Оценка информационной безопасности в автопроме (TISAX)

TISAX (Trusted Information Security Assessment Exchange) — это механизм, обеспечивающий взаимное признание оценок информационной безопасности в автомобильном секторе. Он основан на каталоге вопросов VDA ISA. Это НЕ схема сертификации: результатом является метка TISAX, а не сертификат, и метка распространяется через портал ENX. Цель состоит в том, чтобы не допустить, чтобы каждый OEM-производитель проводил аудит одного и того же поставщика отдельно.

• Поставщики, получающие прототипы, проектные данные или персональные данные от OEM-производителей.
• Фирмы, предоставляющие услуги автомобильного инжиниринга и дизайна
• Организации, производящие прототипы деталей и проводящие испытания
• Поставщики автомобильного программного обеспечения и ИТ-услуг

Не обязательно; это фактически требуется в контрактах OEM и Tier 1. Уровень оценки (AL 1, 2, 3) определяется потребностями защиты обрабатываемой информации: AL 2 является дистанционным/документным, а AL 3 включает аудит на месте и более глубокую проверку доказательств.

• VDA ISA — Информационная безопасность: политика, организация, управление активами, контроль доступа, криптография, физическая безопасность, безопасность операций, связь, отношения с поставщиками, управление инцидентами, непрерывность, соответствие требованиям.
• VDA ISA — Защита прототипа: физическая и экологическая безопасность, управление доступом, транспортировка и защита во время тестирования и мероприятий.
• VDA ISA — Защита данных: дополнительные требования к обработке персональных данных (связанные с соответствием GDPR)
• Оценка уровня зрелости и достижение целевого уровня зрелости
• Определение уровня оценки (AL 1/2/3)
• Регистрация на портале ENX, определение сферы применения и распространение лейбла

1. 1Определение объема и программыОпределяются площадки и процессы, подлежащие аудиту, а также продолжительность аудита, требуемая схемой.
2. 2Предварительная оценкаФакультативно проводится анализ пробелов; пробелы становятся видимыми еще до проведения основного аудита.
3. 3Аудит на площадкеПроверка записей, наблюдение за объектом и собеседования с работниками проводятся в соответствии с контрольным списком схемы.
4. 4Отчётность о выявленных фактахРезультаты сообщаются в соответствии с классификацией схемы. Результатом этих схем является аудиторский отчет, а не сертификат.
5. 5Корректирующие действия и контрольПо результатам проверки представляется план корректирующих действий; он закрывается с последующей проверкой согласно схеме.

Срок действия аудиторских отчетов установлен схемой и обычно составляет от одного до двух лет. Отчет используется за период, который принимает покупательный бренд.

• Подробности об организации и сайте
• Численность и график сменности
• Юридические разрешения и лицензии
• Соответствующие политики и процедуры
• Заработная плата, учет рабочего времени и кадровый учет

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

• Количество проверяемых объектов и численность персонала
• Продолжительность проверки, предусмотренная схемой
• Требуется ли предварительная оценка (анализ пробелов)
• Требуется ли повторный аудит

Большинство этих схем составляют аудиторские отчеты, а не документы, и подлежат собственной системе одобрения владельца схемы (например, Sedex, amfori, RBA); Аккредитация в классическом понимании присутствует не во всех схемах. Компетентность аудитора и достоверность отчета определяются правилами владельца схемы.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

• ISO 26262Функциональная безопасность
• ISO/SAE 21434Кибербезопасность транспортных средств
• SOC 1Средства контроля финансовой отчетности
• SOC 2Доверительный контроль обслуживающей организации
• PCI DSSБезопасность данных платежной карты
• IATF 16949Управление качеством автомобильной промышленности
• VDA 6.1Аудит системы менеджмента качества автомобильной промышленности
• VDA 6.3Аудит процесса