Bu makalede5 bölüm
- Teknoloji
- TISAX, VDA ISA
- Konu
- Uyum
- Seviye
- Başlangıç
Otomotiv sektöründe bir OEM veya büyük tedarikçi, iş ortaklarından bilgi güvenliği seviyelerini TISAX (Trusted Information Security Assessment Exchange) ile kanıtlamalarını isteyebilir. TISAX, ENX Association tarafından yönetilen bir değerlendirme ve sonuç paylaşım mekanizmasıdır; değerlendirmenin temelinde VDA ISA (Information Security Assessment) soru kataloğu bulunur. Bu rehber süreci ve özellikle teknik kanıt hazırlığını özetler.
Not: Eretek TISAX etiketi vermez. Değerlendirmeler ENX tarafından akredite edilmiş değerlendirme sağlayıcıları tarafından yapılır; bu rehber hazırlık sürecine odaklanır.
Sürecin ana adımları
- Gereksinimi netleştirin: Müşterinizin hangi değerlendirme hedeflerini (ör. bilgi gizliliği, erişilebilirlik, prototip koruma, veri koruma) ve hangi seviyeyi istediğini yazılı olarak öğrenin.
- Kapsamı belirleyin: Değerlendirilecek lokasyonlar ve süreçler.
- ENX portalında kayıt: Şirket ve değerlendirme kaydı yapılır, değerlendirme sağlayıcısı seçilir.
- Öz değerlendirme ve boşluk analizi: VDA ISA soru kataloğu üzerinden mevcut olgunluk puanlanır.
- İyileştirme: Eksik kontroller uygulanır, kanıtlar hazırlanır.
- Değerlendirme: Seçilen seviyeye göre belge incelemesi, uzaktan veya yerinde değerlendirme yapılır.
- Düzeltici faaliyetler ve sonuç: Bulgular kapatılır; etiketler ENX platformunda paylaşılır. Etiketler genellikle üç yıl geçerlidir.
Değerlendirme seviyeleri
TISAX’ta değerlendirme seviyeleri (Assessment Level) incelemenin derinliğini belirler. AL1 öz değerlendirmedir ve etiket sağlamaz; AL2 genellikle belge incelemesi ve görüşmelere, AL3 ise kapsamlı yerinde incelemeye dayanır. Hangi seviyenin gerektiği işlenen bilgilerin koruma ihtiyacına ve müşterinin talebine bağlıdır.
VDA ISA 6 ile gelen değişiklikler
VDA ISA’nın 6. sürümü kataloğu ISO/IEC 27001:2022 yapısıyla daha uyumlu hale getirmiş ve ENX bununla birlikte etiket yapısında düzenlemeler duyurmuştur. Güncel etiket listesi ve geçiş kuralları için ENX yayınları esas alınmalıdır.
Denetimde sık istenen teknik kanıtlar
| Kontrol alanı | Örnek kanıt |
|---|---|
| Varlık yönetimi | Güncel donanım, yazılım ve bilgi varlığı envanteri, sahipleri |
| Erişim kontrolü | Erişim talep ve onay kayıtları, dönemsel erişim gözden geçirme tutanakları, MFA yapılandırması |
| Kimlik yönetimi | İşe giriş/ayrılış süreçleri ve kapatılan hesap kayıtları |
| Loglama ve izleme | Log kaynakları, saklama süresi, alarmların incelendiğine dair kayıtlar |
| Yedekleme | Yedek politikası, son geri yükleme testinin kaydı |
| Zafiyet yönetimi | Tarama raporları, yama süreleri, istisna kayıtları |
| Ağ güvenliği | Ağ şeması, segmentasyon, firewall kural gözden geçirme kaydı |
| Tedarikçi yönetimi | Tedarikçi değerlendirmeleri ve sözleşme güvenlik maddeleri |
| Olay yönetimi | Olay prosedürü, olay kayıtları, tatbikat raporu |
Pratik öneriler
- Her kontrol için “hangi belgeyi veya ekranı göstereceğiz?” sorusunu baştan cevaplayan bir kanıt matrisi hazırlayın.
- Politika yazmak yerine önce uygulamayı düzeltin; denetçi uygulamanın kanıtını görmek ister.
- Üretim yapan tedarikçilerde üretim ağına erişim ve tedarikçi bakım bağlantıları sıkça sorgulanır.
- ISO/IEC 27001 hedefi de varsa ortak kontrolleri tek çalışmada ele alın.
Hazırlık sürecini birlikte planlamak için TISAX Danışmanlığı, ISO hedefi için ISO 27001 Danışmanlığı ve BGYS Kurulumu, risk tarafı için Risk Değerlendirmesi, loglama kanıtları için SIEM ve Güvenlik Logları sayfalarımızı inceleyebilirsiniz.
- Teknoloji
- TISAX, VDA ISA
- Konu
- Uyum
- Seviye
- Başlangıç
Uyum ve TISAX