TISAX değerlendirmesi nedir ve hangi firmalar için zorunludur?
TISAX; Avrupa otomotiv üreticilerinin tedarikçilerinden talep ettiği standartlaştırılmış bilgi güvenliği değerlendirmesidir. Tasarım, prototip veya hassas veri paylaşımı yapan tedarikçilerin TISAX etiketine sahip olması zorunludur.
Kapsam Özeti: Otomotiv sanayiinde küresel üreticilerle çalışan tedarikçilere yönelik TISAX denetim hazırlığı ve bilgi güvenliği danışmanlığı.
Otomotiv Tedarik Zincirinde Küresel Güven Standardı
Alman Otomotiv Sanayi Derneği (VDA) tarafından geliştirilen ve ENX Association tarafından yönetilen TISAX (Trusted Information Security Assessment Exchange), Avrupa ve küresel otomotiv ana sanayiine (OEM) parça, kalıp, yazılım veya mühendislik hizmeti üreten tedarikçiler için vazgeçilmez bir bilgi güvenliği değerlendirme mekanizmasıdır.
TISAX klasik bir sertifikasyon süreci değildir; denetim bulgularının ENX portalı üzerinde standart etiketler (TISAX Labels) halinde üreticiler arasında paylaşıldığı bir güven ekosistemidir.
Danışmanlık ve Bağımsız Denetçi Ayrımı (Etik Çerçeve)
TISAX uyum sürecinde mesleki etik ve akreditasyon kurallarına tam bağlılıkla hizmet sunmaktayım:
- Danışmanlık Rolü: Kurumun mevcut durumunun VDA ISA kataloğuna göre analiz edilmesi, politikaların oluşturulması, fiziksel ve teknik kontrollerin uygulanması, ENX kayıt stratejisi ve prova denetim (Mock Audit) ile kurumu resmi denetime eksiksiz hazırlamaktır.
- Bağımsız Denetim Sağlayıcısı (Audit Provider): Resmî değerlendirme yalnızca ENX tarafından akredite edilmiş bağımsız denetim kuruluşları (örneğin TÜV SÜD, DEKRA, DQS vb.) tarafından yürütülür.
- Tarafsızlık Güvencesi: Hiçbir danışmanlık firması “sıfır bulgu” veya “TISAX etiketi garantisi” veremez; etiket kararı tamamen bağımsız denetçinin ve ENX değerlendirme komitesinin yetkisindedir. Bizim güvencemiz; sahada eksiksiz hazırlık, nesnel denetim kanıtları ve denetim anında uzman refakatidir.
VDA ISA 6.0 Kapsamı ve Assessment Level (AL2 vs AL3)
TISAX değerlendirmeleri, OEM müşterinizin talep ettiği koruma seviyesine göre iki ana düzeyde yürütülür:
- Assessment Level 2 (AL2 - Yüksek Güvenlik): Gizli ticari veriler ve standart tedarik zinciri ilişkileri için uygulanır. Denetim; kapsamlı dokümantasyon incelemesi ve uzaktan görüntülü mülakatlar yoluyla gerçekleştirilir.
- Assessment Level 3 (AL3 - Çok Yüksek Güvenlik & Prototip Koruması): Kritik fikri mülkiyet, kamuya açıklanmamış araç tasarımları, kamuflajlı test araçları veya özel yazılım kodları içeren projelerde zorunludur. Masa başı incelemeye ek olarak üretim sahasında yerinde fiziksel teftiş zorunludur.
Prototip Koruması (Prototype Protection) Denetim Hazırlığı
Talaşlı imalat, kalıphane, 3D modelleme veya test merkezlerinde prototip parçalarla çalışan tedarikçiler için VDA ISA “Prototip Koruması” özel modülü işletilir:
- Özel güvenlik alanlarının ve kontrollü erişim bölgelerinin (Zone 1 - Zone 3) belirlenmesi,
- Akıllı telefon ve kamera kayıt yasakları, cam filmleri ve perdeleme önlemleri,
- Prototip parçaların güvenli depolanması, kilitli kafes alanları ve lisanslı imha süreçleri,
- Test araçlarının ve kamuflajlı bileşenlerin lojistik güvenlik protokolleri.
5 Aşamalı Danışmanlık Yol Haritası
- ENX Portalı Kaydı ve Kapsam Kurgusu: Participant ID ve doğru Assessment Level içeren Scope ID’lerin hatasız tanımlanması.
- VDA ISA 6.0 Boşluk (GAP) Analizi: Bilgi güvenliği, üçüncü taraf bağlantıları, veri koruma ve prototip modüllerinde eksikliklerin tespiti.
- Politika Tasarımı ve Saha Düzenlemeleri: Kuruma özel güvenlik prosedürlerinin hazırlanması, OT/BT ağ izolasyonu ve fiziksel geçiş altyapısının uyarlanması.
- Tatbiki Denetim (Mock Audit): Gerçek denetim simülasyonu icra edilerek şirket içi ekiplerin mülakat hazırlığının test edilmesi ve açık bulguların kapatılması.
- Resmî Değerlendirme Refakati: Akredite denetçi firmayla olan denetim oturumlarında ve olası Düzeltici Eylem Planı (CAP) yönetiminde kuruma teknik eşlik edilmesi.
Somut Proje Çıktıları ve Teslimatlar
- VDA ISA 6.0 Öz Değerlendirme ve Olgunluk Raporu
- Kurumsal TISAX Bilgi Güvenliği Politika ve Talimatlar Seti
- Prototip ve Fiziksel Alan Güvenliği Denetim Raporu
- ENX Kapsam Tanımlama ve Başvuru Kılavuzu
- Prova Denetim (Mock Audit) Bulguları ve Kapanış Tutanağı
Kurumunuzun TISAX değerlendirme hazırlığını başlatmak ve OEM taleplerinize uygun kapsamı netleştirmek için iletişim sayfamızdan ön değerlendirme ve teklif talep edebilirsiniz.
Kimler için?
- Alman ve küresel otomotiv üreticilerine (OEM) parça ve yazılım tedarik eden şirketler
- Prototip tasarımı ve parça üretimi yapan mühendislik firmaları
- Otomotiv sektörüne yönelik Ar-Ge, bulut ve bilişim çözümleri geliştirenler
- TISAX değerlendirme şartı (AL2 / AL3) ile karşılaşan tedarikçiler
Kapsam
- VDA ISA (Information Security Assessment) Kataloğu Kapsamında Gap Analizi
- Değerlendirme Seviyesinin (Assessment Level - AL2 veya AL3) Belirlenmesi
- Bilgi Güvenliği, Prototip Koruması ve Veri Koruma Modülleri
- ENX Portalı Kayıt Süreçleri ve Kapsam Tanımlamaları (Scope Definition)
- TISAX Politikaları, Prosedürleri ve Fiziksel Güvenlik Düzenlemeleri
- Prototip Parça Depolama, Taşıma ve İmha Alanlarının Güvenlik Denetimi
- Akredite Denetçi Seçimi ve Denetim Sürecinde Eşlik Edilmesi
Yaklaşım
- Aşama 1: ENX Kaydı ve Kapsamın (Scope ID) Belirlenmesi
- Aşama 2: VDA ISA Öz Değerlendirmesi ve Eksikliklerin Tespiti
- Aşama 3: Eksik Kontrollerin Uygulanması ve Fiziksel/Teknik Düzenlemeler
- Aşama 4: Prova Denetim ve Düzeltici Faaliyetlerin Kapatılması
- Aşama 5: Denetim Süreci Desteği ve TISAX Etiketinin (Label) Alınması
Çıktılar
- VDA ISA Öz Değerlendirme Formu (Self-Assessment Sheet)
- TISAX Boşluk Analizi ve Düzeltici Eylem Planı
- Kurumsal TISAX Güvenlik Politikası ve Prosedürleri
- Prototip Koruma ve Özel Güvenlik Alanları Denetim Raporu
- Denetim Öncesi Hazırlık Raporu ve ENX Yayın Desteği
Sık Sorulan Sorular
TISAX bir sertifika mıdır?
TISAX klasik bir sertifika değildir; bir değerlendirme ve etiketleme (Label) mekanizmasıdır. Denetim sonucunda elde edilen etiketler ENX portalında paylaşılır ve otomotiv üreticileri tarafından doğrudan doğrulanır.
ISO 27001 belgemiz varsa TISAX almak kolaylaşır mı?
Evet, VDA ISA kataloğunun temel bilgi güvenliği şartları büyük ölçüde ISO 27001 ile örtüşür. Ancak TISAX prototip koruma, üçüncü taraf bağlantıları ve fiziksel denetim gibi otomotive özel ek şartlar getirir.
Hizmet Değerlendirmeleri ve Sorular
Bu danışmanlık hizmeti için henüz bir değerlendirme bulunmuyor. Hizmet kapsamı veya kurumsal ihtiyaçlarınız hakkındaki sorularınızı iletebilirsiniz.
Hizmet Hakkında Soru / Değerlendirme Gönder
Danışmanlık metodolojisi, denetim kapsamı veya kurumsal ihtiyaçlarınız hakkındaki sorularınızı paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.