Аудит TISAX® Assessment Level 2: чому найнижча ціна не гарантує економічної ефективності

Загальне припущення щодо оцінювання 2-го рівня

Коли постачальники автомобільної продукції вперше розглядають варіанти оцінювання TISAX®, логічною відправною точкою зазвичай з'являється рівень оцінювання 2 (AL2). Вартість зовнішнього оцінювання нижча, ніж для вищих рівнів. Це проводиться дистанційно, тому немає потреби їздити, а на папері шлях до маркування TISAX® виглядає коротшим і дешевшим.

Однак організації, які планують свої ТІСАКС^® Шлях, що базується лише на оціночних зборах, часто стикається з більш складною реальністю. Загальні зусилля, необхідні для отримання та підтримки маркування TISAX®, залежать від факторів, що значно виходять за рамки тих, що зазначені у рахунку-фактурі аудитора.

Для постачальників автомобільної продукції вкрай важливо розуміти повну картину, перш ніж визначатися з рівнем оцінки.

Що насправді вимагає оцінювання 2-го рівня

Оцінювання TISAX® рівня 2 – це оцінка правдоподібності. Завдання оцінювача полягає в тому, щоб оцінити, чи самооцінка організації правдоподібно описує функціонуючу Систему управління інформаційною безпекою (СУІБ), яка відповідає вимогам каталогу ISA.

На відміну від 3-го рівня оцінювання, AL2 не включає перевірку впроваджених заходів контролю на місці. Оцінювання проводиться переважно на основі письмової самооцінки організації та супровідної документації.

Це має критичне значення: якість самооцінювання визначає успіх процесу.

Для AL2 оцінювач повинен бути здатним зрозуміти, як досягається кожна ціль контролю, виходячи лише з письмового опису в каталозі ISA. Документи з доказами служать для підтвердження цих пояснень, а не замінюють їх. Якщо текст самооцінки незрозумілий, суперечливий або недостатньо деталізований, жодна додаткова документація не може цього компенсувати. У таких випадках стають необхідними перегляди та подальші цикли перегляду, що збільшує як терміни, так і внутрішні зусилля.

Чому внутрішні зусилля часто недооцінюють

Витрати на проведення аудиту є прозорими. Натомість внутрішні трудозатрати не є очевидними — і саме на цьому етапі багато організацій опиняються в несподіваній ситуації.

Підготовка правдоподібної самооцінки вимагає детального, задокументованого розуміння того, як функціонують засоби контролю інформаційної безпеки в організації. Зазвичай це включає внесок від:

• Відділи інформаційної безпеки та ІТ
• Управління персоналом та об'єктами
• Відділи комплаєнсу та юридичного відділу
• Виконавче керівництво

Необхідний час значною мірою залежить від досвіду та ретельності особи, відповідальної за документування контролю в каталозі ISA. Організації з добре налагодженою СУІБ та персоналом, знайомим з вимогами TISAX^®, часто можуть ефективно виконати цей процес. Натомість організації з менш розвиненою СУІБ зазвичай стикаються зі значно більшими зусиллями для збору необхідної інформації та опису основних процесів і контролю чітким та зрозумілим чином. Виходячи з досвіду оцінювання, добре підготовлені організації зазвичай інвестують приблизно 24 години під час підготовки правдоподібної самооцінки. Менш підготовленим організаціям може знадобитися 48 годин або більше — а додаткові ітерації перевірки, запитувані під час перевірки правдоподібності, можуть ще більше посилити цей показник.

AL2 проти AL2.5: Більш збалансований погляд на загальні зусилля

Припущення, що нижчий рівень оцінювання автоматично означає менші загальні інвестиції, справджується не завжди. 

Якщо порівнювати рівні AL2 та AL2.5 за загальним обсягом зусиль — враховуючи як внутрішню підготовку організації, так і роботу аудитора з перевірки — картина виглядає інакше, ніж це демонструє лише вартість самого оцінювання:

AL2.5 передбачає більшу глибину оцінки та активнішу роль аудитора, що призводить до вищих зовнішніх витрат. Однак, зменшене внутрішнє навантаження на підготовку може зробити AL2.5 справді ефективнішим варіантом для організацій, яким бракує дисципліни документування або кадрових ресурсів для ефективного проведення високоякісної самооцінки AL2.

Жоден з варіантів не є кращим за своєю суттю. Відповідний вибір залежить від конкретних обставин організації, а не від того, який варіант видається менш витратним у пропозиції оцінки.

Ризик зміни вимог

Багато організацій починають свій шлях до TISAX® з чіткої, конкретної вимоги від одного клієнта: отримати маркування на рівні оцінювання 2. На той момент AL2 здається єдиним розумним вибором.

Однак автомобільна екосистема є динамічною. Нові відносини з клієнтами, розширення обсягу проектів або зміна класифікації інформації можуть створити потребу у вищих рівнях оцінювання — іноді в межах того самого періоду дії. Сценарії, які часто виникають, включають:

• Поводження з Суворо конфіденційною інформація
• Вимоги щодо Дуже висока доступність
• Розширення області оцінювання, яка охоплює захист прототипів
• Додаткові специфічні вимоги оригінальних виробників обладнання (OEM)

Жодна організація не може з упевненістю передбачити всі майбутні вимоги. Але врахування потенційних бізнес-подій на етапі планування, а не реагування на них пізніше, може допомогти уникнути непотрібного дублювання зусиль.

Розуміння справжньої вартості оновлення з AL2

Для організацій, які починають з AL2 і пізніше потребують AL3, шлях оновлення не такий простий, як може здатися.

Оскільки AL2 зосереджений на правдоподібності, а не на перевірці на місці, методологічний перетин між AL2 та AL3 обмежений. Оновлення з AL2 до AL3, як правило, порівнянне за зусиллями з проведенням початкова оцінка AL3 з нуля. Для одного місця це може означати приблизно 24 години оцінювальних зусиль — по суті, повний перезапуск.

Натомість, організації, які починають з AL2.5, можуть мати право на диференціальну оцінку під час переходу на AL3. Залежно від обсягу та позначок, це може суттєво зменшити зусилля з оцінювання для оновлення.

Це не означає, що AL2 є неправильною відправною точкою. Але для організацій, які мають реальну ймовірність потреби в AL3 у майбутньому, економічні аспекти початку роботи на вищому рівні заслуговують на ретельне обмірковування.

Коли AL2 – правильний вибір

Незважаючи на вищезазначені фактори, AL2 є доречним та ефективним вибором для багатьох організацій. Він може бути особливо підходящим, коли:

• Організація вже підтримує добре задокументовану СУІБ
• Відповідний персонал має суттєвий досвід роботи з вимогами та термінологією TISAX^®
• Високоякісну самооцінку можна підготувати з мінімальними ітераціями
• Немає передбачуваної потреби в переході до AL3 протягом поточного циклу оцінювання.

За дотримання цих умов рівень AL2 здатний стати раціональним маршрутом для отримання сертифіката TISAX^® із одночасним обмеженням зовнішніх витрат на проведення аудиту

Ключові питання для вибору рівня оцінювання

Замість того, щоб починати з оплати за оцінку, організації виграють від врахування наступних факторів:

1. Наскільки зріла наша існуюча документація щодо СУІБ? Чи можна легко отримати чіткі та зрозумілі описи контролю з задокументованих процесів?
2. Чи маємо ми внутрішні ресурси провести ретельний процес самооцінки, не створюючи вузьких місць?
3. Які етикетки потрібні поточним клієнтам? Чи є якісь із них на AL3 сьогодні або потенційно будуть найближчим часом?
4. Чи розширюємо ми відносини з новими клієнтами? Які можуть мати інші або вищі очікування щодо TISAX®?
5. Який наш реалістичний шлях оновлення? Якщо AL3 стане необхідним, скільки нам коштуватиме цей перехід з кожної початкової точки?

Відповідаючи на ці питання щодо Рівня оцінювання TISAX^® з урахуванням внесків команд інформаційної безпеки, ІТ та бізнес-команд, що забезпечує набагато надійнішу основу для прийняття рішень, ніж просте порівняння вартості оцінювання.

Дивлячись далі, ніж просто оплата за оцінку

Рівень оцінювання 2 часто вважається найекономічнішим шляхом до отримання маркування TISAX®. Для організацій із чіткою практикою документування та без передбачуваної потреби у вищих рівнях оцінювання це припущення цілком може бути правильним.

Однак для інших справжні витрати на AL2, виміряні у внутрішніх зусиллях з підготовки, ітераціях перевірки та потенційних витратах на оновлення, можуть перевищувати очевидну економію на оплаті оцінювання.

Найефективніший з точки зору витрат рівень оцінювання не обов'язково той, що має найнижчу вхідну ціну. Це той, який забезпечує правильний баланс зусиль, гарантії та гнучкості для конкретної ситуації вашої організації.