TISAX Hazırlık Süreci ve Teknik Kanıtlar

Otomotiv sektöründe bir OEM veya büyük tedarikçi, iş ortaklarından bilgi güvenliği seviyelerini TISAX (Trusted Information Security Assessment Exchange) ile kanıtlamalarını isteyebilir. TISAX, ENX Association tarafından yönetilen bir değerlendirme ve sonuç paylaşım mekanizmasıdır; değerlendirmenin temelinde VDA ISA (Information Security Assessment) soru kataloğu bulunur. Bu rehber süreci ve özellikle teknik kanıt hazırlığını özetler.

Not: Eretek TISAX etiketi vermez. Değerlendirmeler ENX tarafından akredite edilmiş değerlendirme sağlayıcıları tarafından yapılır; bu rehber hazırlık sürecine odaklanır.

Sürecin ana adımları

1. Gereksinimi netleştirin: Müşterinizin hangi değerlendirme hedeflerini (ör. bilgi gizliliği, erişilebilirlik, prototip koruma, veri koruma) ve hangi seviyeyi istediğini yazılı olarak öğrenin.
2. Kapsamı belirleyin: Değerlendirilecek lokasyonlar ve süreçler.
3. ENX portalında kayıt: Şirket ve değerlendirme kaydı yapılır, değerlendirme sağlayıcısı seçilir.
4. Öz değerlendirme ve boşluk analizi: VDA ISA soru kataloğu üzerinden mevcut olgunluk puanlanır.
5. İyileştirme: Eksik kontroller uygulanır, kanıtlar hazırlanır.
6. Değerlendirme: Seçilen seviyeye göre belge incelemesi, uzaktan veya yerinde değerlendirme yapılır.
7. Düzeltici faaliyetler ve sonuç: Bulgular kapatılır; etiketler ENX platformunda paylaşılır. Etiketler genellikle üç yıl geçerlidir.

Değerlendirme seviyeleri

TISAX’ta değerlendirme seviyeleri (Assessment Level) incelemenin derinliğini belirler. AL1 öz değerlendirmedir ve etiket sağlamaz; AL2 genellikle belge incelemesi ve görüşmelere, AL3 ise kapsamlı yerinde incelemeye dayanır. Hangi seviyenin gerektiği işlenen bilgilerin koruma ihtiyacına ve müşterinin talebine bağlıdır.

VDA ISA 6 ile gelen değişiklikler

VDA ISA’nın 6. sürümü kataloğu ISO/IEC 27001:2022 yapısıyla daha uyumlu hale getirmiş ve ENX bununla birlikte etiket yapısında düzenlemeler duyurmuştur. Güncel etiket listesi ve geçiş kuralları için ENX yayınları esas alınmalıdır.

Denetimde sık istenen teknik kanıtlar

Pratik öneriler

• Her kontrol için “hangi belgeyi veya ekranı göstereceğiz?” sorusunu baştan cevaplayan bir kanıt matrisi hazırlayın.
• Politika yazmak yerine önce uygulamayı düzeltin; denetçi uygulamanın kanıtını görmek ister.
• Üretim yapan tedarikçilerde üretim ağına erişim ve tedarikçi bakım bağlantıları sıkça sorgulanır.
• ISO/IEC 27001 hedefi de varsa ortak kontrolleri tek çalışmada ele alın.

Hazırlık sürecini birlikte planlamak için TISAX Danışmanlığı, ISO hedefi için ISO 27001 Danışmanlığı ve BGYS Kurulumu, risk tarafı için Risk Değerlendirmesi, loglama kanıtları için SIEM ve Güvenlik Logları sayfalarımızı inceleyebilirsiniz.