TISAX: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Dowiedz się, jakie cele, jaki poziom i jaką część firmy oznacza prośba partnera.

1. 1.1

   zapytaj partnera, czego wymaga

   Zapytaj każdego partnera, który wspomniał o TISAX, jakich celów oceny i jakiego poziomu wymaga, czy zaakceptuje etykietę tymczasową na czas dokończenia prac i do kiedy chce mieć etykietę. Zapisz każdą odpowiedź z datą i osobą kontaktową.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   lista partnerów, cele i poziom, których wymaga każdy, oraz co każdy by zaakceptował

   dowód, który zostaje

   lista ze źródłem każdej odpowiedzi

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 1.2

   rozpisz informacje, które obsługujesz dla partnera

   Wypisz, jakie informacje partnera, prototypy lub dane osobowe obsługujesz, gdzie się znajdują i kto ich dotyka. Cel oceny wynika z rodzaju informacji, więc ta lista jest tym, z czym porównujesz wymóg.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   lista informacji partnera, systemów, lokalizacji i osób

   dowód, który zostaje

   lista z właścicielem i datą

   zabezpieczenie: asset-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 1.3

   zdecyduj, czy przystępujesz

   Zdecyduj, czy poddać się ocenie teraz, później, czy wcale, i wskaż właściciela na poziomie zarządu. Zestaw kontrakt, o który chodzi, z pracą i wyceną dostawcy audytu, gdy ją dostaniesz.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja wskazująca właściciela i cele, o które się ubiegasz

   dowód, który zostaje

   protokół z tej decyzji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Zapisz, co obejmuje ocena, i zarejestruj firmę w ENX.

1. 2.1

   określ zakres na piśmie

   Wskaż lokalizacje, procesy i systemy, które obsługują informacje partnera, i zapisz, co jest poza zakresem. Obejmij każdą część, która je obsługuje, bo węższy zakres może nie spełnić wymogu partnera. Ustal go przed prośbą o wycenę, ponieważ zakres rejestruje ENX i potem nie zmienisz go sam.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   opis zakresu z lokalizacjami, procesami, celami i tym, co jest poza nim

   dowód, który zostaje

   opis zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   zarejestruj się jako uczestnik

   Zarejestruj firmę w ENX, podając zakres i osoby kontaktowe, i zaakceptuj warunki uczestnictwa. Robi to osoba, która może zobowiązywać firmę. Otrzymasz identyfikator uczestnika, którego potrzebujesz do zamówienia oceny.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   zarejestrowany uczestnik z identyfikatorem uczestnika

   dowód, który zostaje

   potwierdzenie ENX i zarejestrowany zakres

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 2.3

   wskaż osoby kontaktowe i lidera

   Wskaż osobę, która prowadzi ocenę, osobę odpowiadającą za bezpieczeństwo informacji i osoby, z którymi porozmawia dostawca audytu. Daj im na to czas.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   wskazany lider i lista osób do rozmów

   dowód, który zostaje

   lista zatwierdzona przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Porównaj to, co robisz, z tym, czego wymaga aktualny katalog ISA, i zamień różnice w pracę.

1. 3.1

   weź aktualny katalog i przeczytaj go

   Pobierz aktualny katalog ISA z VDA lub ENX i daj go liderowi. Ten plan go nie odczytał. Zapytaj dostawcę audytu, której wersji katalogu dotyczy Twoje zamówienie.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   wersja katalogu, która obowiązuje, w rękach lidera

   dowód, który zostaje

   odnotowana wersja z datą i źródłem

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 3.2

   oceń się samodzielnie względem katalogu

   Przejdź przez katalog dla potrzebnych celów z osobami, które prowadzą systemy, i zaznacz, co spełniasz, co spełniasz częściowo i czego brakuje. Trzymaj się zakresu. Praca wykonana dla ISO 27001 lub dla przepisu pokrywa jego część.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   wypełniona samoocena z odnotowanym dowodem przy każdej pozycji

   dowód, który zostaje

   samoocena z datą, podpisana przez lidera

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 3.3

   ułóż luki w jeden plan prac

   Ułóż luki w kolejności zależności, daj każdej właściciela i termin i zdecyduj, co na razie akceptujesz. Plan zatwierdza zarząd.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uporządkowany plan prac z właścicielami i terminami

   dowód, który zostaje

   plan zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wprowadź zasady i zabezpieczenia dla wszystkiego, co jest w zakresie, i zachowaj dowody.

1. 4.1

   napisz zasady i wskaż role

   Napisz politykę bezpieczeństwa i zasady, których wymaga lista luk, wskaż, kto decyduje i kto za co odpowiada, i przeprowadź analizę ryzyka dla zakresu. Zapisz, kto zaakceptował każde ryzyko.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   podpisana polityka, tabela ról i rejestr ryzyka dla zakresu

   dowód, który zostaje

   dokumenty z wersją i zatwierdzeniem

   strona pracyzabezpieczenie: risk-register

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 4.2

   uporządkuj dostępy i monitorowanie

   Zbuduj lub popraw to, kto ma dostęp do informacji partnera: prawa dostępu, przeglądy i logi. Zapisz dla każdego zabezpieczenia, co robi i kto je prowadzi.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zabezpieczenia dostępu i logowania działające dla zakresu, z krótkim opisem każdego

   dowód, który zostaje

   opisy oraz ustawienia lub zapisy pokazujące, że każde działa

   strona pracyzabezpieczenie: access-reviews

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 4.3

   ustaw obsługę incydentów i odtwarzanie

   Wprowadź sposób wykrywania, zgłaszania i obsługi incydentu, który dotyka informacji partnera, oraz odtwarzania z kopii zapasowej. Uzgodnij z partnerem, o czym oczekuje informacji.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   procedura incydentów i zapis testu odtwarzania

   dowód, który zostaje

   procedura i zapis testu

   strona pracyzabezpieczenie: incident-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 4.4

   objmij zakresem dostawców i ludzi

   Posortuj dostawców, którzy dotykają informacji partnera, według tego, do czego mają dostęp, i wpisz warunki do umów. Przeszkol osoby w zakresie i zachowaj zapis. Przy ochronie prototypów dodaj zasady fizyczne i postępowania, których wymaga cel oceny.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr dostawców z warunkami umów i zapis szkoleń

   dowód, który zostaje

   rejestr, otrzymane odpowiedzi i lista obecności

   strona pracyzabezpieczenie: supplier-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

5. 4.5

   domknij obowiązki dotyczące danych osobowych, gdy wymaga ich cel

   Jeśli wybrałeś cel dla danych osobowych przetwarzanych dla partnera, sprawdź z prawnikiem warunki powierzenia, rejestry i środki bezpieczeństwa. Etykieta TISAX dla tego celu nie jest zgodnością z RODO.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   notatka o tym, czego wymaga cel i co pokazują umowy i rejestry

   dowód, który zostaje

   notatka i warunki umów, do których odsyła

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wybierz dostawcę audytu, przejdź ocenę i zajmij się tym, co wykryje.

1. 5.1

   wybierz dostawcę audytu i uzgodnij zakres

   Poproś kilku dostawców audytu zatwierdzonych przez ENX o wycenę Twojego zakresu, celów i poziomu i porównaj, co każdy obejmuje. Zapytaj, jak przebiega ocena i której wersji katalogu używa, i zapisz odpowiedzi.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wybrany dostawca audytu i pisemna oferta na zakres

   dowód, który zostaje

   oferty i pisemne odpowiedzi

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   przygotuj dowody i ludzi

   Zbierz polityki, rejestry, zapisy i dowody zabezpieczeń w jednym miejscu, ułożone według katalogu, i przygotuj osoby, z którymi będą rozmowy. Pomaga mapa dowodów.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   folder z dowodami i lista osób do rozmów

   dowód, który zostaje

   folder, każda pozycja z datą

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 5.3

   przejdź ocenę i odpowiedz na ustalenia

   Daj dostawcy audytu dostęp, odpowiadaj na pytania i zapisuj każde ustalenie. Przy ustaleniu drobnym uzgodnij plan działań korygujących, bo od niego zależy etykieta tymczasowa. Przy ustaleniu poważnym usuń najpierw przyczynę, bo etykieta nie pojawi się, dopóki problem nie zostanie rozwiązany.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z oceny, odpowiedzi na ustalenia i plan działań korygujących

   dowód, który zostaje

   raport, odpowiedzi i zapisy zamknięcia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 5.4

   przeczytaj etykiety i powiedz, co obejmują

   Sprawdź w portalu ENX, które etykiety masz, dla jakiego zakresu i kiedy wygasają. Używaj ich tak, jak są zapisane, gdy odpowiadasz partnerowi. Nie opisuj etykiety jako certyfikatu ani jako zgodności z przepisem.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   krótki opis tego, co obejmują etykiety, dla sprzedaży i prawników

   dowód, który zostaje

   widok z portalu i ten opis

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Daj partnerom wynik, który wybierzesz, i odnów przed wygaśnięciem etykiet.

1. 6.1

   zdecyduj, kto widzi wynik

   Domyślnie wynik widzisz tylko Ty. Zdecyduj, czy opublikować go w społeczności TISAX, udostępnić wskazanemu partnerowi, czy zachować dla siebie, i z jakim poziomem szczegółów. Publikacji ani udostępnienia nie da się cofnąć, więc zdecyduj przed kliknięciem.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o publikacji i udostępnianiu, per partner

   dowód, który zostaje

   decyzja i ustawienia w portalu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 6.2

   ustaw termin odnowienia i utrzymuj system

   Wpisz datę wygaśnięcia etykiet do kalendarza i zacznij odnowienie wcześnie, bo ENX zaleca start co najmniej rok wcześniej. W międzyczasie utrzymuj zabezpieczenia i dowody na bieżąco i powtarzaj samoocenę, gdy zmienia się zakres.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   kalendarz odnowienia i coroczne sprawdzenie własne

   dowód, który zostaje

   kalendarz i sprawdzenie z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   zgłoś zmianę zakresu

   Gdy się przeprowadzasz, dodajesz lokalizację albo zmienia się to, co obsługujesz dla partnera, zdecyduj, czy zakres się zmienia, i zapytaj ENX oraz dostawcę audytu, co to oznacza dla etykiet. Podręcznik mówi, że duża zmiana może skrócić ich ważność.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o zmianie zakresu z uzasadnieniem

   dowód, który zostaje

   decyzja i odpowiedź ENX

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)