Otomotiv tedarik zincirindeki bilgi güvenliği gereksinimlerinizi; VDA ISA self-assessment, kapsam ve lokasyon belirleme, ISMS, fiziksel güvenlik, erişim kontrolü, tedarikçi yönetimi, iş sürekliliği, prototip koruması, veri koruma ve assessment readiness çalışmalarıyla uçtan uca ele alıyoruz.
TISAX®, otomotiv ekosisteminde iş ortaklarının bilgi güvenliği seviyelerini ortak bir değerlendirme yaklaşımıyla ortaya koymalarını sağlayan bir assessment ve sonuç paylaşım mekanizmasıdır.
Yaklaşımın temelinde VDA ISA gereklilikleri bulunur. Kuruluş; kendisine uygulanan assessment objective'lere göre Information Security, Prototype Protection ve Data Protection kriterlerini değerlendirir.
TISAX süreci yalnızca firewall, antivirüs veya network güvenliği projesi değildir. İnsan kaynakları, fiziksel güvenlik, varlık yönetimi, erişim kontrolü, tedarikçiler, iş sürekliliği ve olay yönetimi gibi kurumsal süreçlerin tamamını etkileyebilir.
Başarılı hazırlığın temel amacı denetimden hemen önce belge üretmek değil, güvenlik kontrollerini işletmenin günlük işleyişine yerleştirmek ve bunların uygulanabilir kanıtlarını oluşturmaktır.
VDA ISA kataloğu ve TISAX® assessment gereklilikleri zaman içerisinde güncellenebilir. Bu nedenle çalışma başında uygulanacak ISA sürümü, assessment objective'ler, protection need, assessment level ve lokasyon kapsamı doğrulanarak proje buna göre planlanır.
Hangi katalog ve gerekliliklerin uygulanacağı kuruluşun seçilen assessment objective'lerine bağlıdır.
Bilginin gizlilik, bütünlük ve erişilebilirliğini korumak için organizasyonel ve teknik güvenlik yönetiminin değerlendirilmesi.
Henüz kamuya açık olmayan araç, parça ve prototip bilgilerinin fiziksel ve organizasyonel risklere karşı korunması.
İş ortağı adına işlenen kişisel ve özel nitelikli verilerin korunmasına yönelik süreç ve kontrollerin değerlendirilmesi.
Assessment objective, hangi gerekliliklerin ve hangi değerlendirme yönteminin uygulanacağını belirleyen temel girdilerden biridir.
Yüksek gizlilik ihtiyacı bulunan bilgilerin güvenli biçimde işlenmesi.
Çok yüksek gizlilik ihtiyacı bulunan bilgilere yönelik daha yüksek güvence gereksinimi.
İş ortağının yüksek erişilebilirlik ihtiyacı bulunan hizmet ve süreçleri.
Çok yüksek erişilebilirlik beklentisi bulunan kritik hizmet ve operasyonlar.
Prototip parçaları, araçları, test araçları veya prototip etkinlikleriyle ilişkili koruma ihtiyaçları.
İş ortağı adına kişisel veri veya özel nitelikli veri işleme senaryoları.
Otomotiv müşteriniz size belirli bir TISAX® label veya assessment objective talebi ilettiyse proje kapsamının bu gereksinim üzerinden oluşturulması gerekir. Gereksiz objective seçimi hem proje hem assessment yükünü artırabilir.
Self-assessment ve ilgili kanıtların tutarlılığı bağımsız TISAX® Audit Provider tarafından değerlendirilir.
Uygulanan kontroller daha kapsamlı şekilde doğrulanır; süreçler, kanıtlar, ilgili kişiler ve yerel koşullar değerlendirmeye dahil edilir.
TISAX® assessment kapsamı, yalnızca merkez ofisin veya IT departmanının sınırlarından oluşmaz.
Seçilen assessment objective'ler açısından ilgili olan lokasyonlar, süreçler, çalışanlar, uygulamalar, sistemler ve diğer kaynakların değerlendirilmesi gerekir.
Proje başlangıcında kapsam dışında bırakılan ancak korunan bilgiyi işleyen bir lokasyon veya servis bulunması ilerleyen aşamada ciddi yeniden çalışma oluşturabilir.
Organizasyon, insan, fiziksel alan, IT ve tedarik zinciri kontrollerini birlikte değerlendirerek uygulama ve kanıt tarafında ilerliyoruz.
ISA gereklilikleri ile kuruluşun mevcut güvenlik seviyesi arasındaki farkların değerlendirilmesi.
Applicable kontrol sorularının sistematik biçimde incelenmesi ve maturity seviyelerinin değerlendirilmesi.
Bilgi güvenliği yönetiminin sorumluluk, politika ve yönetim mekanizmalarının oluşturulması.
Bilgi varlıklarını ve iş hedeflerini etkileyen güvenlik risklerinin sistematik yönetimi.
Bilgi, donanım, yazılım ve diğer önemli varlıkların sahiplik ve koruma gereksinimlerinin belirlenmesi.
Çalışanın işe girişinden görev değişikliğine ve ayrılışa kadar güvenlik gereksinimlerinin yönetilmesi.
Ofis, sunucu alanı, üretim ve kritik bölgelere fiziksel erişimin kontrol edilmesi.
Kullanıcıların yalnızca ihtiyaç duydukları bilgi ve sistemlere erişmesinin sağlanması.
Sistem, endpoint ve network operasyonlarında temel güvenlik kontrollerinin uygulanması.
Ağ erişimleri ve iletişim altyapısının uygun güvenlik kontrolleriyle korunması.
Bilgi veya sistemlere erişen üçüncü tarafların güvenlik risklerinin yönetilmesi.
Güvenlik olaylarının tespit, sınıflandırma, müdahale ve öğrenme süreçlerinin oluşturulması.
Kritik bilgi ve servislerin kesinti halinde sürdürülebilmesi veya geri döndürülebilmesi.
Prototip ürün, parça veya araçların bilgi ve fiziksel güvenlik gereksinimlerinin yönetilmesi.
Assessment objective kapsamında kişisel verilerin korunmasına ilişkin süreç ve güvenlik tedbirlerinin değerlendirilmesi.
Resmî assessment öncesinde açık aksiyonların, kanıtların ve süreç uygulamalarının son kez değerlendirilmesi.
ISA self-assessment içerisinde kontrol soruları maturity seviyesi yaklaşımıyla değerlendirilir.
Bir kontrolün yalnızca kâğıt üzerinde bulunması ile kuruluşa entegre, düzenli uygulanan, ölçülen ve sürekli geliştirilen bir süreç olması aynı değildir.
Gap analysis çalışmasında hedef yalnızca bir politika dokümanı oluşturmak değil, uygulanabilir kontrol ve objektif kanıt üretmektir.
Süreç mevcut değil veya amacını karşılamıyor.
Süreç uygulanıyor ancak yeterince yapılandırılmamış olabilir.
Süreç ve uygulanmasına ilişkin kanıtlar bulunur.
Standardize edilmiş süreç organizasyona entegre edilmiştir.
Süreç etkinliği ölçülür ve göstergelerle izlenir.
Sürekli iyileştirme sistematik olarak yürütülür.
Her kontrol sorusu için mevcut uygulama, maturity seviyesi, mevcut kanıtlar ve eksik aksiyonlar değerlendirilir.
Bilgi güvenliği yönetimi yalnızca firewall konfigürasyonu veya antivirüs ürününden oluşmaz.
Üst yönetim taahhüdü, sorumluluklar, politika yapısı, risk yönetimi, performans takibi ve iyileştirme mekanizmaları birlikte oluşturulmalıdır.
IT, insan kaynakları, satın alma, fiziksel güvenlik, kalite ve operasyon ekiplerinin görevleri açıkça tanımlanmalıdır.
Müşteri dokümanları, tasarımlar, sözleşmeler, teknik veriler ve proje bilgileri.
Bilgisayarlar, sunucular, mobil cihazlar ve diğer teknolojik varlıklar.
Kurumsal uygulamalar, işletim sistemleri, SaaS ve diğer yazılım varlıkları.
Kritik varlıkların kim tarafından yönetildiğinin açıkça belirlenmesi.
Bilginin hassasiyetine göre uygun koruma ve kullanım kurallarının belirlenmesi.
Oluşturma, kullanım, paylaşım, saklama ve güvenli imha süreçleri.
Görev ve güvenlik gereksinimleri değerlendirilir.
PRE-EMPLOYMENTKullanıcı, cihaz ve gerekli erişimler kontrollü oluşturulur.
JOINERKullanıcı güvenlik sorumlulukları konusunda eğitilir.
AWARENESSYetkiler yeni görev doğrultusunda tekrar değerlendirilir.
MOVERHesap ve erişimler zamanında sonlandırılır.
LEAVERBilginin güvenliği yalnızca bilgisayar ekranında başlamaz. Ofise, sunucu odasına veya kritik proje alanına yetkisiz fiziksel erişim de bilgi güvenliği riskidir.
Tesisin yapısına göre güvenlik bölgeleri, ziyaretçi süreçleri, kartlı geçiş, anahtar yönetimi ve kritik alan kontrolleri değerlendirilir.
Kullanıcı işlemlerinin kişiye özel hesaplar üzerinden yürütülmesi.
Kullanıcının yalnızca görevini yerine getirmek için gereken yetkilere sahip olması.
Risk ve sistem gereksinimine uygun ek kimlik doğrulama kontrolleri.
Yönetici yetkilerinin standart kullanıcı hesaplarından ayrılması.
Mevcut yetkilerin belirli periyotlarda gözden geçirilmesi.
Gereksiz veya eski kullanıcı erişimlerinin zamanında kaldırılması.
İşletim sistemi ve yazılım açıklarının kontrollü güncelleme süreçleriyle yönetilmesi.
Kullanıcı cihazlarının malware ve diğer tehditlere karşı korunması.
Network trafiğinin tanımlı güvenlik kurallarıyla kontrol edilmesi.
Kritik sistemlerin uygun network segmentleriyle ayrılması.
Uzaktan bağlantıların kontrollü ve güvenli yöntemlerle sağlanması.
Kritik sistem ve güvenlik olaylarının kayıt altına alınması.
Bilinen güvenlik zafiyetlerinin belirlenmesi ve risk bazlı yönetimi.
Kritik veri ve sistemlerin geri döndürülebilir şekilde yedeklenmesi.
Cloud sağlayıcıları, yazılım firmaları, dış IT hizmetleri veya diğer üçüncü taraflar kritik bilgilere ve sistemlere erişebilir.
Bu nedenle bilgi güvenliği yalnızca kurum içerisindeki kontrollerden oluşmamalı; tedarikçi ilişkilerindeki güvenlik gereksinimleri de yönetilmelidir.
Olay veya anomali tespit edilir.
DETECTIONOlay uygun kanala bildirilir.
REPORTEtki ve önem seviyesi belirlenir.
TRIAGEOlayın yayılması sınırlandırılır.
CONTAINMENTSistem ve servisler kontrollü geri döndürülür.
RECOVERYOlaydan öğrenilenlerle kontroller geliştirilir.
LESSONS LEARNEDBir siber olay, altyapı arızası veya başka bir kesinti durumunda kritik operasyonların nasıl devam edeceği önceden düşünülmelidir.
Kritik süreçler, sistem bağımlılıkları, yedekleme, geri dönüş yöntemleri ve sorumluluklar sistematik biçimde ele alınır.
Planın var olması tek başına yeterli değildir; uygun senaryolarla test edilmesi de gerekir.
Prototip koruması; dijital bilgilerin yanında fiziksel parça, araç, test alanı ve çalışma ortamlarının korunmasını da gerektirebilir.
Prototiplerin bulunduğu fiziksel alanlara erişimin kontrol edilmesi.
Yetkisiz görüntü ve kayıt alınmasına karşı kurallar oluşturulması.
Kritik alanlara ziyaretçi girişlerinin kontrollü yürütülmesi.
Parça kabul, kullanım, depolama ve imha süreçlerinin kontrolü.
Prototip ve test araçlarının yetkisiz görüntülenme veya erişime karşı korunması.
Prototiplerin tesis dışı hareketlerinde güvenlik kontrollerinin sürdürülmesi.
Seçilen assessment objective kapsamında veri koruma kriterlerinin uygulanması gerekiyorsa kişisel veri işleme süreçleri ayrıca değerlendirilir.
Veri işleme amaçları, sorumluluklar, üçüncü taraflar, erişimler, güvenlik tedbirleri ve veri ihlali süreçlerinin birbirleriyle uyumlu çalışması gerekir.
Veri hangi amaçla işleniyor?
Sorumluluk kimde?
Kim erişebiliyor?
Kimlerle paylaşılıyor?
Nasıl korunuyor?
İhlalde ne yapılacak?
Assessment sırasında kontrolün varlığını ve sürdürülebilir şekilde uygulandığını gösterebilecek objektif kanıtlar önem taşır.
Kuruluşun güvenlik yaklaşımını ve temel kurallarını tanımlar.
Kontrolün nasıl uygulanacağını açıklar.
Sürecin gerçekten yürütüldüğünü gösterir.
Teknik güvenlik kontrolünün gerçek sistem üzerindeki durumudur.
Sistem veya güvenlik olaylarının izlenebilir kayıtlarıdır.
Süreç sahibinin kontrolü gerçekten anlayıp uyguladığını doğrulamaya yardımcı olur.
Son aşamada yalnızca self-assessment dosyasını değil, kontrol uygulamalarını ve bunları destekleyen kanıtları birlikte değerlendiriyoruz.
Özellikle AL3 senaryolarında süreç sahiplerinin uygulamaları gerçekten bilmesi, fiziksel ortamın dokümantasyonla uyumlu olması ve teknik kontrollerin sahada doğrulanabilir olması önemlidir.
ENX Portal üzerinde participant ve assessment scope kayıt süreci.
ENX PORTALAssessment objective ve kapsamın belirlenmesi.
DEFINEISA üzerinden mevcut maturity seviyesinin değerlendirilmesi.
ISAENX tarafından onaylanmış bağımsız TISAX® Audit Provider seçimi.
SELECTApplicable assessment level doğrultusunda resmî değerlendirme.
ASSESSAssessment bulgularına yönelik gerekli aksiyonların gerçekleştirilmesi.
REMEDIATEGerekli düzeltmelerin değerlendirilmesi ve sonuçlandırılması.
VERIFYBaşarılı assessment sonucunda ilgili TISAX® label'ların oluşması.
RESULTAssessment sonuçlarının yetkilendirilen iş ortaklarıyla ENX Portal üzerinden paylaşılması.
SHAREUSS Teknoloji ve Danışmanlık; gap analysis, ISA self-assessment, süreç ve kontrol geliştirme, dokümantasyon, teknik iyileştirme ve assessment readiness çalışmalarında danışmanlık sağlar. Resmî TISAX® assessment, ENX tarafından onaylanmış bağımsız TISAX® Audit Provider tarafından gerçekleştirilir ve assessment sonucu ENX TISAX® mekanizması içerisinde yönetilir.
Müşteri talebi ve assessment objective beklentileri anlaşılır.
ÇIKTI: REQUIREMENTLokasyon, süreç ve sistem kapsamı değerlendirilir.
ÇIKTI: SCOPEApplicable kontrol soruları üzerinden mevcut durum belirlenir.
ÇIKTI: SELF ASSESSMENTMaturity ve kontrol eksiklikleri analiz edilir.
ÇIKTI: GAP REPORTAksiyonlar risk ve öncelik seviyesine göre planlanır.
ÇIKTI: ACTION PLANPolitika, rol ve sorumluluk yapısı oluşturulur.
ÇIKTI: ISMSGerekli bilgi güvenliği süreçleri uygulanır.
ÇIKTI: PROCESSIT ve siber güvenlik tarafındaki açıklar ele alınır.
ÇIKTI: CONTROLSFiziksel güvenlik gereksinimleri uygulamaya alınır.
ÇIKTI: SITE SECURITYİlgili personelin bilgi güvenliği farkındalığı geliştirilir.
ÇIKTI: AWARENESSKontrollerin uygulama kanıtları sistematik hale getirilir.
ÇIKTI: EVIDENCE SETKontroller ve kayıtlar tekrar değerlendirilir.
ÇIKTI: INTERNAL REVIEWAudit mantığıyla örnekleme ve görüşmeler gerçekleştirilir.
ÇIKTI: FINDINGSAçık konular kapatılarak resmî assessment hazırlığı tamamlanır.
ÇIKTI: READYPolitika, prosedür, talimat ve süreç tanımlarının uygunluğu.
Kontrolün gerçekten uygulandığını gösteren objektif kanıtlar.
Süreç sahiplerinin uygulamayı ne kadar bildiği.
Tanımlanan fiziksel güvenlik kontrollerinin gerçek durumu.
Sistem, ağ ve endpoint kontrollerinin uygulanma seviyesi.
Kontrolün tek seferlik değil, düzenli çalışan bir süreç olması.
Hayır. TISAX®, otomotiv sektöründeki bilgi güvenliği değerlendirme ve sonuç paylaşım mekanizmasıdır. Değerlendirmeler VDA ISA kriterleri üzerinden yürütülür ve süreç ENX tarafından yönetilir.
TISAX terminolojisinde assessment sonucunda ilgili assessment objective'lere karşılık gelen TISAX® label'ları oluşur. Sonuçların paylaşımı ENX Portal üzerinden yetkilendirilen katılımcılarla gerçekleştirilir.
TISAX® label'ları genel olarak üç yıl geçerlidir. Ancak assessment scope içerisinde önemli değişiklikler olduğunda durum ayrıca değerlendirilmelidir.
En doğru yaklaşım, otomotiv müşterisinin talep ettiği assessment objective veya label gereksinimini dikkate almaktır. Net gereksinim bulunmadığında işlenen bilginin koruma ihtiyacı ve iş ilişkisi değerlendirilmelidir.
AL2 ağırlıklı olarak self-assessment ve sunulan bilgilerin plausibility değerlendirmesine dayanırken AL3 daha kapsamlı doğrulama yaklaşımı kullanır ve süreç, kanıt, görüşme ve yerel koşulların incelenmesini içerebilir.
Hayır. İnsan kaynakları, satın alma, tesis yönetimi, üst yönetim, fiziksel güvenlik ve operasyon ekipleri de uygulanabilir gerekliliklerde önemli roller üstlenebilir.
Hayır. ISO/IEC 27001 tabanlı güçlü bir ISMS önemli avantaj sağlayabilir ancak TISAX® ve VDA ISA'nın assessment objective'e bağlı gereklilikleri ayrıca değerlendirilmelidir. Prototip koruması veya veri koruma gibi ilave alanlar da uygulanabilir.
Evet. Kontrollerin uygulanma biçimi kuruluşun büyüklüğü ve risk yapısıyla orantılı olabilir. Ancak applicable gerekliliklerin amacını karşılayacak sürdürülebilir kontroller ve kanıtlar yine oluşturulmalıdır.
ISA yapısında kontrol soruları için hedef maturity seviyesi genel olarak 3 seviyesidir. Bununla birlikte resmî değerlendirmede yalnızca sayısal değer değil, kontrolün oluşturduğu gerçek risk ve uygulanma kalitesi de önemlidir.
Her kuruluş ve her kontrol için tek tip bir penetration test şartı varsaymak doğru değildir. Uygulanacak teknik güvenlik faaliyetleri sistemlerin riskine, kullanılan teknolojilere ve applicable ISA gerekliliklerine göre değerlendirilmelidir.
Evet. Korunacak bilgi ve süreçler birden fazla lokasyonda yürütülüyorsa bunlar assessment scope içerisinde değerlendirilebilir. Kapsamın doğru kurgulanması projenin en kritik başlangıç adımlarından biridir.
Hayır. USS Teknoloji ve Danışmanlık hazırlık, gap analysis, uygulama ve assessment readiness danışmanlığı sağlar. Resmî TISAX® assessment yalnızca ENX tarafından onaylanan bağımsız TISAX® Audit Provider tarafından gerçekleştirilir.
TISAX® ve ENX®, ENX Association'ın tescilli markalarıdır. Bu sayfadaki TISAX® ifadeleri, USS Teknoloji ve Danışmanlık'ın ENX Association veya TISAX® ile kurumsal bağlılığı bulunduğu anlamına gelmez. USS Teknoloji ve Danışmanlık bağımsız danışmanlık hizmeti sunar ve resmî TISAX® assessment veya label düzenlemez.
Müşteri gereksiniminizi, assessment objective'lerinizi, lokasyonlarınızı, mevcut ISA self-assessment durumunuzu ve teknik altyapınızı birlikte değerlendirelim; gap analysis'tan assessment readiness aşamasına kadar uygulanabilir bir yol haritası oluşturalım.
