Zavedení TISAX od přípravy po úspěšné hodnocení

TISAX (Trusted Information Security Assessment Exchange) je standard pro hodnocení informační bezpečnosti používaný v automobilovém průmyslu. Umožňuje výrobcům automobilů a jejich dodavatelům prokázat, že chrání citlivé informace podle jednotných požadavků. Výsledkem je vyšší důvěra mezi obchodními partnery a jednodušší sdílení výsledků bezpečnostního hodnocení.

TISAX je určen především dodavatelům automobilového průmyslu. Požadavek na absolvování TISAX assessmentu často stanovují automobilky nebo jejich přímí dodavatelé jako podmínku pro navázání nebo pokračování obchodní spolupráce.

Ne. Přestože se často mluví o „certifikaci TISAX“, správně jde o TISAX assessment. Po úspěšném hodnocení organizace získá TISAX label, který může sdílet se svými obchodními partnery prostřednictvím platformy ENX.

Oba standardy se zaměřují na informační bezpečnost, ale jejich účel je odlišný. ISO 27001 je mezinárodně uznávaný standard pro systém řízení informační bezpečnosti, zatímco TISAX vznikl speciálně pro potřeby automobilového průmyslu a vychází z katalogu požadavků VDA ISA. Organizace, které již mají zavedeno ISO 27001, mají při přípravě na TISAX obvykle výhodu, ale samotná certifikace nestačí.

Ano. Certifikace ISO 27001 není podmínkou pro získání TISAX labelu. Organizace může splnit požadavky TISAX i bez ní. Zavedený systém řízení podle ISO 27001 však často zkracuje dobu přípravy a snižuje množství potřebných změn.

Rozsah TISAX assessmentu se neurčuje paušálně. Vybírá se z předem definovaných cílů hodnocení podle toho, jaká data a aktiva pro zákazníka zpracováváte. Každý cíl má přiřazenou úroveň assessmentu (AL) a právě kombinace cílů rozhoduje o náročnosti přípravy i o tom, zda k vám auditor přijede na místo.

• Důvěrnost informací – cíl Confidential (AL 2) pro informace s vysokou potřebou ochrany a Strictly confidential (AL 3) pro velmi vysokou. Dříve se tyto cíle označovaly jako info high a info very high.
• Dostupnost – cíle High availability (AL 2) a Very high availability (AL 3), pokud pro zákazníka provozujete službu, jejíž výpadek by ohrozil jeho výrobu.
• Ochrana prototypů – Proto parts a Proto vehicles (obojí AL 3), Test vehicles a Proto events (obojí AL 2). Týká se dodavatelů, kteří pracují s dosud neuvedenými díly a vozy nebo se podílejí na jejich testech, akcích a focení.
• Ochrana osobních údajů – cíl Data (AL 2) pro běžné zpracování osobních údajů pro zákazníka v roli zpracovatele podle článku 28 GDPR a Special data (AL 3) pro zvláštní kategorie osobních údajů podle článku 9 GDPR.

Které cíle budete potřebovat, určuje váš zákazník, nikoli vy. Je to první informace, kterou si od něj vyžádejte. Bez ní nelze odhadnout rozsah ani náklady. Jediný cíl na úrovni AL 2 je výrazně menší projekt než kombinace ochrany prototypů a velmi vysoké důvěrnosti na AL 3.

Úroveň assessmentu (Assessment Level) určuje, jak do hloubky auditor ověřuje, že opatření skutečně fungují. Nevybíráte si ji sami, vyplývá z cílů hodnocení, které po vás požaduje zákazník.

• AL 1 slouží pouze pro interní potřebu. Auditor ověří, že self-assessment existuje, ale neprověřuje jeho obsah ani nevyžaduje důkazy. Pro sdílení s obchodními partnery se nepoužívá.
• AL 2 vychází z vašeho self-assessmentu. Auditor posoudí jeho věrohodnost, prostuduje předložené důkazy a vede pohovor s odpovědnými osobami, zpravidla formou videokonference. Návštěva na místě není běžnou součástí.
• AL 3 je nejnáročnější. Kromě dokumentace a plánovaných pohovorů s vlastníky procesů auditor ověřuje podmínky přímo ve vašich prostorách a vede i předem neohlášené rozhovory na pracovištích.

Pro odhad náročnosti z toho plyne jednoduché pravidlo: AL 2 stojí na kvalitě dokumentace a doložitelných důkazů, zatímco AL 3 navíc na tom, jak opatření reálně fungují v provozu – včetně fyzické bezpečnosti a chování zaměstnanců.

Příprava obvykle začíná analýzou současného stavu informační bezpečnosti a porovnáním s požadavky VDA ISA. Následuje implementace chybějících opatření, příprava dokumentace, interní ověření a samotný assessment provedený akreditovaným auditorem.

Záleží na velikosti organizace, požadované úrovni hodnocení a připravenosti společnosti. Organizace s již zavedenými bezpečnostními procesy a jedním cílem na úrovni AL 2 mohou být připraveny během několika týdnů. Kombinace více cílů na úrovni AL 3, typicky s ochranou prototypů, znamená rozsáhlejší implementaci i přípravu na audit na místě a obvykle trvá několik měsíců.

Rozsah dokumentace závisí na požadavcích assessmentu. Obvykle je potřeba doložit bezpečnostní politiky, řízení rizik, správu přístupových oprávnění, postupy pro řešení incidentů, fyzickou bezpečnost, správu aktiv a další dokumenty prokazující fungování systému informační bezpečnosti.

Assessment mohou provádět pouze poskytovatelé schválení organizací ENX. Tito auditoři ověřují splnění požadavků podle metodiky TISAX a následně zveřejňují výsledky v systému ENX. V České republice mezi poskytovatele auditu patří např. DQS, Bureau Veritas, DEKRA. Kompletní výčet je možné najít na stránkách ENX.

Výsledky TISAX assessmentu jsou standardně platné tři roky. Po uplynutí této doby je potřeba absolvovat nové hodnocení, aby organizace mohla svůj TISAX label nadále využívat.

TISAX pokrývá široké spektrum bezpečnostních oblastí, například řízení informační bezpečnosti, fyzickou bezpečnost, řízení přístupů, ochranu prototypů, bezpečnost dodavatelského řetězce, práci s citlivými informacemi nebo ochranu osobních údajů.

Které z těchto oblastí se vás skutečně týkají a jak hluboko se budou prověřovat, závisí na zvolených cílech assessmentu.

Záleží na zkušenostech organizace s informační bezpečností. Organizace, které TISAX řeší poprvé, často využívají konzultanta pro provedení gap analýzy, přípravu dokumentace a nastavení procesů. To může zkrátit dobu implementace a snížit riziko zjištění během assessmentu.