TISAX (Trusted Information Security Assessment Exchange), otomotiv sektörüne özgü bilgi güvenliği değerlendirmelerini standartlaştıran ve sonuçlarını sektördeki kurumlar arasında paylaşılabilir hale getiren bir çerçevedir. Alman otomotiv sanayii derneği VDA tarafından geliştirilen değerlendirme kataloğuna dayanır ve ENX Association tarafından yönetilir. Temel fikri basittir: bir tedarikçi bir kez değerlendirilir, sonuç etiketi otomobil üreticileri arasında karşılıklı tanınır.

TISAX, otomotiv tedarik zincirinin ortak dili: bir kez değerlendir, herkesle paylaş; her üreticiye ayrı denetim yükünü ortadan kaldırır.

Hangi Sorunu Çözer?

Bir otomotiv tedarikçisi onlarca üreticiyle çalışır ve her biri kendi güvenlik denetimini talep ettiğinde tedarikçi aynı kanıtı defalarca üretmek zorunda kalır. TISAX bu tekrarlı yükü, tek bir değerlendirme ve paylaşılan bir sonuç etiketi ile ortadan kaldırır. Değerlendirmenin temelinde otomotiv gereksinimleriyle genişletilmiş bir Bilgi güvenliği yönetim sistemi yaklaşımı yatar; yani kurum kontrolleri tek tek değil, yönetilen bir sistem olarak kanıtlamak durumundadır.

Değerlendirme Seviyeleri

TISAX değerlendirmeleri, korunan bilginin hassasiyetine göre kademelenir. Düşük seviyede öz-değerlendirme yeterken, hassas veya çok hassas verilerde bağımsız denetçi tarafından yürütülen daha derin incelemeler gerekir. Bu seviyelendirme, değerlendirme çabasını verinin gerçek riskiyle orantılar.

• Seviye 1: kurumun kendi beyanına dayalı öz-değerlendirme
• Seviye 2: kanıt incelemesi ve uzaktan görüşme içeren değerlendirme
• Seviye 3: bağımsız denetçinin yerinde incelemesini kapsayan en kapsamlı seviye

Kapsam ve Diğer Standartlarla İlişkisi

TISAX kataloğu bilgi güvenliğinin yanı sıra prototip koruması ve veri gizliliği gibi otomotive özgü alanları da içerir. Kontrol yapısı büyük ölçüde ISO/IEC 27001 ile örtüşür; bir kurum halihazırda 27001 uyumluysa TISAX’a geçişi ciddi biçimde kısalır. Fark, TISAX’ın sektör gereksinimlerini eklemesi ve sonucu bir sertifika yerine paylaşılabilir bir değerlendirme etiketi olarak sunmasıdır.

Üretim ve mühendislik giderek buluta taşındıkça, TISAX kapsamı da tedarikçinin kullandığı bulut hizmetlerini içine alır. Bu yüzden bir TISAX hazırlığı, çoğu zaman paralel bir Bulut uyum denetimi çalışmasıyla birlikte yürür; prototip verilerinin işlendiği bulut ortamlarının kontrolleri de değerlendirmeye dahil olur.

Bir kurumun TISAX seviyesini ilk denemede geçmesi, büyük ölçüde mimari ve süreç boşluklarının değerlendirmeden önce kapatılmasına bağlıdır. Değerlendirmeye girmeden önce yapılan bağımsız bir altyapı ve mimari gözden geçirme, kataloğun beklediği kontrollerle mevcut durum arasındaki farkı somutlaştırır ve pahalı bir tekrar değerlendirme riskini düşürür.