paslaugas;
- yra gavusi TISAX reikalavimą tiekėjo atrankos dokumentuose ar sutartyje;
- planuoja pradėti bendradarbiauti su automobilių gamintojais ar kitomis šios pramonės tiekimo grandinės organizacijomis.
Šis reikalavimas gali būti aktualus ir mažesniems subtiekėjams: komponentų, žaliavų, metalo, plastiko ar elektronikos gamintojams bei paslaugų teikėjams. Jį gali kelti tiek automobilių gamintojas, tiek kitas tiekimo grandinės partneris.
Automobilių gamintojai ir kiti tiekimo grandinės partneriai siekia įsitikinti, kad jų perduodama informacija bus tinkamai apsaugota. TISAX vertinimas padeda Jūsų organizacijai tai pagrįsti, todėl tinkamas rezultatas gali būti viena iš bendradarbiavimo sąlygų.
Kaip vyksta TISAX vertinimas?
Pasirengimą verta pradėti nuo Jūsų organizacijai taikomų reikalavimų ir vertinimo apimties. Toliau procesas apima šiuos darbus:
Reikalavimų patikslinimas. Išsiaiškinama, kokios TISAX žymos reikalingos Jūsų organizacijai, kurias veiklos vietas reikia įtraukti ir iki kada būtinas rezultatas. Pagal vertinimo tikslus nustatomas vertinimo lygis.
- Registracija ENX portale. Registruojama organizacija ir vertinimo apimtis. Vertinimo įstaigą bei galimą vertinimo datą verta derinti iš anksto, kol dar vyksta pasirengimas.
- Savęs įvertinimas pagal VDA ISA. Peržiūrimi taikomi reikalavimai, surenkami įrodymai ir nustatoma, kokių procesų ar saugumo priemonių trūksta.
- Trūkumų šalinimas. Įgyvendinamos techninės ir organizacinės priemonės, paskirstomos atsakomybės ir parengiama dokumentacija.
- Nepriklausomas vertinimas. ENX patvirtinta vertinimo įstaiga atlieka vertinimą. Nustačius neatitikčių, gali reikėti korekcinių veiksmų ir papildomos jų įgyvendinimo patikros.
- Dalijimasis rezultatais. ENX portale suteikiama prieiga pasirinktiems partneriams. TISAX žymos paprastai galioja trejus metus; laikinosioms žymoms taikomas trumpesnis terminas.
Kuo skiriasi AL2 ir AL3?
AL2 ir AL3 nusako vertinimo išsamumą. AL2 atveju tikrinamas savęs įvertinimo pagrįstumas, remiantis dokumentais, įrodymais ir pokalbiu, kuris paprastai vyksta nuotoliniu būdu. AL3 apima išsamesnį reikalavimų įgyvendinimo patikrinimą, įskaitant procesų ir sąlygų patikrą organizacijos veiklos vietose.
Jūsų organizacijai svarbu išsiaiškinti ne tik vertinimo lygį, bet ir tikslus bei apimtį – kokia informacija, procesai ir veiklos vietos turi būti įtraukti. Tai suderinama su TISAX reikalavimą keliančiu tiekimo grandinės partneriu.
Kokias IT sritis reikia parengti TISAX vertinimui?
Pasirengimas apima ir informacijos saugumo valdymą, ir praktinį priemonių veikimą. Priklausomai nuo vertinimo tikslų, gali būti aktuali prototipų ar asmens duomenų apsauga. IT aplinkoje verta peržiūrėti šias sritis:
Vartotojų ir prieigų valdymą – paskyrų kūrimą, teisių suteikimą, peržiūrą ir panaikinimą, administratoriaus prieigų kontrolę.
- Darbo vietų ir mobiliųjų įrenginių apsaugą – atnaujinimus, šifravimą, įrenginių valdymą ir apsaugą nuo grėsmių.
- Informacijos apsaugą – duomenų klasifikavimą, saugojimą, perdavimą ir prieigą pagal darbuotojų atsakomybes.
- Tinklo ir IT turto valdymą – įrangos apskaitą, tinklo schemas, segmentavimą ir konfigūracijų dokumentavimą.
- Atsargines kopijas ir veiklos tęstinumą – kopijų darymą, atkūrimo bandymus ir pasirengimą sistemų sutrikimams.
- Pažeidžiamumų ir incidentų valdymą – rizikų vertinimą, trūkumų šalinimą, įvykių registravimą ir reagavimo tvarką.
- Tiekėjų ir darbuotojų pasirengimą – išorinių paslaugų saugumo reikalavimus, darbuotojų mokymą ir žinių patikrinimą.
Konkrečių priemonių ir testų poreikis priklauso nuo taikomų reikalavimų bei rizikos vertinimo. Svarbu turėti įrodymus, kad pasirinktos priemonės veikia: prieigų peržiūros įrašus, atkūrimo bandymų ataskaitas, konfigūracijas ar kitus dokumentus. Vien priemonės įdiegimas dar neparodo, kaip ji valdoma kasdien.
Kaip Heximus padeda pasirengti TISAX vertinimui?
Padedame techniškai paruošti IT aplinką TISAX vertinimui: atliekame techninę GAP analizę, suderiname darbų planą ir įgyvendiname reikalingus saugumo pokyčius. Pagal sutartą apimtį padedame pasiruošti vertintojo klausimams, paaiškiname įdiegtus sprendimus ir atliekame reikalingus techninius pataisymus.
Techninius darbus deriname su Jūsų komanda ir kitais pasirengimo konsultantais. Sprendimus pritaikome prie naudojamos IT aplinkos, pirmiausia įvertinę turimų technologijų galimybes. Oficialų vertinimą atlieka nepriklausoma ENX patvirtinta vertinimo įstaiga.
Daugiau apie techninį pasirengimą ir mūsų darbo procesą skaitykite TISAX atitikties paslaugos puslapyje.
Nuo ko pradėti pasirengimą TISAX?
Pirmiausia Jūsų organizacijai svarbu išsiaiškinti, kokios TISAX žymos reikalingos, kokia vertinimo apimtis ir terminas numatyti bendradarbiavimo sąlygose. Tuomet verta įvertinti, kokie procesai ir priemonės jau veikia, ko trūksta ir kas bus atsakingas už pasirengimą.
Pasirengimui gali prireikti kelių mėnesių, todėl į planą įtraukite ir priemonių diegimą, ir laiką jų veikimo įrodymams sukaupti. Jei planuojamiems automobilių pramonės projektams reikės TISAX vertinimo, darbus verta pradėti dar prieš gaunant kvietimą dalyvauti konkurse.
Jeigu Jūsų organizacijai reikia pasirengti TISAX vertinimui arba planuojate dirbti su automobilių pramone, kreipkitės į „Heximus“ dėl nemokamos konsultacijos. Aptarsime Jūsų IT aplinką ir nuo ko pradėti techninį pasirengimą.
Dažniausiai užduodami klausimai apie TISAX?
Ar TISAX privalomas visiems automobilių pramonės tiekėjams?
Ne. TISAX poreikį ir konkrečius reikalavimus paprastai nustato automobilių gamintojas ar kitas tiekimo grandinės partneris. Jei vertinimas įtrauktas į tiekėjo atrankos ar sutarties sąlygas, Jūsų organizacijai tinkamas rezultatas gali būti būtinas bendradarbiavimui.
Kiek laiko trunka pasirengimas TISAX?
Trukmė priklauso nuo vertinimo apimties, tikslų ir esamos saugumo valdymo brandos. „Heximus“ techninis pasirengimas dažniausiai trunka apie 2–4 mėnesius. Bendras procesas gali trukti ilgiau, nes reikia suplanuoti ir organizacinius darbus, nepriklausomo vertinimo datą bei galimų neatitikčių šalinimą.
Kiek kainuoja TISAX vertinimas ir pasirengimas?
Bendrą biudžetą sudaro ENX mokesčiai, nepriklausomos vertinimo įstaigos paslaugos ir pasirengimo darbai: trūkumų šalinimas, dokumentacijos rengimas bei reikalingos techninės priemonės. Suma priklauso nuo apimties, veiklos vietų skaičiaus, vertinimo lygio ir pradinės organizacijos būklės.
Ar ISO 27001 sertifikatas pakeičia TISAX vertinimą?
Ne. ISO/IEC 27001 sertifikavimas ir TISAX vertinimas yra skirtingi procesai. Veikianti informacijos saugumo valdymo sistema gali palengvinti pasirengimą, tačiau Jūsų organizacijai reikia atskirai įvertinti taikomus VDA ISA reikalavimus ir partnerio keliamas sąlygas.
Ar TISAX vertinimui pakanka įsidiegti saugumo įrankius?
Ne. Reikia ir aiškių procesų, atsakomybių, dokumentacijos bei įrodymų, kad saugumo priemonės veikia ir yra nuolat valdomos.
