Oprogramowanie TISAX
dla Państwa ISMS

TISAX (Trusted Information Security Assessment Exchange) to mechanizm oceny i wymiany wyników w zakresie bezpieczeństwa informacji w przemyśle motoryzacyjnym — opracowany przez Niemieckie Stowarzyszenie Przemysłu Motoryzacyjnego (VDA), prowadzony przez ENX Association. Uczestnik (participant) poddaje się raz ocenie według VDA ISA przez akredytowanego dostawcę audytu (audit provider) i udostępnia wynik przez platformę ENX wybranym partnerom. TISAX jest zarejestrowanym znakiem towarowym ENX Association.

VDA ISA (Information Security Assessment) to katalog wymagań, według którego prowadzi się oceny TISAX. Składa się z katalogów bezpieczeństwa informacji (rozdziały 1–7: polityki i organizacja, personel, bezpieczeństwo fizyczne, zarządzanie tożsamością i dostępem, bezpieczeństwo IT / cyberbezpieczeństwo, relacje z dostawcami, zgodność), ochrony prototypów (rozdział 8) i ochrony danych (rozdział 9). Każde pytanie kontrolne (control question) ocenia się poziomem dojrzałości (maturity level) od 0 do 5; docelowy poziom dojrzałości wynosi z reguły 3. Obecnie obowiązuje ISA 6; oceny zamawiane od 2027 r. prowadzi się według ISA 2027.

Oprogramowanie TISAX odwzorowuje VDA ISA jako katalog i wiąże go ze składnikami Państwa ISMS — zakresem, lokalizacjami, aktywami, ryzykami, środkami i dowodami. Zamiast ręcznie utrzymywać plik Excela ISA, oceniają Państwo każde pytanie kontrolne raz przy obiekcie, a poziomy dojrzałości dla rozdziałów, wynik z obcięciem do docelowego poziomu dojrzałości i plan działań naprawczych powstają z danych.

Trzy. Poziom oceny (Assessment Level) 1 to samoocena bez sprawdzenia treści i nie jest używany w TISAX. Na poziomie oceny 2 (wysoka potrzeba ochrony) dostawca audytu sprawdza wiarygodność samooceny, przegląda dowody i prowadzi wywiad — z reguły przez wideokonferencję. Na poziomie oceny 3 (bardzo wysoka potrzeba ochrony) ocenia na miejscu: dokumenty, zaplanowane i niezaplanowane wywiady, wizytację i obserwację procesów.

Cele oceny (assessment objectives) określają, co jest oceniane i na jakim poziomie oceny. Obejmują bezpieczeństwo informacji (poufność i dostępność, każda w dwóch stopniach), ochronę prototypów (części i komponenty prototypów, pojazdy prototypowe, pojazdy testowe, wydarzenia i sesje zdjęciowe) oraz ochronę danych (według art. 28 RODO, ze szczególnymi kategoriami danych osobowych lub bez nich). Jakich celów oceny Państwo potrzebują, określają z reguły Państwa klienci.

Formalnie nie: TISAX nie przyznaje certyfikatu, lecz etykietę TISAX (TISAX label) dla każdego celu oceny, którą dostawca audytu umieszcza na platformie ENX po pomyślnej ocenie. W praktyce mówi się jednak często o „certyfikacji TISAX”. Etykieta jest ważna trzy lata; potem konieczna jest nowa ocena.

Rejestracja jako uczestnik w portalu ENX z celami oceny i zakresem (lokalizacjami); wybór dostawcy audytu; samoocena według ISA; ocena na poziomie 2 lub 3; przy odchyleniach plan działań naprawczych (Corrective Action Plan) i follow-up; raport na platformie ENX, który udostępniają Państwo partnerom. Z Complaica samoocena, dowody i plan działań naprawczych pochodzą z jednego zbioru danych.

VDA ISA jest w całości zawarty jako katalog. Oceniają Państwo każde pytanie kontrolne poziomem dojrzałości na swoim drzewie aktywów — wymagania obowiązkowe, zalecane i dodatkowe osobno — i zapisują dowody oraz środki przy obiekcie. Pulpity pokazują poziomy dojrzałości dla rozdziałów na tle poziomu docelowego oraz wynik z obcięciem, tak jak liczy ISA.

ISA zadaje dla każdego pytania kontrolnego docelowy poziom dojrzałości, z reguły 3. Przy „wyniku z obcięciem do docelowego poziomu dojrzałości” poziomy powyżej celu są obcinane do celu, zanim obliczy się średnią: rozdział z poziomem dojrzałości 5 nie równoważy innego z poziomem 1. Wartość pokazuje postęp — gotowy do oceny jest ten, kto spełnia każde mające zastosowanie wymaganie i może to wykazać dowodami, a nie ten, kto osiąga liczbę.

VDA ISA przejmuje istotne wymagania ISO/IEC 27001 i uzupełnia je o branżowe — ochronę prototypów, ochronę danych, relacje z dostawcami w motoryzacyjnym łańcuchu dostaw. ISMS według ISO 27001 jest dobrą podstawą, ale nie zastępuje oceny TISAX; z drugiej strony dokumentację ISO 27001 można — o ile pasuje merytorycznie — wykorzystać dla ISA. W Complaica oba prowadzi się na tym samym zbiorze danych.

Tak. Katalogi ochrony prototypów — wymagania fizyczne i organizacyjne, obchodzenie się z pojazdami, komponentami i częściami, pojazdy testowe, wydarzenia i sesje zdjęciowe — oraz ochrony danych są zawarte jako osobne moduły i oceniane, tak jak bezpieczeństwo informacji, poziomem dojrzałości dla każdego pytania kontrolnego.

Tak. Complaica importuje i eksportuje dane z Excela i do Excela oraz przez REST API; migracja Państwa danych jest bezpłatna i prowadzona przez naszych specjalistów. Dzięki temu oceniają Państwo narzędzie na własnym stanie, a nie na danych demonstracyjnych.

Tak. ISO 27001, NIS2, IT-Grundschutz, RODO, ISO 22301 i inne normy ocenia się na tym samym modelu, korzystając z tych samych aktywów, ryzyk, środków i dowodów. To, co udokumentowano dla TISAX, można wykorzystać dla pozostałych norm, o ile pasuje merytorycznie.

Zwykle od trzech do dwunastu miesięcy od startu do etykiety — zależnie od celów oceny, liczby lokalizacji, istniejącego ISMS i zasobów; do tego dochodzi czas oczekiwania na rejestrację i termin oceny. Jeśli pozostają odchylenia, następują plan działań naprawczych i follow-up w terminie, który wyznacza na to ENX. Etykieta jest ważna trzy lata.

Trzy części: opłata uczestnictwa ENX za rejestrację i platformę, ocena przez dostawcę audytu — zależna od poziomu oceny, celów oceny i liczby lokalizacji — oraz nakład na budowę i utrzymanie ISMS (czas wewnętrzny, doradztwo, oprogramowanie). Complaica obniża trzecią część: przygotowany katalog, dowody generowane z danych i integracja AI oszczędzają większość pracy dokumentacyjnej. Complaica obniża trzecią część: przygotowany katalog, dowody przypisane przy obiekcie i integracja AI zmniejszają ręczną pracę dokumentacyjną.

Dla dostawców, usługodawców rozwojowych i inżynieryjnych, dostawców usług IT, agencji i wszystkich, którzy mają do czynienia z informacjami poufnymi, prototypami lub danymi osobowymi producentów i dostawców Tier 1. Z reguły klient wymaga etykiety z określonymi celami oceny jako warunku współpracy.

ENX opublikowała VDA ISA 2027; będzie on podstawą ocen TISAX zamawianych od 2027 r. Oceny początkowe według ISA 6 można otwierać jeszcze do marca 2027 r. W Complaica katalog jest aktualizowany do nowej wersji; istniejące oceny i dowody przenoszą się razem z nim.