TISAX -  system zarządzania bezpieczeństwem informacji w przemyśle motoryzacyjnym /Trusted Information Security Assessment Exchange/

Co to jest TISAX®?

Jeżeli jesteście Państwo producentem z branży automotive to zapewne słyszeliście o systemie TISAX®, VDA oraz IATF 16949. W tym artykule przyjrzymy się nowym możliwościom, jakie stwarza TISAX®. Jego wdrożenie to skok na wyższy „level” w rozwoju firmy i  nowe możliwości współpracy z czołowymi niemieckimi producentami samochodów. Wymagają oni bowiem, od swoich kooperantów wdrożenia TISAX®. TISAX®’u nie należy odnosić jedynie do producentów podzespołów do aut, producentów samochodów czy surowców do ich produkcji. TISAX® ma zastosowanie w całym łańcuchu dostawców, usługodawców, sieciach sprzedaży, leasingu, serwisu gwarancyjnego i pogwarancyjnego, a szczególnie w usługach IT skierowanych do branży automotive. 

TISAX® jest systemem, który ma na celu ocenę i zapewnienie bezpieczeństwa informacji w szeroko rozumianej branży automotive, ponieważ  każdy producent aut chce mieć pewność,  że informacje, które przekazuje swojemu kooperantowi są w pełni bezpieczne. W obecnych czasach, wiedza know how jest na wagę złota. Firmy dużo inwestują w badania i rozwój (B+R). Szukają nowych rozwiązań, gdyż chcą się czymś wyróżnić na tle konkurencji, stąd tak ważne jest zapewnienie bezpieczeństwa informacji jakie przekazują swoim partnerom biznesowym, zwłaszcza w kwestii prototypów.

Zasady TISAX® opierają się na standardzie ISO 27001 rozszerzonego o niemieckie standardy branży motoryzacyjnej VDA. Na podstawie ISO 27001 powstał kwestionariusz VDA ISA. VDA ISA to ankieta oceny bezpieczeństwa informacji, która może stanowić podstawę do przeprowadzania audytów wewnętrznych i zewnętrznych firmy /ocena kontrahentów/. Firma ubiegająca się o TISAX® poddaje się ocenie VDA ISA. Ankieta ta została stworzona przez  Stowarzyszenie VDA /Verband der Automobilindustrie/. VDA to niemiecka organizacja przemysłu motoryzacyjnego, której zadaniem jest rozwój, standaryzacja oraz badania w sektorze przemysłu motoryzacyjnego. VDA funkcjonuje od  1901 r. i zrzesza producentów samochodów oraz dostawców części samochodowych. Członkami VDA są takie  firmy jak BMW, Volkswagen, Mercedes-Benz, Daimler i inne.

Zasadność stosowania TISAX® to ujednolicenie systemu bezpieczeństwa informacji a przede wszystkim eliminacja  różnorodności list kontrolnych z wymaganiami stawianymi przez poszczególne firmy.

Jak uzyskać certyfikat TISAX®?

Uzyskanie TISAX® wiąże się z weryfikacją zbudowanego systemu. Weryfikacja systemu to uzyskanie odpowiedzi na 52 tematy dotyczące bezpieczeństwa informacji. Każdy temat jest oceniany w skali od 0 do 5 punktów, w zależności od poziomu dojrzałości. W wyniku przejścia weryfikacji zbudowanego systemu powstaje ocena firmy a jej wyniki trafiają  na platformę TISAX®.

Bardzo dużą wagę w systemie TISAX®  przywiązuje się do ochrony prototypów, bezpieczeństwa wymiany informacji między kontrahentami jak również do ochrony szczegółów procesu produkcyjnego co wynika z dbałości o zabezpieczenie interesów firmy.

Wymagania TISAX® - jakie są etapy

Aby przystąpić do TISAX®  należy podjąć  następujące działania:

1. Zarejestrować firmę na platformie TISAX®
2. Wybrać dostawcę usług audytowych TISAX®
3. Dokonać oceny statusu firmy na podstawie listy audytowej VDA ISA.
4. Przekazać wyniki audytu na platformę TISAX®. Wyniki powstałego raportu mogą być przekazane innej firmie, tylko w przypadku uzyskania zgody firmy audytowanej.

Zgodnie z wytycznymi TISAX® całość procesu oceny firmy nie może trwać dłużej niż 9 miesięcy.

Rejestracja na platformie TISAX® jest odpłatna, ale całkowicie odbywa się on line. Rejestracja wiąże się z zawarciem umowy akceptującej warunki uczestnictwa w TISAX®. Jednocześnie należy podać osoby kontaktowe w ramach współpracy TISAX®. Najczęściej jest to osoba  pełnomocnika ds. ochrony bezpieczeństwa informacji. Etap rejestracji ma na celu zebranie informacji o firmie, podanie aktywów  czyli zdefiniowanie zakresu oceny, określenie lokalizacji firmy, która poddana zostanie ocenie oraz wybranie celu oceny.

Głównym etapem TISAX®  jest ocena firmy na podstawie arkusza VDA ISA i wybór akredytowanego audytora. Zadaniem akredytowanego audytora jest przeprowadzenie audytu pod względem spełnienia lub nie spełnienia wymagań TISAX®.

W przypadku przeprowadzenia audytu zgodności z wymaganiami, firma:

1)  UZYSKUJE ETYKIETĘ TISAX® -  w przypadku braku niezgodności,

2) UZYSKUJE ETYKIETĘ WARUNKOWĄ TISAX® - gdy wystąpi mała niezgodność,

3) NIE UZYSKUJE ETYKIETY TISAX® - w przypadku stwierdzenia dużej niezgodności.

W wyniku przeprowadzenia auditu firma otrzymuje raport, do którego może zgłosić swoje uwagi.  Końcowym etapem auditu  jest uzyskanie ostatecznej oceny, którą audytor przesyła na platformę TISAX®. Publikacja oceny TISAX® trwa od 5 do 10 dni.

W przypadku uzyskania etykiety TISAX®, firma sama decyduje komu i w jakim zakresie udostępnić wyniki jej oceny.

Etykieta TISAX® ważna jest przez okres trzech lat, licząc od audytu wstępnego. Okres ten może ulec skróceniu, jeśli nastąpiły istotne zmiany w zakresie oceny np. zmiana lokalizacji firmy oraz istotne zmiany w systemie. Odnowienie etykiet wymaga przejścia całego procesu oceny. Rejestracja jest ułatwiona, ponieważ  system TISAX® ma już dane naszej firmy /jeżeli nie zaszły istotne zmiany/, natomiast musimy podać zakres oceny. Rekomendacje TISAX® zalecają, aby proces ponownej oceny rozpocząć z rocznym wyprzedzeniem.  

Firma FranCraft współpracuje z audytorami systemu TISAX®, dlatego łączymy praktyczną wiedzę z zakresu budowy systemu, który sprawdza się  w TISAX®  oraz wiedzę na co należy położyć szczególny nacisk, aby pozytywnie przejść proces audytu i oceny TISAX®.  

FranCraft zapewnia pomoc na każdym etapie ubiegania się o TISAX®. Jest to proces czasochłonny i wymaga ścisłej współpracy z firmą ubiegającą się o wpis do TISAX® . Współpraca po audycie chroni przed utratą TISAX®  w przyszłości, w momencie kiedy nastąpi ponowna ocena firmy.  

Szkolenia TISAX®.

Zdajemy sobie sprawę, że specyficzne wymagania branży automotive sprawiają firmom trudności. Dlatego oferujemy szkolenia, które pomogą zrozumieć Państwu tematykę związaną z systemem TISAX®. Z nami trudne rzeczy stają się proste. W ramach szkolenia TISAX®.  proponujemy zapoznanie ze standardem TISAX®, wymaganiami VDA, systemem ISO 27001:2017, analizą ryzyka w systemie bezpieczeństwa informacji,  wymaganiami dotyczącymi prototypów, sposobami reagowania na incydenty oraz jak przeprowadzać audyty wewnętrzne.

Jeżeli masz pytania skontaktuj się z firmą FranCraft, która pomoże Twojej firmie w procesie uzyskania TISAX®.