Czym jest TISAX?
TISAX (Trusted Information Security Assessment Exchange) to mechanizm oceny bezpieczeństwa informacji stworzony przez niemieckie stowarzyszenie przemysłu motoryzacyjnego VDA i zarządzany przez ENX Association. Podstawą oceny jest katalog wymagań VDA ISA (Information Security Assessment), który bazuje na ISO/IEC 27001, ale rozszerza go o wymagania specyficzne dla motoryzacji, w szczególności ochronę prototypów i ochronę danych osobowych.
Kluczową ideą TISAX jest wymiana wyników: firma przechodzi ocenę raz, a wynik (w postaci etykiet TISAX) udostępnia przez platformę ENX wszystkim swoim klientom i partnerom w branży. Dzięki temu dostawca nie musi przechodzić osobnego audytu bezpieczeństwa dla każdego koncernu z osobna: zasada „jeden audyt, wielu odbiorców".
Kogo dotyczy?
TISAX dotyczy praktycznie całego łańcucha dostaw motoryzacji: producentów części i komponentów, firm inżynieryjnych i projektowych, dostawców oprogramowania i usług IT, agencji marketingowych pracujących z materiałami o premierach, firm logistycznych oraz centrów rozwojowych. Formalnie TISAX nie jest wymogiem prawnym. Jest wymogiem kontraktowym: koncerny motoryzacyjne (między innymi Volkswagen, BMW, Mercedes-Benz) wymagają ważnych etykiet TISAX od dostawców, którzy przetwarzają ich informacje poufne.
W praktyce wymóg spływa kaskadowo w dół łańcucha: dostawcy pierwszego rzędu (Tier 1) wymagają etykiet od swoich poddostawców, jeśli ci mają styczność z informacjami chronionymi OEM. Dla wielu firm, także polskich, TISAX stał się warunkiem udziału w przetargach i utrzymania kontraktów motoryzacyjnych.
Poziomy assessmentu
TISAX przewiduje trzy poziomy oceny (Assessment Level), dobierane do wrażliwości przetwarzanych informacji. Wynikiem pozytywnej oceny są etykiety TISAX odpowiadające zakresowi ochrony, którego wymaga klient.
- AL1: samoocena bez weryfikacji audytora; nie generuje etykiet TISAX, stosowana pomocniczo.
- AL2: audyt zdalny, w którym audytor weryfikuje wiarygodność samooceny na podstawie dokumentacji i wywiadów (typowy poziom dla informacji o wysokiej potrzebie ochrony, czyli „high").
- AL3: audyt na miejscu z inspekcją lokalizacji (wymagany dla informacji „very high", ochrony prototypów i najwyższych wymagań OEM).
- Etykiety obejmują m.in.: Information security High / Very High, Prototype protection oraz Data protection (przetwarzanie danych osobowych zgodnie z art. 28 RODO).
Jak wygląda proces?
Proces uzyskania etykiet TISAX przebiega według stałego schematu zarządzanego przez ENX Association i trwa zwykle od kilku miesięcy do roku, zależnie od dojrzałości organizacji.
- Rejestracja firmy i zakresu (scope) na platformie ENX oraz wybór wymaganych etykiet.
- Samoocena według katalogu VDA ISA: ocena dojrzałości każdego wymagania i usunięcie luk przed audytem.
- Ocena przez akredytowanego dostawcę audytowego ENX (na poziomie AL2 lub AL3), z ewentualnym planem działań naprawczych.
- Publikacja wyników na platformie ENX i udostępnienie etykiet wybranym partnerom. Etykiety TISAX są ważne 3 lata, po czym wymagana jest ponowna ocena.
Jak pomaga Guardiso?
Guardiso prowadzi Cię przez przygotowanie do TISAX od pierwszej samooceny do gotowości audytowej. Platforma zawiera komplet kontroli odwzorowujących katalog VDA ISA (łącznie z modułem ochrony prototypów i modułem ochrony danych) z opisami, kryteriami dojrzałości i mapowaniem na ISO/IEC 27001, dzięki czemu praca wykonana przy ISO 27001 automatycznie zasila zgodność z TISAX.
Do każdej kontroli przypinasz dowody (polityki, procedury, zapisy, zrzuty konfiguracji), a pulpit zgodności pokazuje na bieżąco poziom pokrycia i luki do zamknięcia przed oceną. Darmowa samoocena TISAX w Guardiso pozwala w kilkanaście minut sprawdzić, jak daleko jesteś od gotowości, zanim zarejestrujesz się na platformie ENX i zaprosisz audytora.