TISAX (Trusted Information Security Assessment Exchange) je standard pro hodnocení informační bezpečnosti v automobilovém průmyslu. Vznikl v Německu a dnes ho vyžadují velké automobilky i jejich dodavatelé napříč Evropou. Pro menší firmy v Libereckém a Královéhradeckém kraji, které dodávají díly, nástroje nebo konstrukční práce pro automotive, je to čím dál častější požadavek.
Proč to odběratelé chtějí
Automobilky sdílejí s dodavateli výkresy, prototypy a další citlivé informace. Potřebují mít jistotu, že je dodavatel chrání. Aby nemusel každý odběratel u každého dodavatele dělat vlastní audit, vznikl TISAX. Dodavatel projde jedním hodnocením a výsledek pak sdílí se všemi odběrateli, kteří o něj požádají.
Jak hodnocení probíhá
- Registrace na platformě ENX. ENX Association TISAX spravuje. Registrace je placená. Při ní určíte rozsah hodnocení a cíle hodnocení, které obvykle předepisuje odběratel (například ochrana důvěrných informací nebo ochrana prototypů).
- Vlastní hodnocení podle VDA ISA. VDA ISA je katalog požadavků, v podstatě velmi podrobný dotazník. Vyplníte, jak na tom jste, a zjistíte, co chybí.
- Doplnění opatření a dokumentace. Nejpracnější část. Zavádějí se technická opatření (přístupy, zálohy, ochrana sítě) i organizační (směrnice, školení, řízení incidentů).
- Audit. Provede ho auditor schválený ENX, kterého si vyberete sami. Podle požadované úrovně hodnocení jde o kontrolu dokumentů a rozhovor na dálku, nebo o audit na místě.
- Náprava a výsledek. Pokud auditor najde nedostatky, dostanete čas na nápravu a pak následuje kontrola. Po úspěšném hodnocení dostanete štítek TISAX a sdílíte výsledek s odběrateli přes portál ENX.
Výsledek platí tři roky. Pak se celé hodnocení opakuje, proto se vyplatí udržovat opatření průběžně, ne jen před auditem.
Jak dlouho to trvá
U menší firmy, která začíná téměř od nuly, počítejte s několika měsíci přípravy, často s půl rokem i víc. Hodně záleží na výchozím stavu. Firma, která má pořádek ve správě IT, zálohách a přístupech, je výrazně rychlejší. Termíny auditorů bývají plné na týdny až měsíce dopředu, proto je dobré auditora oslovit hned na začátku.
Kolik to stojí
Náklady mají tři složky:
- Registrace u ENX, kterou platí hodnocená firma.
- Audit, který platíte auditorovi. Cena závisí na velikosti firmy, rozsahu a úrovni hodnocení.
- Příprava a zavedení opatření: práce vlastních lidí, externí pomoc, případně nové technologie (firewall, zálohování, ochrana počítačů).
Přehledy na internetu uvádějí celkové náklady od zhruba 10 000 eur pro malé firmy až po statisíce eur u velkých organizací. U malé firmy obvykle nejvíc stojí právě příprava. Proto má smysl začít rozborem toho, co už splňujete, a teprve pak odhadovat rozpočet.
Co zvládne malá firma sama a kde potřebuje pomoc
Sama firma zvládne hlavně organizační část. Kdo za co odpovídá, jak se zachází s výkresy a prototypy, fyzická bezpečnost dílny a kanceláře. Pomoc obvykle potřebuje s technickou částí: zabezpečení sítě, přístupy, zálohy, dvoufázové přihlášení, záznamy o událostech. A taky s převodem požadavků VDA ISA do praxe tak, aby nevznikla dokumentace jen pro auditora.
Jak pomáháme
Provedeme vás vlastním hodnocením podle VDA ISA, sepíšeme, co chybí, a navrhneme nejlevnější cestu ke splnění. Technická opatření pak sami zavedeme. Samotné hodnocení dělá akreditovaný auditor, my ho nenahrazujeme. Pokud odběratel zatím chce jen vyplnit dotazník, pomůže vám článek Bezpečnostní dotazník od odběratele. Víc o službě najdete na stránce Audity odběratelů a TISAX.