Wdrożenie TISAX - Bezpieczeństwo w Automotive
Standard wymiany poufnych danych i informacji w przemyśle motoryzacyjnym wymagany przez koncerny samochodowe.
TISAX (Trusted Information Security Assessment Exchange) to hermetyczny, restrykcyjny system ochrony prototypów i danych dla dostawców branży motoryzacyjnej. Bazuje na normie ISO 27001, ale kładzie ogromny nacisk na ochronę fizyczną, prototypowanie oraz bezpieczeństwo danych w łańcuchu VDA. Pomagam wdrożyć matrycę VDA ISA i przygotowuję zakład do pomyślnego przejścia weryfikacji TISAX.
Co zyskuje organizacja po wdrożeniu TISAX
- Niezbędny wymóg do rozpoczęcia i kontynuowania współpracy z koncernami zrzeszonymi w grupie VDA
- Eliminacja konieczności przechodzenia powtarzalnych audytów bezpieczeństwa IT od poszczególnych producentów OEM
- Skuteczna ochrona tajemnic produkcyjnych i danych konstrukcyjnych nowych pojazdów i technologii
Wdrożenie TISAX w czterech etapach
- Audyt zerowy - porównanie stanu obecnego z wymaganiami TISAX.
- Opracowanie dokumentacji opisującej procesy faktycznie realizowane w firmie.
- Szkolenie zespołu i audyt wewnętrzny sprawdzający gotowość organizacji.
- Przegląd zarządzania i wsparcie podczas audytu jednostki certyfikującej.
Ireneusz Kozera
Audytor wiodący ISO, doradca ds. jakości i certyfikacji. Od 2008 roku wdraża i audytuje systemy zarządzania w obszarze: auto-moto.
Wycena wdrożenia TISAX
Napisz, czym zajmuje się Twoja firma i ilu pracowników zatrudnia - odpowiem z kosztem wdrożenia i orientacyjnym harmonogramem.
Kto potrzebuje certyfikacji TISAX i doradztwa przy ocenie
Certyfikacja TISAX z doradztwem to standardowa ścieżka dla dostawców branży motoryzacyjnej. Wymóg stawiają producenci pojazdów i dostawcy pierwszego rzędu, a bez ważnej oceny TISAX zamówienia obejmujące prototypy lub dane techniczne są w praktyce niedostępne.
Ocena nie jest certyfikatem w rozumieniu ISO - to wynik oceny udostępniany innym uczestnikom przez platformę ENX. Poziom oceny (AL 2 lub AL 3) i cele oceny wynikają z wymagań konkretnego odbiorcy.
Jak wygląda przygotowanie do oceny TISAX
Podstawą jest katalog VDA ISA - zestaw pytań kontrolnych obejmujących bezpieczeństwo informacji, ochronę prototypów i ochronę danych. Przygotowanie zaczyna się od samooceny w tym katalogu i wyznaczenia poziomu dojrzałości dla każdego wymagania.
Doradztwo przy certyfikacji TISAX koncentruje się na obszarach, w których motoryzacja idzie dalej niż ISO 27001: fizycznej ochronie stref prototypowych, nadzorze nad zdjęciami i dokumentacją techniczną, zarządzaniu gośćmi oraz bezpieczeństwie w łańcuchu poddostawców.
Po osiągnięciu wymaganego poziomu dojrzałości organizacja rejestruje się na platformie ENX i zamawia ocenę u akredytowanego dostawcy.
Co weryfikuje audytor TISAX
Ocena prowadzona jest według poziomów dojrzałości - nie wystarczy, że proces istnieje; trzeba wykazać, że jest udokumentowany, stosowany i mierzony.
Szczególną uwagę zwraca się na ochronę fizyczną: strefy, kontrolę dostępu, nadzór nad nośnikami i urządzeniami rejestrującymi. To najczęstsza przyczyna obniżenia oceny w zakładach, które mają dojrzały system informatyczny, ale traktują ochronę fizyczną pobieżnie.
Etykieta TISAX zamiast certyfikatu
TISAX formalnie nie kończy się certyfikatem, tylko etykietą wydawaną po ocenie przez dostawcę audytu zatwierdzonego przez ENX. Wynik trafia na portal ENX, gdzie udostępnia się go wybranym partnerom; etykieta jest ważna trzy lata.
Poziom oceny (AL2 albo AL3) wynika z wymagań klienta i rodzaju chronionych danych, a sama ocena opiera się na katalogu VDA ISA. Przy AL3 audytor prowadzi ocenę na miejscu, przy AL2 zwykle zdalnie.