Otomotiv tedarik zincirinde bilgi güvenliği

TISAX®, (Trusted Information Security Assessment Exchange) Otomotiv Sektöründe Bilgi Güvenliği Yönetimi anlamına gelir. TISAX®, otomotiv endüstrisindeki tedarikçiler ve ortaklar arasında bilgi güvenliği değerlendirmelerinin karşılıklı olarak kabul edilmesini sağlar ve otomotiv tedarik zinciri boyunca güven uyandırmak için hassas bilgilerin ortak şirketlerle güvenli bir şekilde paylaşılmasını sağlayan ortak bir değerlendirme ve değişim mekanizması sağlar.

TISAX®, VDA (Alman otomotiv endüstrisi derneği) tarafından kurulmuştur ve BSI'nin TISAX® onaylı denetim sağlayıcısı olarak durumunu değerlendiren ve onaylayan ENX Derneği tarafından işletilmektedir.

Otomotiv endüstrisi güvenlik uzmanları tarafından geliştirilen ve ISO/IEC 27001 gibi uluslararası bilgi güvenliği yönetim sistemi (ISMS) standartlarına dayanan TISAX®, otomotiv tedarik zincirine özel, bilgi güvenliğinin sanal, fiziksel ve sosyal yönlerini kapsayan bir gereksinimler kataloğu sağlar. Bu katalog Bilgi Güvenliği Değerlendirmesi (ISA) olarak anılır ve onaylı bir TISAX® denetim sağlayıcısı olarak BSI tarafından yürütülen değerlendirmenin temelini oluşturur.

Orijinal Ekipman Üreticileri (OEM'ler), bir TISAX® etiketinin bir kuruluşun bilgi güvenliği gereksinimlerine uyumluluğunun bir göstergesi olduğunu ve bu nedenle otomotiv tedarik zinciri genelinde bilgi güvenliğinin sağlanmasına yardımcı olduğunu giderek daha fazla kabul ediyor ve bazı durumlarda zorunlu kılıyor.

Şu anda dünya çapında yaklaşık 6.000 kayıtlı yerde 3.000'den fazla TISAX® katılımcısı (OEM'ler ve TISAX® sertifikalı tedarikçiler) bulunmaktadır. Bu, araç bileşeni tedarikçilerinden teknoloji hizmet sağlayıcılarına ve ötesine kadar OEM'lerle çalışan bir dizi kuruluşu içerir.

Kuruluşların, müşterilere bilgi güvenliği ile ilgili standartlaştırılmış ve özel gereksinimlere uyduklarını düzenli aralıklarla kanıtlamaları hayati önem taşımaktadır. Hem TISAX® hem de ISO/IEC 27001 bu hedefi desteklemektedir.

TISAX®, ISO/IEC 27001 ile yakından uyumludur ancak özellikle tedarik zincirine odaklanan otomotiv endüstrisine özel bazı ek gereksinimlere sahiptir. Örneğin, geliştirme süreçlerinde tasarım verilerinin değişimi ve ağ bağlantılı üretim sistemleri arasında otomatik veri alışverişi. Ek olarak, üretimin kullanılabilirliği ve güvenilirliği, TISAX® değerlendirmeleri aracılığıyla daha spesifik olarak ele alınmaktadır.

ISO/IEC 27001 maddelerine ISA'nın tamamında atıfta bulunulur, böylece işletmeler tedarik zincirindeki güvenlik yönetimini organizasyonlarında kullanılan herhangi bir ISO/IEC 27001 bilgi güvenliği yönetim sistemiyle kolayca uyumlu hale getirebilirler.

1. TISAX® kaydı: müşteri, değerlendirmenin kapsamını belirterek ENX portalına kaydolur.
2. TISAX® değerlendirmesi: müşteri, bir TISAX® değerlendirme sağlayıcısı, yani BSI tarafından yürütülen değerlendirme(ler)den geçer.
3. TISAX® etiketi: değerlendirmenin başarıyla tamamlanmasının ardından ENX, TISAX® etiketini sağlayarak, değerlendirilen kuruluşun bunu tüm TISAX® katılımcıları veya seçilen iş ortaklarıyla paylaşmasını sağlar.

Aşağıda açıklandığı gibi 3 TISAX® değerlendirme seviyesi vardır. Kayıt aşamasında uygun seviyeyi seçeceksiniz.

• AL 1: Denetlenenin kendisi tarafından yapılan öz değerlendirme. Denetlenen kurumun mevcut öz beyanının değerlendirilmesi
• AL 2: Kanıtların değerlendirilmesi ve bir uzman görüşmesi ile sınırlı öz değerlendirmenin inandırıcılık kontrolü
• AL 3: Kanıtların değerlendirilmesi, yerinde inceleme ve uzman görüşmeleri dahil olmak üzere tam değerlendirme

TISAX®, ENX Derneği markasıdır. BSI, TISAX® denetim değerlendirmelerini yürütmek için ENX Derneği tarafından resmi olarak tanınır.