Nhãn TISAX® mới: Những gì cần chú ý

• Thay đổi điều kiện - những yêu cầu mới
• Tại sao nhãn TISAX^®mới Tính khả dụng và Tính bảo mật được giới thiệu
• Nhãn TISAX^® mới
• Công ty cần những nhãn TISAX^® nào
• Mục tiêu đánh giá, nhãn và cấp độ đánh giá - giải thích nhanh về sự khác biệt
• Đối với các chứng nhận theo danh mục ISA cũ, phân tích khoảng trống là cần thiết
• Nhãn TISAX^® mới - Kết luận
• DQS đối tác tin cậy của bạn

Tại sao nhãn TISAX^®mới Tính khả dụng và Tính bảo mật được giới thiệu

Các nhà cung cấp và nhà cung cấp dịch vụ tham gia chặt chẽ vào quá trình phát triển và sản xuất của các nhà sản xuất xe hơi - nhưng đôi khi đảm nhiệm những vai trò rất khác nhau: Một số công ty được giao phó thông tin cực kỳ nhạy cảm nhưng cuối cùng lại không tham gia vào quá trình sản xuất thực tế. Trong khi đó, những công ty khác cung cấp các linh kiện quan trọng thiết yếu cho việc sản xuất xe nhưng không có quyền tiếp cận vào bí mật kinh doanh của công ty đặt hàng.

Để phân biệt rõ ràng hai vai trò này, nhãn cũ Bảo mật Thông tin (Information Security) được tách thành hai nhãn mới: Tính khả dụng (Availability) và Tính bảo mật (Confidential). Các nhà cung cấp và nhà cung cấp dịch vụ giờ đây không cần thiết phải đáp ứng tất cả các yêu cầu của danh mục ISA Catalog 6.0, vì mỗi nhãn chỉ đại diện cho một tập hợp con. Sự phân chia này hướng tới mục đích giảm bớt gánh nặng cho các công ty, đồng thời giúp quá trình đánh giá trở nên hiệu quả hơn.

Tuy nhiên, cần lưu ý rằng danh mục Đánh giá Bảo mật Thông tin (ISA) đã được mở rộng để bổ sung thêm một số  yêu cầu nhằm đối phó với những mối đe dọa tiềm ẩn. Ngoài việc đảm bảo tính bảo mật,  khả năng cung ứng - từ khóa: sản xuất đúng thời điểm (just-in-time production) - cũng cần được đảm bảo, vì ngày càng có nhiều nguy cơ từ các cuộc tấn công của mã độc tống tiền (Ransomware). Do đó, những yêu cầu mới cũng bao gồm các biện pháp bảo vệ mạnh mẽ hơn cho hệ thống công nghệ vận hành (OT).

Nhãn TISAX^® mới

Đối với các công ty được giao phó thông tin nhạy cảm, chẳng hạn như bí mật kinh doanh hoặc dữ liệu cá nhân, hiện có các nhãn "Bảo mật" (Confidential) và "Bảo mật khắt khe" (Strictly Confidential). Các nhãn "Khả dụng cao" (High Availability) và "Khả dụng rất cao" (Very High Availability) được dành cho các nhà cung cấp đóng vai trò thiết yếu trong khả năng cung ứng của công ty.

Bên cạnh các yêu cầu cơ bản, các biện pháp cần được thực hiện cho các nhãn TISAX® mới, được đánh dấu rõ ràng trong danh mục đánh giá ISA phiên bản 6.0: Đối với nhãn "Bảo mật" (Confidential), được đánh dấu bằng chữ "C", và đối với nhãn "Khả dụng" (Availability), được đánh dấu bằng chữ "A". Nhiều yêu cầu được đánh dấu bằng cả hai chữ cái, do đó áp dụng cho cả hai nhãn mới.

"Bảo mật" 

Nhãn "Bảo mật" tập trung vào việc bảo vệ các thông tin mật, việc tiết lộ trái phép có thể dẫn tới các hậu quả nghiêm trọng như giảm uy tín, thiệt hại về tài chính thậm chí là có nguy cơ bị truy tố hình sự.

Trong các kiểm soát của danh mục ISA, có 28 yêu cầu bắt buộc được xác định trong cột "Yêu cầu bổ sung cho nhu cầu bảo vệ cao" (Additional requirements for high protection needs) và được đánh dấu bằng chữ "C", các yêu cầu này phải được đáp ứng để đạt được nhãn này.

Dưới đây là các biện pháp kiểm soát trọng tâm phải thực hiện (Trong ngoặc là các yêu cầu cụ thể được đề cập):  

• 3.1.3 (Bảo vệ và tiêu hủy thông tin một cách an toàn trên các thiết bị hỗ trợ như máy in, máy hủy tài liệu, máy ảnh, hoặc giấy) 
• 3.1.4 (Mã hóa dữ liệu trên các thiết bị di động) 
• 5.1.1 (Bảo vệ hợp pháp việc kiểm soát dữ liệu thông qua các hợp đồng, thông số kỹ thuật, cam kết, đặc biệt đối với việc xử lý dữ liệu bên ngoài) 
• 5.1.2 (Mã hóa các tuyến đường truyền  thông tin kỹ thuật số)

Các biện pháp kiểm soát được đề cập ở trên chỉ được đánh dấu bằng chữ cái "C", không phải chữ cái "A", do đó các biện pháp này chỉ liên quan đến bảo mật. Như vậy, những yêu cầu trên không cần phải được thực hiện trong một quy trình đánh giá chỉ nhằm mục đích gán nhãn.

"Bảo mật khắt khe" 

Nhãn "Bảo mật khắt khe" tập trung vào việc bảo vệ thông tin có độ bảo mật và bí mật cao, việc tiết lộ trái phép có thể dẫn tới những hậu quả nghiêm trọng thậm chí đe dọa tới tính mạng như thiệt hại nghiệm trọng về uy tín, tài chính hoặc thậm chí đối mặt với vấn đề hình sự.

Trong các biện pháp kiểm soát của bảng câu hỏi ISA, chín yêu cầu bắt buộc thực hiện được định nghĩa trong cột "Các yêu cầu bổ sung cho nhu cầu bảo mật ở mức độ rất cao" và được đánh dấu bằng chữ "C" - bên cạnh những yêu cầu cho nhãn "Bảo mật". 

Dưới đây là các biện pháp kiểm soát trọng tâm phải thực hiện :

• 1.6.1 (Thực hiện và cung cấp bằng chứng về việc diễn tập  định kỳ quản lý sự cố bảo mật  thông tin) 
• 4.1.2 (Xác thực hai yếu tố - hoặc cao hơn - để truy cập vào thông tin với yêu cầu bảo mật ở mức đặc biệt cao) 
• 4.2.1 (Mã hóa thông tin với yêu cầu bảo mật ở mức đặc biệt cao; xem xét hàng quý các quyền truy cập được cấp phù hợp định kỳ theo quý) 
• 5.1.2 (Mã hóa nội dung thông tin cho đường truyền  kỹ thuật số) 
• 5.2.4 (Ghi nhật ký truy cập thông tin với yêu cầu bảo mật ở mức đặc biệt cao) 
• 5.2.8 (Khái niệm về việc sao lưu dữ liệu với các điểm lưu trữ thay thế và sao lưu dự phòng)
• 5.3.1 (Kiểm tra tính bảo mật của phần mềm được phát triển nội bộ hoặc cho khách hàng - trong quá trình triển khai, trong trường hợp có thay đổi, và định kỳ)

Một lưu ý quan trọng đó là phải phân biệt rõ với các nhãn liên quan tới tính khả dụng: Cụ thể, các yêu cầu được liệt kê với các biện pháp kiểm soát 4.1.2, 4.2.1, 5.1.2 và 5.2.4 chỉ được đánh dấu bằng chữ cái "C". Do đó, chúng chỉ liên quan đến quy trình đánh giá  đối với nhãn "Bảo mật khắt khe".

"Tính khả dụng cao" 

Các công ty được gán nhãn "Tính khả dụng cao" nếu như tính sẵn sàng của các sản phẩm, dịch vụ của họ có ảnh hưởng trực tiếp đến khả năng sản xuất hoặc cung cấp của các công ty con, và những gián đoạn có thể dẫn tới thiệt hại đáng kể. Một vài ví dụ điển hình là các nhà cung ứng trong mô hình sản xuất đúng thời điểm (JIT) hay các nhà cung cấp dịch vụ hoặc nguyên liệu thô chuyên biệt  không thể thay thế.

Trong các biện pháp kiểm soát của danh mục ISA 6.0, có 36 yêu cầu bắt buộc thực hiện được định nghĩa trong cột "Các yêu cầu bổ sung cho nhu cầu bảo mật cao" và được đánh dấu bằng chữ cái "A", do đó phải được thực hiện để được dán nhãn này. 

Dưới đây là các biện pháp kiểm soát trọng tâm phải thực hiện (trong ngoặc là yêu cầu cụ thể được đề cập):

• 1.6.3 (Chuẩn bị cho các tình huống khủng hoảng: Kịch bản khủng hoảng, liên lạc, chiến lược truyền thông, mô phỏng khủng hoảng định kỳ) 
• 5.2.8 (Các biện pháp ngăn chặn gián đoạn do các mối đe dọa nội bộ như: bảo vệ các bản sao lưu - và sự cố gián đoạn dịch vụ bên ngoài, ví dụ, thông qua các SLA phù hợp) 
• 5.2.9 (Khái niệm về việc sao lưu và khôi phục: kiểm tra định kỳ việc  sao lưu và thử nghiệm khôi phục) 
• 5.3.2 (Giám sát lưu lượng mạng, phân tích tính khả dụng của các dịch vụ trung tâm)

Các yêu cầu được đề cập ở trên chỉ được đánh dấu bằng chữ cái "A", do đó các yêu cầu này chỉ liên quan đến tính khả dụng.

Như vậy, những yêu cầu này không cần phải được thực hiện trong một quy trình đánh giá với mục đích dán nhãn bảo mật.

"Tính khả dụng rất cao" 

Các công ty cần nhãn "Tính khả dụng rất cao" nếu tính khả dụng ngắn hạn của các sản phẩm hoặc dịch vụ của chính họ ảnh hưởng nghiêm trọng đến khả năng sản xuất hoặc cung cấp của các công ty con và khi có sự cố xảy ra dẫn đến những thiệt hại đáng kể. Một ví dụ tiêu biểu là các nhà cung ứng theo mô hình sản xuất đúng thời điểm ( JIT), việc thất bại của họ sẽ dẫn đến việc ngừng sản xuất nhanh chóng trên quy mô lớn với thời gian tái khởi động dài.

Trong các kiểm soát của danh mục ISA, có 13 yêu cầu bắt buộc thực hiện được định nghĩa trong cột "Các yêu cầu bổ sung cho nhu cầu bảo vệ ở mức độ cao " và được đánh dấu bằng chữ "A" - ngoài những yêu cầu cho nhãn "Tính khả dụng cao". 

Dưới đây là các biện pháp kiểm soát trọng tâm phải thực hiện (yêu cầu cụ thể được đề cập trong ngoặc):

• 1.6.1 (Thực hiện và cung cấp bằng chứng về việc diễn tập định kỳ quản lý sự cố bảo mật thông tin) 
• 1.6.2 (Thực hiện đối với cả các  loại sự cố an toàn thông tin hiếm gặp) 
• 1.6.3 (Thực hiện và cung cấp bằng chứng về việc thực hành định kỳ để quản lý các tình huống khủng hoảng có thể xảy ra) 
• 5.2.6 (Thường xuyên Phân tích hệ thống tự động hoàn toàn của các hệ thống công nghệ thông tin, bao gồm cả các hệ thống kiểm soát công nghệ vận hành sản xuất OT) 
• 5.2.8 (Khái niệm sao lưu dữ liệu với các điểm lưu trữ thay thế và sao lưu dự phòng; phối hợp các kế hoạch dự phòng của tư nhân với các kế hoạch dự phòng của nhà cung cấp dịch vụ bên ngoài; chiến lược sao lưu với các hệ thống thay thế và các điểm thay thế để lưu trữ và sao lưu nhằm duy trì các quy trình kinh doanh) 
• 5.2.9 (Kiểm tra định kỳ khái niệm sao lưu dữ liệu; các điểm sao lưu phân tán địa lý; các hệ thống sao lưu được cô lập tối đa có sao lưu không thể thay đổi kỹ thuật) 
• 5.3.1 (Kiểm tra an ninh phần mềm được phát triển nội bộ hoặc cho khách hàng - trong quá trình triển khai, trong trường hợp có thay đổi, và định kỳ)

Các yêu cầu của các biện pháp kiểm soát 1.6.2, 1.6.3, 5.2.6 và 5.2.9 được liệt kê phía trên chỉ được kiểm tra trong quá trình đánh giá  cho nhãn "Tính khả dụng rất cao", do đó không liên quan đến nhãn bảo mật của TISAX.. 

Nhìn chung, hai nhãn của "Tính khả dụng" tăng cường sự tập trung vào việc duy trì khả năng sản xuất (OT). Kiến thức nội bộ của công ty về các khuyến nghị của nhà sản xuất OT, các rủi ro OT, và các biện pháp bảo mật cho mạng OT và quản lý OT sẽ nhận được sự chú ý nhiều hơn trong cuộc đánh giá..

Các công ty cần những nhãn TISAX^® nào

Câu hỏi về việc cần dán nhãn nào trong thực tế trước hết phụ thuộc vào vai trò của công ty trong chuỗi cung ứng. Ở mỗi giai đoạn của chuỗi cung ứng, các công ty phải tự đặt câu hỏi mình phụ thuộc vào những nhà cung cấp nào và nhà cung cấp nào được giao phó thông tin nhạy cảm.

Do đó, việc quản lý nhà cung cấp theo yêu cầu của TISAX® ở mỗi giai đoạn sẽ dẫn đến các yêu cầu về nhãn cụ thể tuỳ theo vai trò lan tỏa của dọc chuỗi cung ứng. Trong cơ chế trao đổi đó, việc nhà cung cấp có thể tham khảo các nhãn hiện có để chứng minh sự tuân thủ các yêu cầu là khá hữu ích. Kết quả của các đánh giá này có thể được cung cấp cho bất kỳ bên quan tâm nào.

Giả sử một công ty yêu cầu cả hai nhãn mới cho trường hợp phòng ngừa, dù không cần đến nhãn bảo mật hoặc tính khả dụng. Trong trường hợp đó, chắc  chắn sẽ cần một cuộc thảo luận để hiểu biết nhau hơn về  vai trò trong việc xem xét các chi phí triển khai có thể tăng lên đáng kể.

Mối liên hệ giữa nhãn TISAX và các cấp độ đánh giá cũng phải được đề cập đến: Các nhãn "Tính khả dụng rất cao" và "Độ bảo mật khắt khe" chỉ có thể được chứng nhận thông qua đánh giá cấp 3, tức là thông qua đánh giá tại chỗ.

Mục tiêu đánh giá, nhãn và cấp độ đánh giá - giải thích nhanh về sự khác biệt

Ở phần trước, chúng tôi đã sử dụng một số thuật ngữ mà chúng tôi sẽ giải thích ngắn gọn và phân biệt với nhau tại đây:

• Mục tiêu đánh giá TISAX®: Dựa trên các thông số kỹ thuật của đối tác sản xuất, các nhà cung cấp sử dụng các mục tiêu đánh giá để xác định các yêu cầu mà họ phải đáp ứng trong cuộc đánh giá. 
• Nhãn TISAX®: Sau khi vượt qua cuộc đánh giá, các công ty nhận được nhãn TISAX® cho mục tiêu đánh giá đã chọn trong cơ sở dữ liệu TISAX® như minh chứng xác nhận rằng họ đã đáp ứng các yêu cầu. 
• Cấp độ TISAX®: Việc đáp ứng các yêu cầu được đánh giá khác nhau tùy thuộc vào cấp độ đánh giá. Cấp độ 1, thuần tuý là tự đánh giá. Ở cấp độ 2, các đánh giá tự thân được kiểm tra tính hợp lý bởi một đánh giá viên bên ngoài, đồng thời được bổ sung bằng các cuộc phỏng vấn từ xa. Ở cấp độ 3, đánh giá  viên kiểm tra tính hiệu quả tại chỗ.

Đối với các chứng nhận theo danh mục ISA cũ, phân tích khoảng trống là cần thiết

Chú ý quan trọng đối với các công ty vẫn được chứng nhận theo nhãn "Info" cũ: 

• Để đơn giản hóa tối đa giai đoạn chuyển đổi, các công ty có nhãn "Info High" đã tự động được gán nhãn "Bảo mật" và "Tính khả dụng cao" cho đến ngày hết hạn của họ. 
• Tương tự, nhãn "Info Very High" đã được chuyển đổi thành nhãn "Bảo mật khắt khe" và "Tính khả dụng rất cao".

Điều này cũng áp dụng cho các quy trình đánh giá có các đơn đặt hàng được chấp nhận trước ngày 1 tháng 4 và các phạm vi mở rộng ở lần kế tiếp, cả hai đều có thể vẫn được thực hiện theo danh mục ISA 5.1 cũ.

Tuy nhiên, cần lưu ý rằng các công ty liên quan sau  khi đánh giá theo danh mục ISA có hiệu lực, phải được cấp chứng nhận nhãn ISA của họ, có, có hiệu lực trong ba năm, hết hạn. Chứng nhận mới phải có sẵn ngay khi nhãn cũ hết hạn. Do đó, những bên chịu trách nhiệm được khuyến nghị tiến hành phân tích khoảng trống  ở giai đoạn đầu để thực hiện các điều chỉnh đối với hệ thống quản lý an toàn thông tin (ISMS) kịp thời và chuẩn bị cho cuộc đánh giá TISAX tiếp theo.

Đối với việc phân tích khoảng trống, Hiệp hội ENX đã cung cấp một danh mục yêu cầu riêng trong đó tất cả các thay đổi giữa ISA 5.1 và ISA 6.0 được liệt kê và đánh dấu màu đỏ. Điều này cho phép các công ty tiếp nhận các yêu cầu mới đã được thêm vào một cách nhanh chóng. Cần lưu ý: Đây là một tài liệu hỗ trợ. Đối với đánh giá, các công ty nên đảm bảo luôn tải xuống phiên bản mới nhất của danh mục đánh giá ISA từ trang web của ENX.

Có những thay đổi đặc biệt, đáng chú ý như dưới đây:

• Biện pháp kiểm soát mới 1.3.4 có thể yêu cầu đầu tư vào phần mềm mới, ví dụ như quản lý bản quyền. 
• Các biện pháp kiểm soát được sửa đổi nhiều bao gồm 1.6.1 và 1.6.2 hiện yêu cầu việc phối hợp ứng phó các sự cố phải được kiểm tra định kỳ. 
• Biện pháp kiểm soát 3.1.2 đã được thay thế bằng các biện pháp kiểm soát mới 1.6.3, 5.2.8 và 5.2.9, đặt ra nhiều yêu cầu mới liên quan đến xử lý khủng hoảng, quản lý kinh doanh liên tục và sao lưu dữ liệu.

Nhãn TISAX^® mới - Kết luận

Các nhãn mới về tính bảo mật và tính khả dụng sẽ  đảm bảo hiệu quả cao  hơn trong việc chứng nhận TISAX® trong tương lai, vì các cuộc đánh giá  hiện được thực hiện dựa trên từng vai trò cụ thể. Điều này có nghĩa là các nhà cung cấp và nhà cung cấp dịch vụ không còn phải thực hiện mọi yêu cầu trong danh mục. Tuy nhiên, đáng chú ý là nhãn khả dụng có nhiều yêu cầu phải đáp ứng hơn so với nhãn bảo mật, nguyên nhân do danh mục ISA hiện tại đã đưa vào tất cả các biện pháp kiểm soát với trọng tâm mới là đảm bảo khả năng phân phối và bảo mật môi trường OT.

Danh mục được sửa đổi và mở rộng một phần cũng chứa nhiều yêu cầu mới, một số trong đó chỉ có thể được đáp ứng với những nỗ lực và thời gian sản xuất phù hợp. Do đó, việc tiến hành phân tích khoảng trống sớm cho các công ty có chứng nhận theo danh mục cũ được khuyến khích, vì họ "chỉ" nhận được các nhãn mới thông qua việc chuyển đổi tự động nhãn cũ cho bảo mật thông tin..

Những thách thức đặc biệt nảy sinh đối với những khách hàng đã nhận được nhãn của họ trước đây như một phần của quy trình lấy mẫu xoay vòng (Rotating SGA). Vì lý do chi phí, những công ty này muốn chuyển sang quy trình lấy mẫu thực tế (sample-based SGA) trong năm cuối cùng của thời hạn nhãn có hiệu lực. Do đó, họ phải hoàn thành Đánh giá Rotating SGA trong năm thứ ba, chuyển đổi hệ thống quản lý bảo mật thông tin (ISMS) của họ sang danh mục ISA mới và hoàn thành Đánh giá Sample-based SGA trước khi nhãn hết hạn để có thể gia hạn nhãn một cách liền mạch.

DQS đối tác tin cậy của bạn

TISAX® - tương tự như ENX VCS cho An ninh mạng xe cộ - được phát triển bởi Hiệp hội ENX. DQS được ENX chấp thuận là nhà cung cấp dịch vụ đánh giá và do đó có thể thực hiện đánh giá trên toàn thế giới - và bản thân cũng được chứng nhận TISAX®. Nhiều đánh giá viên TISAX® của chúng tôi cũng được công nhận theo tiêu chuẩn quốc tế về bảo mật thông tin ISO 27001, chúng tôi có thể đánh giá cả hai tiêu chuẩn cùng một lúc. Chúng tôi mong muốn được trao đổi với bạn.

Lưu ý: Truy cập TISAX® thông qua đăng ký người tham gia phải được thực hiện trực tuyến trên cổng thông tin ENX. Đây là điều kiện tiên quyết để có thể ủy quyền cho một nhà cung cấp dịch vụ đánh giá được phê duyệt như DQS.

Niềm tin và chuyên môn

Các văn bản và tài liệu quảng cáo của chúng tôi được viết độc quyền bởi các chuyên gia về tiêu chuẩn hoặc các đánh giá viên lâu năm. Nếu bạn có bất kỳ câu hỏi nào về nội dung văn bản hoặc dịch vụ của chúng tôi đối với tác giả, vui lòng liên hệ với chúng tôi.