Επεξήγηση του TISAX®

Μια ανεξάρτητη επισκόπηση από την DQS, έναν διαπιστευμένο φορέα πιστοποίησης.

Το TISAX® (Trusted Information Security Assessment Exchange) είναι το καθιερωμένο σύστημα αξιολόγησης της ασφάλειας των πληροφοριών για την αυτοκινητοβιομηχανία. Δίνει τη δυνατότητα στους κατασκευαστές πρωτότυπου εξοπλισμού (OEM), τους προμηθευτές και τους παρόχους υπηρεσιών αυτοκινήτων να επιδεικνύουν τις ικανότητές τους στην ασφαλή διαχείριση εμπιστευτικών πληροφοριών, διασφαλίζοντας την απαιτούμενη διαθεσιμότητα αγαθών και υπηρεσιών, προστατεύοντας τα απόρρητα πρωτότυπα και προστατεύοντας τα προσωπικά δεδομένα. Το TISAX® είναι σχετικό σε όλη την αλυσίδα εφοδιασμού της αυτοκινητοβιομηχανίας, συμπεριλαμβανομένων των κατασκευαστών πρωτότυπου εξοπλισμού (OEM), των προμηθευτών βαθμίδας 1 και 2, των παρόχων υπηρεσιών μηχανικής, των παρόχων πληροφορικής και λογισμικού, των εταιρειών logistics και των οργανισμών aftermarket.

Μια επιτυχημένη αξιολόγηση TISAX® καταδεικνύει ότι οι απαιτούμενες δυνατότητες εφαρμόζονται και είναι αποτελεσματικές. Στις αξιολογημένες τοποθεσίες απονέμονται στη συνέχεια τα αντίστοιχα Ετικέτες TISAX® Σε αντίθεση με τα παραδοσιακά συστήματα πιστοποίησης, το TISAX® δεν εκδίδει πιστοποιητικά. Οι αξιολογήσεις διεξάγονται από παρόχους ελέγχου εγκεκριμένους από την Ένωση ENX και οι ετικέτες TISAX® που προκύπτουν μπορούν να κοινοποιηθούν σε άλλους συμμετέχοντες στο οικοσύστημα της αυτοκινητοβιομηχανίας μέσω της Πύλης ENX.

Οι ετικέτες TISAX® καθορίζουν ποιες απαιτήσεις του καταλόγου Αξιολόγησης Ασφάλειας Πληροφοριών (ISA) VDA ισχύουν για έναν οργανισμό. Για τη διαχείριση προμηθευτών, οι οργανισμοί μπορούν να καθορίσουν τον συνδυασμό ετικετών TISAX® που απαιτούνται από κάθε προμηθευτή. Αυτές οι απαιτήσεις μπορούν να ευθυγραμμιστούν με τις ευθύνες του προμηθευτή, τις παρεχόμενες υπηρεσίες και τα στοιχεία πληροφοριών ή πρωτοτύπων που του έχουν ανατεθεί. Αυτό επιτρέπει μια προσέγγιση βασισμένη στον κίνδυνο, στην οποία οι απαιτήσεις TISAX® προσαρμόζονται στον συγκεκριμένο ρόλο και τις ευθύνες κάθε προμηθευτή.

Κατάλογος Αξιολόγησης Ασφάλειας Πληροφοριών

Από το 2027, το VDA θα μετατρέψει τον κατάλογο ISA σε έναν ετήσιο κύκλο κυκλοφορίας. Κάθε νέα έκδοση θα δημοσιεύεται γύρω στα μέσα του έτους και θα γίνεται η τρέχουσα έκδοση ISA στις αρχές του επόμενου έτους.

Από τον Ιανουάριο και μετά, νέες αξιολογήσεις μπορούν να προσφέρονται μόνο σύμφωνα με την τελευταία έκδοση του ISA. Οι αξιολογήσεις που είχαν ήδη παραγγελθεί με βάση την προηγούμενη έκδοση του ISA μπορούν να διεξαχθούν κατά τη διάρκεια μιας περιορισμένης μεταβατικής περιόδου. Ωστόσο, η εναρκτήρια συνάντηση αξιολόγησης πρέπει να πραγματοποιηθεί το αργότερο μέχρι τα τέλη Μαρτίου.

Ο ετήσιος κύκλος κυκλοφορίας επιτρέπει στην αυτοκινητοβιομηχανία να ανταποκρίνεται πιο γρήγορα και ευέλικτα στο εξελισσόμενο τοπίο απειλών, ιδίως καθώς η Τεχνητή Νοημοσύνη επιταχύνει την ανάπτυξη νέων τεχνολογιών, μεθόδων επίθεσης και συναφών κινδύνων για την ασφάλεια των πληροφοριών.

Βασικά στοιχεία για το TISAX® με μια ματιά

Πλαίσιο και παράγοντες που οδηγούν στο TISAX®

Ασφάλεια Πληροφοριών Αυτοκινήτου και Προστασία Πρωτοτύπων

Η αυτοκινητοβιομηχανία ανταλλάσσει μεγάλους όγκους ευαίσθητων τεχνικών, εμπορικών και προσωπικών δεδομένων σε όλη την αλυσίδα εφοδιασμού της. Η προστασία πρωτοτύπων, σχεδίων, τεχνικών πακέτων που μοιράζονται οι προμηθευτές και προσωπικών δεδομένων των πελατών αποτελεί μακροχρόνιο μέλημα. Το TISAX® εξελίχθηκε από προηγούμενες πρωτοβουλίες της VDA για να παρέχει μια κοινή αξιολόγηση στην οποία οι κατασκευαστές πρωτότυπου εξοπλισμού (OEM) και οι προμηθευτές μπορούν να βασίζονται χωρίς επαναλαμβανόμενους διμερείς ελέγχους. Καθώς οι κυβερνοαπειλές και οι κανονιστικές προσδοκίες έχουν εξελιχθεί, το VDA ISA έχει ενημερωθεί σταδιακά για να τις αντιμετωπίσει.

Ρόλος στην αλυσίδα εφοδιασμού

Η διαθεσιμότητα αγαθών και υπηρεσιών καθιερώθηκε ως κλειδί στόχος προστασίας παράλληλα με την εμπιστευτικότητα, αντανακλώντας τους διαφορετικούς ρόλους και ευθύνες που ενδέχεται να έχουν οι προμηθευτές εντός της αυτοκινητοβιομηχανίας. Η δομή της ετικέτας TISAX® διακρίνει μεταξύ εμπιστευτικότητας και διαθεσιμότητας τόσο στο Υψηλό όσο και στο Πολύ Υψηλό επίπεδο Προστασίας. Αυτό επιτρέπει στους πελάτες να ορίζουν και να αξιολογούν τις δυνατότητες των προμηθευτών με μεγαλύτερη ακρίβεια, βάσει των συγκεκριμένων απαιτήσεων εμπιστευτικότητας και διαθεσιμότητας που σχετίζονται με τον ρόλο κάθε προμηθευτή.

Αμοιβαία Αναγνώριση Μέσω της Πύλης ENX

Το TISAX® βασίζεται στην αμοιβαία αναγνώριση: ένας οργανισμός αναθέτει μια αξιολόγηση μία φορά και κοινοποιεί τα αποτελέσματα στους συμμετέχοντες πελάτες της αυτοκινητοβιομηχανίας μέσω της ENX Portal, σύμφωνα με τους κανόνες του συστήματος. Αυτό μειώνει τους διπλούς ελέγχους μεταξύ των πελατών και υποστηρίζει τεκμηριωμένες αποφάσεις προμήθειας από τις λειτουργίες προμηθειών και ασφάλειας πληροφοριών εντός των OEM και των προμηθευτών πρώτης βαθμίδας.

Ασφάλεια Πληροφοριών (μονάδα ISA)

Ο κατάλογος Ασφάλειας Πληροφοριών καλύπτει οργανωτικούς και τεχνικούς ελέγχους που ευθυγραμμίζονται με τις έννοιες του ISO/IEC 27001: πολιτικές ασφάλειας πληροφοριών, οργάνωση της ασφάλειας πληροφοριών, ασφάλεια ανθρώπινου δυναμικού, διαχείριση περιουσιακών στοιχείων, έλεγχος πρόσβασης, κρυπτογραφία, φυσική και περιβαλλοντική ασφάλεια, ασφάλεια λειτουργιών, ασφάλεια επικοινωνιών, απόκτηση συστημάτων, σχέσεις με προμηθευτές, διαχείριση συμβάντων, επιχειρηματική συνέχεια και συμμόρφωση.

Προστασία Πρωτοτύπων (μονάδα ISA)

Ο κατάλογος Προστασίας Πρωτοτύπων ορίζει συγκεκριμένους ελέγχους για τον χειρισμό φυσικών πρωτοτύπων, οχημάτων δοκιμών, εξαρτημάτων σε ανάπτυξη και σχετικών ευαίσθητων περιουσιακών στοιχείων – συμπεριλαμβανομένης της ασφάλειας των εγκαταστάσεων, της προστασίας των μεταφορών, των δοκιμών σε δημόσιους χώρους και του χειρισμού εκθέσεων. Αυτό το μέρος του ISA διακρίνει το TISAX® από τα γενικά σχήματα αξιολόγησης της ασφάλειας πληροφοριών.

Προστασία Δεδομένων (μονάδα ISA)

Ο κατάλογος Προστασίας Δεδομένων καλύπτει 12 ελέγχους που ευθυγραμμίζονται με τις προσδοκίες περί απορρήτου, όπως αυτές του ΓΚΠΔ, και ασχολούνται με θέματα όπως τα αρχεία επεξεργασίας, τα δικαιώματα των υποκειμένων των δεδομένων, ο χειρισμός παραβιάσεων, η διαχείριση των επεξεργαστών και οι διεθνείς μεταφορές.

Επίπεδα Αξιολόγησης και Ανάγκες Προστασίας

Το TISAX® ορίζει τρία επίπεδα αξιολόγησης – AL 1 (αυτοαξιολόγηση, πολύ περιορισμένη), AL 2 (εξ αποστάσεως αξιολόγηση) και AL 3 (επιτόπια αξιολόγηση) – βαθμονομημένα στις ανάγκες προστασίας του αξιολογούμενου πεδίου εφαρμογής.

Ομάδες-στόχοι και περιοχές εφαρμογής για το TISAX®

Το TISAX® προορίζεται για κάθε οργανισμό στο οικοσύστημα της αυτοκινητοβιομηχανίας που χειρίζεται προστατευμένες πληροφορίες πελατών – εμπιστευτικές τεχνικές ή εμπορικές πληροφορίες, πρωτότυπα, προσωπικά δεδομένα ή άλλες πληροφορίες που προσδιορίζονται από πελάτες της αυτοκινητοβιομηχανίας ως απαιτούμενες από ελεγχόμενο χειρισμό. Στους τυπικούς συμμετέχοντες περιλαμβάνονται οι κατασκευαστές πρωτότυπου εξοπλισμού (OEM), οι προμηθευτές εξαρτημάτων βαθμίδας 1, οι προμηθευτές εξαρτημάτων και υποεξαρτημάτων βαθμίδας 2, οι πάροχοι υπηρεσιών μηχανικής (υπηρεσίες σχεδιασμού και επικύρωσης), οι πάροχοι υπηρεσιών πληροφορικής και οι προμηθευτές λογισμικού, οι πάροχοι logistics και αποθήκευσης που χειρίζονται αποστολές αυτοκινήτων, καθώς και οι οργανισμοί aftermarket και service.

Οι πελάτες της αυτοκινητοβιομηχανίας συνήθως απαιτούν μια ισχύουσα ετικέτα TISAX® ως προϋπόθεση για την ανάθεση συμβάσεων που αφορούν προστατευμένες πληροφορίες. Οι αξιολογήσεις TISAX® υποστηρίζουν τεκμηριωμένες αποφάσεις προμήθειας από τις λειτουργίες προμηθειών και ασφάλειας πληροφοριών σε οργανισμούς πελατών της αυτοκινητοβιομηχανίας και παρέχουν στους εταίρους της εφοδιαστικής αλυσίδας μια συνεπή αναφορά για την ωριμότητα της ασφάλειας πληροφοριών.

Οι οργανισμοί εκτός του αυτοκινητοβιομηχανικού τομέα χρησιμοποιούν συνήθως το πρότυπο ISO/IEC 27001 ή άλλα συστήματα ασφάλειας πληροφοριών ειδικά για τον συγκεκριμένο τομέα αντί για το TISAX®. Όταν ένας οργανισμός εξυπηρετεί πελάτες τόσο στον αυτοκινητιστικό όσο και στον μη αυτοκινητιστικό τομέα, η πιστοποίηση ISO/IEC 27001 και οι ετικέτες TISAX® συχνά διατηρούνται παράλληλα, με σημαντική επικάλυψη στους υποκείμενους ελέγχους.

Πρότυπα που σχετίζονται με το TISAX®

ISO/IEC 27001 (ISMS)

Ο κατάλογος ISA βασίζεται στην εννοιολογική δομή του ISO/IEC 27001 , και του Παράρτημα Α έλεγχοι, προσαρμοσμένοι στο πλαίσιο της αυτοκινητοβιομηχανίας. Το ISO/IEC 27001 είναι ένα διεθνώς αναγνωρισμένο πιστοποιήσιμο πρότυπο συστήματος διαχείρισης για την ασφάλεια πληροφοριών. Τα δύο είναι σχετικά αλλά όχι τυπικά ισοδύναμα: Η πιστοποίηση ISO/IEC 27001 δεν οδηγεί αυτόματα σε ετικέτες TISAX, αν και η πιστοποίηση και οι ετικέτες συνήθως αλληλοενισχύονται για οργανισμούς που κατέχουν και τα δύο.

ISO/IEC 27701 (Προστασία Δεδομένων)

Το ISO/IEC 27701 είναι η επέκταση του ISO/IEC 27001 για τη διαχείριση πληροφοριών απορρήτου. Είναι εννοιολογικά παραπλήσιο με το Προστασία Δεδομένων μέρος του ISA, αλλά είναι δομημένο ως πιστοποιημένη επέκταση του ISO/IEC 27001 και όχι ως μέρος ενός συστήματος αυτοκινητοβιομηχανίας. Οι οργανισμοί που λειτουργούν σε πεδία εφαρμογής σχετικά με τον GDPR ενδέχεται να βρουν το ISO/IEC 27701 χρήσιμο σε συνδυασμό με το TISAX®.

IEC 62443-2-1 (Απαιτήσεις προγράμματος ασφαλείας για κατόχους IACS)

Το πρότυπο IEC 62443-2-1 ορίζει τις απαιτήσεις για τη δημιουργία και τη διατήρηση ενός συστήματος διαχείρισης κυβερνοασφάλειας για Βιομηχανικά Συστήματα Αυτοματισμού και Ελέγχου (IACS). Καλύπτει τομείς όπως η διακυβέρνηση, η αξιολόγηση κινδύνου, η διαχείριση περιουσιακών στοιχείων, ο έλεγχος πρόσβασης, η αντιμετώπιση συμβάντων, η δημιουργία αντιγράφων ασφαλείας, η διαχείριση αλλαγών, η διαχείριση προμηθευτών και η συνεχής βελτίωση. Στόχος του είναι να διασφαλίσει ότι οι κάτοχοι περιουσιακών στοιχείων IACS διαχειρίζονται την κυβερνοασφάλεια συστηματικά καθ' όλη τη διάρκεια του κύκλου ζωής του λειτουργικού τεχνολογικού τους περιβάλλοντος.

ENX VCS (Σχέδιο Κυβερνοασφάλειας Οχημάτων)

ENX VCS είναι το σύστημα κυβερνοασφάλειας οχημάτων που λειτουργεί από την Ένωση ENX, το οποίο καλύπτει τον Κανονισμό του ΟΗΕ αριθ. 155 (διαχείριση κυβερνοασφάλειας) και τους σχετικούς κανονισμούς ISO/SAE 21434 προσδοκίες για την αυτοκινητοβιομηχανία. Τα ENX VCS και TISAX® είναι και τα δύο προγράμματα ENX, αλλά καλύπτουν διαφορετικά θέματα – το VCS επικεντρώνεται στη διακυβέρνηση της κυβερνοασφάλειας των οχημάτων και στις αξιολογήσεις των συστημάτων διαχείρισης κυβερνοασφάλειας των προμηθευτών για την έγκριση τύπου οχημάτων, ενώ το TISAX® επικεντρώνεται στην ασφάλεια των πληροφοριών στις εγκαταστάσεις του προμηθευτή.

Διαφοροποίηση από τα Γενικά Πλαίσια Κυβερνοασφάλειας

Πλαίσια όπως το Πλαίσιο Κυβερνοασφάλειας του NIST και το πρόγραμμα CMMC των ΗΠΑ ασχολούνται με συναφή θέματα, αλλά εφαρμόζονται σε διαφορετικά πλαίσια (ομοσπονδιακές συμβάσεις των ΗΠΑ, εθελοντικά πλαίσια). Δεν αναγνωρίζονται επίσημα ως ισοδύναμα με το TISAX® και οι πελάτες της αυτοκινητοβιομηχανίας βασίζονται γενικά στις ετικέτες TISAX® αντί για εναλλακτικά πλαίσια.