Ochrona danych w branży motoryzacyjnej. Co to jest TISAX?

Co to jest TISAX?

Dostarczając produkty lub funkcjonując jako dostawcy usług w branży automotive prawdopodobnie większość firm miała okazję zetknąć się lub co najmniej słyszeć o standardzie TISAX (TISAX standard).

Motywy podjęcia decyzji, by poddać się ocenie TISAX są różne, najczęściej jest to: 

• inicjatywa partnera w branży - członkostwo TISAX i adekwatna ocena wskazanego poziomu bezpieczeństwa może być warunkiem współpracy;
• własna inicjatywa firmy - etykieta TISAX pozwala utrzymać poziom konkurencyjności i kooperować z partnerami z branży motoryzacyjnej w roli dostawcy usług czy produktów. Etykieta TISAX (wynik oceny) udostępniana jest na platformie ENX, dzięki czemu mogą się z nią zapoznać partnerzy biznesowi
• wewnętrzna chęć organizacji by przeprowadzić audyt utrzymywanego systemu bezpieczeństwa wg ustrukturyzowanych wymagań.

Czym zatem jest TISAX i dlaczego koncerny motoryzacyjne przywiązują taką wagę do oceny bezpieczeństwa informacji wg TISAX?

InfoSec - czyli bezpieczeństwo informacji. Analiza LexDigital

Co to jest TISAX i co obejmuje?

Skrót TISAX (Trusted Information Security Assessment Exchange) to mechanizm oceny dojrzałości systemów bezpieczeństwa informacji oraz wymiany informacji w branży motoryzacyjnej, funkcjonujący na całym świecie, uznany przez uczestników globalnego łańcucha dostaw branży motoryzacyjnej.

Twórcą TISAX jest Niemieckie Stowarzyszenie Przemysłu Motoryzacyjnego (VDA).

Jest oparty o platformę internetową dedykowaną TISAX, zarządzaną przez stowarzyszenie ENX, które m.in utrzymuje kryteria dostawcy audytu i wymagania dotyczące oceny dostawców audytu oraz monitoruje jakość wdrożenia i wyniki oceny.

TISAX wspomaga te organizacje, które przetwarzają poufne informacje swoich klientów lub chcą ocenić stopień wdrożenia rozwiązań w zakresie bezpieczeństwa informacji u własnych dostawców. Platforma internetowa TISAX umożliwia uczestnikom wymianę danych z oceny a jednocześnie ułatwia uczestnikom i dostawcom audytu kontaktowanie się ze sobą.

Autorem katalogu wymagań będących podstawą TISAX jest niemieckie Stowarzyszenie Przemysłu Motoryzacyjnego VDA (Verband der Automobilindustrie), które powołało w 2003 roku grupę roboczą „Bezpieczeństwo informacji”. Efektem prac ekspertów z branży motoryzacyjnej było opracowanie wspólnych standardów bezpieczeństwa - VDA ISA (Information Security Assessment).

Działania w zakresie bezpieczeństwa informacji

Standard w wielu miejscach uwzględnia i odwołuje się do wymagań znanych z normy ISO IEC 27001, określających wymagania z zakresu bezpieczeństwa informacji. Wdrożenie standardu jest wymagane przez wiodące koncerny motoryzacyjne.

Aby być gotowym do współpracy, często konieczna będzie ocena, w jaki sposób firma zabezpiecza informacje i zapewnia dostęp do potrzebnych jej danych, gwarantując tym samym ciągłość dostaw produktów czy też dostaw usług do klientów.

W ankiecie VDA ISA znajdziemy trzy grupy kryteriów, dotyczących:

• Bezpieczeństwa informacji - w większości uwzględniających wymagania normy ISO 27001;
• Ochrony prototypów - w zakresie obsługi i dostaw prototypowych pojazdów, części i komponentów;
• Ochrony danych - z punktu widzenia spełnienia wymogów dotyczących ochrony danych osobowych.

Kluczowy element oceny skuteczności procesów w organizacji, niezbędny przy certyfikacji ISO 9001 czy ISO 27001. Dowiedz się więcej o audycie wewnętrznym.

TISAX. Jak wygląda proces oceny bezpieczeństwa informacji?

Rdzeniem ISA jest katalog kryteriów "Bezpieczeństwo informacji", który wyróżnia siedem grup kryteriów (pytań kontrolnych):

• Organizacja i polityki bezpieczeństwa informacji;
• Zasoby ludzkie;
• Bezpieczeństwo fizyczne i ciągłość działania;
• Zarządzanie tożsamością i dostępem;
• Bezpieczeństwo IT/ Cyberbezpieczeństwo;
• Relacje z dostawcami;
• Zgodność.

Pytania katalogu kryteriów " Bezpieczeństwo informacji"są obowiązkowe, pozostałe katalogi kryteriów są opcjonalne i uzależnione od celów, z którymi związana jest ocena TISAX. Wyróżnia się trzy poziomy ochrony informacji (normalny, wysoki i bardzo wysoki) i adekwatnie do tego trzy poziomy oceny - AL1, AL2, AL3.

Wyższy poziom determinuje stopień zaangażowania przy dokonywaniu oceny i dokładność jej przeprowadzenia.

Uczestnikami TISAX mogą być wszystkie firmy z branży automotive (np.: producenci samochodów, dostawcy części, dostawcy surowców, dostawcy usług dla branży motoryzacyjnej jak i jej klientów, instytuty badawcze, kontrahenci oraz podmioty współpracujące z branżą motoryzacyjną), które chcą albo zlecić audyt, albo udostępnić wyniki audytu za pośrednictwem TISAX.

Jakie są zalety wdrożenia standardu TISAX?

Wdrożenie standardu niewątpliwie przyczynia się do poniesienia poziomu świadczonych przez firmę usług, a także wzmacnia jej pozycję w relacji biznesowej z potencjalnymi partnerami. Inne korzyści to m.in.:

• Zapewnienie, dzięki zintegrowanym procesom wymiany informacji na portalu ENX, dostępu do jednolitych dowodów spełnienia wymogów bezpieczeństwa informacji potwierdzonych w ramach niezależnego audytu co zwiększa konkurencyjność firmy.
• Indywidualna decyzja każdego uczestnika co do zakresu wymiany informacji dotyczącej swojej firmy, tzn. komu zostaną ujawnione wyniki i jak szczegółowo.
• Uczestnik TISAX może dokonać wymiany informacji w branży automotive, może również wykorzystać wyniki do własnych potrzeb w zakresie zarządzania ryzykiem firmy.
• Regularna trzyletnia ważność oceny pozwala ograniczyć wysiłek organizacji w zakresie obsługi kolejnych certyfikacji, a także zapobiegać powielaniu ocen.

Korzyści z ISO 27001. Sprawdź artykuł LexDigital.

Proces oceny i rejestracji TISAX. Etapy

Całkowity czas trwania procesu związanego z uzyskaniem oceny TISAX zależy od wielu czynników. Wiele zależy od tego, czy firma ma obecnie wdrożony i skutecznie utrzymywany system zarządzania bezpieczeństwem informacji (np. w oparciu o wymagania normy ISO 27001), bądź jego elementy.

Trzyetapowy proces TISAX jest wspierany platformą ENX i przewiduje:

Rejestrację uczestnika TISAX oraz wskazanie zakresu oceny TISAX w zakresie wdrożenia lub udoskonalenia  systemu zarządzania bezpieczeństwem informacji.

Poddanie się ocenie TISAX - proces oceny jest poprzedzony fazą samooceny opartej na kwestionariuszu VDA ISA i przyjmuje najczęściej formę audytu wewnętrznego realizowanego przez wyspecjalizowaną firmę doradczą, po to, by dowiedzieć się, czy obecny system zarządzania bezpieczeństwem informacji odpowiada oczekiwanemu poziomowi dojrzałości w oparciu o ISA. Po tym etapie następuje z zasady okres usuwania stwierdzonych luk w systemie bezpieczeństwa, a następnie etap ścisłej oceny bezpieczeństwa informacji (ISA), realizowanego przez zatwierdzonego dostawcę usług audytowych.

Wymiana wyników oceny TISAX (zarówno z obecnymi, jak i potencjalnymi partnerami). Wymiana wyników oceny jest dostępna dla zarejestrowanych uczestników i odbywa się dopiero po przeprowadzeniu audytu i wyraźnym opublikowaniu wyników firmy w formie znormalizowanych podsumowań (Raport TISAX). Po zakończeniu procesu oceny, firma, która spełniła wszystkie wymagania, otrzymuje "Etykietę TISAX" - widoczną dla branży.

Nowa wersja standardu TISAX weszła w życie 1 kwietnia 2024 r.

Dostawcy często mają dostęp do wrażliwych i poufnych informacji. Z tego powodu muszą mieć wysoki poziom odporności bezpieczeństwa informacji. Z powodu rosnącej cyfryzacji i napięć geopolitycznych pojawiają się nowe zagrożenia.

Dlatego istniejący katalog został zaktualizowany. Nowa wersja TISAX została opublikowana w październiku zeszłego roku, a weszła w życie 1 kwietnia 2024 r. Główne zmiany dotyczą systemu etykiet. Etykieta "Bezpieczeństwo informacji" została zastąpiona etykietami "Dostępność" i "Poufność". Umożliwia to audytowanie zgodnie z rolami, jakie dostawca odgrywa w łańcuchu dostaw.

Jak LexDigital może pomóc Twojej organizacji w procesie wdrożeniowym

Jeżeli organizacja podjęła decyzję o poddaniu się ocenie TISAX, z zasady będzie potrzebowała partnera, który pomoże wdrożyć poszczególne elementy systemu, a także podpowie oraz wskaże sprawdzone rozwiązania.

LexDigital sp. z o.o. posiada bogate doświadczenie w realizacji projektów dotyczących wdrażania systemów zarządzania bezpieczeństwem informacji i ochrony danych osobowych, m.in. w oparciu o wymagania ISO/IEC 27001, VDA ISA (TISAX) oraz RODO.

Podczas współpracy zapewnimy rzetelną diagnozę stanu obecnego, pomożemy wdrożyć wymagane elementy systemu, przeprowadzimy firmę przez proces samooceny i rzetelnie przygotujemy ją do audytu. Zapewnimy też profesjonalne wsparcie podczas samego audytu i na etapie uzyskiwania etykiety TISAX.

Pomożemy Ci w uzyskaniu certyfikatu ISO 27001

Zespół LexDigital pomoże Ci zrozumieć wymagania dotyczące poszczególnych punktów normy ISO 27001. Nasze usługi obejmują wdrożenie systemu zarządzania bezpieczeństwem informacji, w tym opracowanie dokumentacji, wsparcie w wyborze odpowiednich zabezpieczeń, narzędzi czy rozwiązań, szkolenia pracowników odpowiedzialnych za system oraz pełnomocnika ds. systemu, który wdrażasz, wsparcie w pracach wdrożeniowych ww. narzędzi i zabezpieczeń.

Ponadto nasz zespół może uczestniczyć w wyborze jednostki certyfikującej i wspiera pracowników organizacji poprzez pełne i co ważne aktywne uczestnictwo w audycie certyfikującym.

Po wdrożeniu wymagań związanych z konkretnym systemem zarządzania, pomagamy naszym klientom w utrzymaniu wybranych systemów oraz ciągłym ich doskonaleniu, w tym prowadzimy konsultacje z pracownikami odpowiedzialnymi za system zarządzania.

Norma ISO 22301. Przygotujemy Cię do certyfikacji!

Zespół LexDigital przeprowadzi Cię przez cały proces ustanowienia i wdrożenia systemów zgodnych nie tylko wymogami normy PN-EN ISO/IEC 27001:2023-08, ale także ISO 9001, ISO 22301.

Proces obejmuje:

1. audyt zerowy;
2. wykonanie analizy ryzyka oraz opracowanie dokumentacji;
3. implementację zasad oraz szkolenia dla kadry pracowniczej;
4. weryfikację systemu poprzez audyt wewnętrzny i przegląd zarządzania oraz nadzór nad niezgodnościami i ocenę skuteczności działań korygujących.

Poznaj naszą pełną ofertę dotyczącą wdrożeń ISO