Valutazione della sicurezza delle informazioni automotive (TISAX)

TISAX (Trusted Information Security Assessment Exchange) è un meccanismo che consente il riconoscimento reciproco delle valutazioni sulla sicurezza delle informazioni nel settore automobilistico. Si basa sul catalogo delle domande VDA ISA. NON è uno schema di certificazione: il risultato è un'etichetta TISAX, non un certificato, e l'etichetta è condivisa attraverso il portale ENX. L'obiettivo è impedire che ogni OEM controlli separatamente lo stesso fornitore.

• Fornitori che ricevono prototipi, dati di progettazione o dati personali dagli OEM
• Aziende che forniscono servizi di ingegneria e progettazione automobilistica
• Organizzazioni che producono parti di prototipi ed effettuano test
• Fornitori di software automobilistico e servizi IT

Non obbligatorio; è effettivamente richiesto nei contratti OEM e Tier 1. Il livello di valutazione (AL 1, 2, 3) è determinato dalle esigenze di protezione delle informazioni trattate: AL 2 è remoto/basato su documenti, mentre AL 3 prevede un audit in loco e una revisione più approfondita delle evidenze.

• VDA ISA — Sicurezza delle informazioni: policy, organizzazione, gestione patrimoniale, controllo degli accessi, crittografia, sicurezza fisica, sicurezza operativa, comunicazioni, rapporti con i fornitori, gestione degli incidenti, continuità, conformità
• VDA ISA — Protezione del prototipo: sicurezza fisica e ambientale, gestione degli accessi, trasporto e protezione durante test ed eventi
• VDA ISA — Protezione dei dati: requisiti aggiuntivi per il trattamento dei dati personali (relativi all'allineamento al GDPR)
• Punteggio a livello di maturità e raggiungimento della maturità target
• Determinazione del livello di valutazione (AL 1/2/3)
• Registrazione sul portale ENX, definizione dell'ambito e condivisione dell'etichetta

1. 1Determinazione dell'ambito e del programmaVengono determinati i siti e i processi da sottoporre ad audit e la durata dell'audit richiesta dallo schema.
2. 2Pre-valutazioneFacoltativamente viene effettuata un'analisi delle lacune; le lacune diventano visibili prima dell’audit principale.
3. 3Audit in sitoL'esame dei registri, l'osservazione del sito e le interviste ai lavoratori vengono effettuati rispetto alla lista di controllo del programma.
4. 4Rendicontazione dei rilieviI risultati sono riportati in base alla classificazione dello schema. Il risultato di questi schemi è un rapporto di audit, non un certificato.
5. 5Azioni correttive e follow-upViene presentato un piano di azioni correttive per i risultati; si conclude con un audit di follow-up nell'ambito del programma.

Il periodo di validità delle relazioni di audit è stabilito dal sistema ed è generalmente compreso tra uno e due anni. Il report viene utilizzato per il periodo accettato dal marchio acquirente.

• Organizzazione e dettagli del sito
• Organico e schema dei turni
• Autorizzazioni e licenze legali
• Politiche e procedure pertinenti
• Registri delle buste paga, degli orari e del personale

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

• Il numero di siti da sottoporre ad audit e l'organico
• La durata dell'audit prescritta dallo schema
• Se è richiesta una pre-valutazione (gap analysis).
• Se è necessario un audit di follow-up

La maggior parte di questi schemi producono rapporti di audit, non documenti, e sono soggetti al sistema di approvazione del proprietario dello schema (ad esempio Sedex, amfori, RBA); L'accreditamento nel senso classico non si trova in ogni schema. La competenza del revisore e la validità del rapporto sono determinate dalle regole del proprietario dello schema.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

• ISO 26262Sicurezza funzionale
• ISO/SAE 21434Sicurezza informatica dei veicoli
• SOC 1Controlli sull'informativa finanziaria
• SOC 2Controlli di fiducia dell'organizzazione di servizi
• PCI DSSSicurezza dei dati delle carte di pagamento
• IATF 16949Gestione della qualità automobilistica
• VDA 6.1Audit del sistema di gestione della qualità automobilistica
• VDA 6.3Controllo del processo