Otomotiv Bilgi Güvenliği Değerlendirmesi (TISAX)

TISAX (Trusted Information Security Assessment Exchange), otomotiv sektöründe bilgi güvenliği değerlendirmelerinin karşılıklı tanınmasını sağlayan bir mekanizmadır. VDA ISA soru kataloğuna dayanır. Bir belgelendirme şeması DEĞİLDİR: sonucunda sertifika değil, TISAX etiketi (label) verilir ve etiket ENX portalı üzerinden paylaşılır. Amaç, her OEM'in aynı tedarikçiyi ayrı ayrı denetlemesini önlemektir.

• OEM'lerden prototip, tasarım verisi veya kişisel veri alan tedarikçiler
• Otomotiv mühendislik ve tasarım hizmeti veren firmalar
• Prototip parça üreten ve test yapan kuruluşlar
• Otomotiv yazılım ve BT hizmet sağlayıcıları

Zorunlu değildir; OEM ve Tier 1 sözleşmelerinde fiilen şarttır. Değerlendirme seviyesi (AL 1, 2, 3) işlenen bilginin koruma ihtiyacına göre belirlenir: AL 2 uzaktan/belge esaslı, AL 3 ise saha denetimini ve daha derin kanıt incelemesini içerir.

• VDA ISA — Bilgi güvenliği: politika, organizasyon, varlık yönetimi, erişim kontrolü, kriptografi, fiziksel güvenlik, operasyon güvenliği, iletişim, tedarikçi ilişkileri, olay yönetimi, süreklilik, uyum
• VDA ISA — Prototip koruması: fiziksel ve çevresel güvenlik, erişim yönetimi, taşıma, test ve etkinliklerde koruma
• VDA ISA — Veri koruma: kişisel verinin işlenmesine ilişkin ek şartlar (GDPR uyumuyla ilişkili)
• Olgunluk seviyesi puanlaması ve hedef olgunluğun karşılanması
• Değerlendirme seviyesinin (AL 1/2/3) belirlenmesi
• ENX portalında kayıt, kapsam tanımı ve etiketin paylaşılması

1. 1Kapsam ve Program BelirlenmesiDenetlenecek sahalar, süreçler ve şemanın gerektirdiği denetim günü belirlenir.
2. 2Ön Değerlendirmeİsteğe bağlı olarak boşluk analizi yapılır; asıl denetim öncesi eksikler görünür hâle gelir.
3. 3Saha DenetimiŞemanın soru listesi üzerinden kayıt incelemesi, saha gözlemi ve çalışan görüşmeleri yapılır.
4. 4Bulguların RaporlanmasıBulgular şemanın sınıflandırmasına göre raporlanır. Bu şemaların çıktısı belge değil, denetim raporudur.
5. 5Düzeltici Faaliyet ve TakipBulgular için düzeltici faaliyet planı sunulur; şemaya göre takip denetimiyle kapatılır.

Denetim raporlarının geçerlilik süresi şemaya göre belirlenir ve çoğunlukla bir ile iki yıl arasındadır. Rapor, alıcı markanın kabul ettiği süre boyunca kullanılır.

• Kuruluş ve saha bilgileri
• Çalışan sayısı ve vardiya düzeni
• Yasal izin ve ruhsatlar
• İlgili politika ve prosedürler
• Bordro, mesai ve personel kayıtları

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Denetlenecek saha sayısı ve çalışan sayısı
• Şemanın öngördüğü denetim günü
• Ön değerlendirme (boşluk analizi) istenip istenmediği
• Takip denetimi gerekip gerekmediği

Bu şemaların çoğu belge değil denetim raporu üretir ve şema sahibinin (ör. Sedex, amfori, RBA) kendi onay sistemine tabidir; klasik anlamda akreditasyon her şemada bulunmaz. Denetçi yetkinliği ve rapor geçerliliği şema sahibinin kurallarına göre belirlenir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• ISO 26262Fonksiyonel Güvenlik
• ISO/SAE 21434Araç Siber Güvenliği
• SOC 1Finansal Raporlama Kontrolleri
• SOC 2Hizmet Kuruluşu Güven Kontrolleri
• PCI DSSKart Verisi Güvenliği
• IATF 16949Otomotiv Kalite Yönetimi
• VDA 6.1Otomotiv Kalite Yönetim Sistemi Denetimi
• VDA 6.3Proses Denetimi