TISAX - system zarządzania bezpieczeństwem informacji w przemyśle motoryzacyjnym /Trusted Information Security Assessment Exchange/

Co to jest TISAX®?

Jeżeli jesteście Państwo producentem z branży automotive to zapewne słyszeliście o etykiecie TISAX®, VDA oraz IATF 16949.

Otrzymanie TISAX to awans firmy na wyższy poziom i nowe możliwości nawiązania współpracy z czołowymi niemieckimi producentami samochodów.

Etykietę TISAX® nie należy odnosić jedynie do producentów podzespołów do aut, producentów samochodów czy surowców do ich produkcji.

TISAX® ma zastosowanie w całym łańcuchu:

• dostawców,
• usługodawców,
• sieciach sprzedaży,
• leasingu,
• serwisu gwarancyjnego i pogwarancyjnego,
• usługach IT skierowanych do branży automotive. 

System TISAX® ma na celu ocenę i zapewnienie bezpieczeństwa informacji w szeroko rozumianej branży automotive.

Każdy producent aut chce mieć pewność, że informacje, które przekazuje swojemu kooperantowi, są w pełni bezpieczne.

Firmy dużo inwestują w badania i rozwój (B+R) i szukają nowych innowacyjnych rozwiązań. Dlatego tak ważne jest zapewnienie bezpieczeństwa informacji, jakie przekazują swoim partnerom biznesowym, zwłaszcza w kwestii prototypów.

Jakie są poziomy TISAX?

Wdrożony system TISAX określa poziom wymaganego bezpieczeństwa informacji w danym obszarze.

Wyróżniamy następujące poziomy etykiety TISAX:

• AL1 – poziom podstawowy (informacje nie są wrażliwe lub dane są ogólnie dostępne) – samoocena

• AL2 – poziom rozszerzony (przetwarzane dane są poufne, np. dokumentacja projektowa, dane klientów) – zewnętrzny audyt zdalny

• AL3 – poziom wysoki (przetwarzane są szczególnie wrażliwe informacje, np. prototypy, dane z R&D, tajemnice handlowe) –  audyt na miejscu

Standard ISO 27001 - system bezpieczeństwa informacji /ocena ryzyka/ a TISAX

Zasady TISAX® opierają się na standardzie ISO 27001 rozszerzonego o niemieckie standardy branży motoryzacyjnej VDA.

Na podstawie ISO 27001 powstał kwestionariusz VDA ISA.

VDA ISA to ankieta oceny bezpieczeństwa informacji, która może stanowić podstawę do przeprowadzania audytów wewnętrznych i zewnętrznych firmy /ocena kontrahentów/.

Firma ubiegająca się o TISAX® poddaje się ocenie VDA ISA. Ankieta ta została stworzona przez Stowarzyszenie VDA Verband der Automobilindustrie/. VDA to niemiecka organizacja przemysłu motoryzacyjnego, której zadaniem jest:

• rozwój,
• standaryzacja,
• badania w sektorze przemysłu motoryzacyjnego.

Niemiecka organizacja VDA funkcjonuje od 1901 r. i zrzesza:

• producentów samochodów
• dostawców części samochodowych.

Członkami VDA są takie firmy jak BMW, Volkswagen, Mercedes-Benz, Daimler i inne.

Jak uzyskać etykietę TISAX®?

Uzyskanie etykiety TISAX® wiąże się z weryfikacją zbudowanego systemu.

Weryfikacja systemu to uzyskanie odpowiedzi na 52 tematy dotyczące bezpieczeństwa informacji. Każdy temat jest oceniany w skali od 0 do 5 punktów, w zależności od poziomu dojrzałości. W wyniku przejścia weryfikacji zbudowanego systemu powstaje ocena firmy a jej wyniki trafiają na platformę TISAX®.

Bardzo dużą wagę w systemie TISAX® przywiązuje się do:

• ochrony prototypów,
• bezpieczeństwa wymiany informacji między kontrahentami,
• ochrony szczegółów procesu produkcyjnego co wynika z dbałości o zabezpieczenie interesów firmy.

Aby przystąpić do TISAX®, należy podjąć następujące działania:

1. Zarejestrować firmę na platformie TISAX®
2. Wybrać dostawcę usług audytowych TISAX®
3. Dokonać oceny statusu firmy na podstawie listy audytowej VDA ISA.
4. Przekazać wyniki audytu na platformę TISAX®. Wyniki powstałego raportu mogą być przekazane innej firmie, tylko w przypadku uzyskania zgody firmy audytowanej.

Rejestracja firmy na platformie TISAX — etap pierwszy.

Zgłoszenie firmy na platformie TISAX® jest odpłatne i całkowicie odbywa się on-line. Rejestracja wiąże się z zawarciem umowy akceptującej warunki uczestnictwa w TISAX®.

Na tym etapie należy podać dane osób, które są uprawnione do kontaktu w ramach współpracy TISAX®. Najczęściej jest to osoba pełnomocnika ds. ochrony bezpieczeństwa informacji.

Etap rejestracji ma na celu:

• zebranie informacji o firmie,
• podanie aktywów, czyli zdefiniowanie zakresu oceny,
• określenie lokalizacji firmy, która poddana zostanie ocenie
• wybranie celu oceny.

Wybór dostawcy usług audytowych — etap drugi

Kolejny punkt w zdobyciu etykiet TISAX to wybór akredytowanej jednostki. Zadaniem akredytowanego audytora jest przeprowadzenie audytu pod względem spełnienia lub niespełnienia wymagań TISAX®.

Poddanie się audytowi na zgodność z VDA ISA — etap trzeci. 

Wybrana jednostka akredytacyjna sprawdzi Waszą organizację pod kątem spełnienia wymagań zawartych w arkuszu VDA ISA.

W przypadku przeprowadzenia audytu zgodności z wymaganiami firma:

1) OTRZYMUJE ETYKIETĘ TISAX — w przypadku braku niezgodności,

2) UZYSKUJE ETYKIETĘ WARUNKOWĄ TISAX — gdy wystąpi mała niezgodność,

3) NIE UZYSKUJE ETYKIETY TISAX — w przypadku stwierdzenia dużej niezgodności.

Wyniki audytu na platformie TISAX — etap czwarty. 

W wyniku przeprowadzenia audytu firma otrzymuje raport, do którego może zgłosić swoje uwagi.  

Końcowym etapem audytu jest uzyskanie ostatecznej oceny, którą audytor przesyła na platformę TISAX®.

Publikacja oceny TISAX® trwa od 5 do 10 dni.

W przypadku uzyskania etykiety TISAX® firma sama decyduje komu i w jakim zakresie udostępnić wyniki oceny.

Zgodnie z wytycznymi TISAX® całość procesu oceny firmy nie może trwać dłużej niż 9 miesięcy.

Jak długo jest ważna etykieta TISAX

Ważność etykiety TISAX® to okres trzech lat, licząc od audytu wstępnego.

Okres ten może ulec skróceniu w momencie gdy, wystąpiły istotne zmiany:

•  w zakresie oceny np. zmiana lokalizacji firmy.
•  w systemie.

Odnowienie etykiety TISAX.

Aby odnowić etykietę TISAX wymagane jest ponowne przejście całego procesu oceny.

Rejestracja jest ułatwiona, ponieważ system TISAX® posiada już dane naszej firmy /jeżeli nie zaszły kluczowe zmiany/. Uzupełniamy natomiast zakres oceny. 

Rekomendacje TISAX® zalecają, aby proces ponownej oceny rozpocząć z rocznym wyprzedzeniem.  

Współpraca z FranCraft.

Nasz organizacja współpracuje z audytorami systemu TISAX®, dlatego łączymy praktyczną wiedzę z zakresu budowy systemu oraz wiedzę, na co należy położyć szczególny nacisk, aby pozytywnie przejść proces audytu i oceny TISAX®.  

FranCraft zapewnia pomoc na każdym etapie ubiegania się o etykietę TISAX®.

Zdobycie etykiety TISAX to czasochłonny proces i wymaga ścisłej współpracy z firmą ubiegającą się o wpis do TISAX®.

 Współpraca po audycie chroni firmę przed utratą etykiety TISAX® w przyszłości /w momencie ponownej oceny firmy/. 

Szkolenia TISAX®.

Zdajemy sobie sprawę, że specyficzne wymagania branży automotive sprawiają firmom trudności.

Dlatego oferujemy szkolenia, które pomogą zrozumieć Państwu tematykę związaną z systemem TISAX®. Z nami trudne rzeczy stają się proste.

W ramach szkolenia TISAX® proponujemy zapoznanie się z:

• standardem TISAX®,
• wymaganiami VDA,
• systemem ISO 27001,
• analizą ryzyka w systemie bezpieczeństwa informacji,
• wymaganiami dotyczącymi prototypów,
• sposobami reagowania na incydenty
• tematyką jak przeprowadzać audyty wewnętrzne.

Jeżeli masz pytania skontaktuj się z firmą FranCraft, która pomoże Twojej firmie w procesie uzyskania etykiety TISAX®.