TISAX Assessment - tuv.com · Vorstellung TISAX 4 04.12.2017 TISAX Assessment TISAX (Trusted Information Security Assessment Exchange) dient einer unternehmensüber-greifenden Anerkennung

Informationssicherheit in der

Automobilindustrie.

TISAX Assessment

Ihre Referenten

2

Thomas Mörwald

Management Security Consultant

Thomas Quietmeyer


Agenda

04.12.2017 TISAX Assessment3

Kapitel Thema

Ablauf TISAX Assessment2

Tipps & Erfahrungswerte3

Vorstellung TISAX1

Vorstellung TISAX


TISAX

(Trusted Information Security

Assessment Exchange) dient

einer unternehmensüber-

greifenden Anerkennung von

Assessments der Informations-

sicherheit in der Automobil-

industrie und schafft hierfür

einen gemeinsamen Prüf-

und Austauschmechanismus.

Vorstellung TISAX


VORTEILE

Assessments beruhen auf dem VDA Fragebogen zur

Informationssicherheit (ISA – Information Security Assessment)

Doppel- und Mehrfachprüfungen gehören somit der

Vergangenheit an

Geprüftes Unternehmen hat volle Kontrolle über Assessment-

ergebnisse und kann entscheiden mit wem es diese teilen will

Die Erneuerung von bestehenden Lieferantenbeziehungen

wird erleichtert

Die Möglichkeit zur Begründung gänzlich neuer Geschäfts-

beziehungen wird durch die branchenweite Anerkennung

eröffnet

Standardisierung schafft Preistransparenz für Assessments

Vorstellung TISAX


Übersicht Assessment Level (AL)

Assessment Level Beschreibung Schutzbedarf

AL1 Selbstauskunft des Auditee, Prüfung der Existenz der Selbstauskunft

des Auditee

Normaler Schutzbedarf

AL2 Plausibilitätsprüfung der kommentierten Selbstauskunft

(inklusive Reifegradeinschätzung) und ein telefonisches Interview

Hoher Schutzbedarf(*)

AL3 Komplettes Assessment vor Ort, inklusive Begehung relevanter

Räumlichkeiten

Sehr hoher

Schutzbedarf(*)

(*) meistens, jedoch nicht immer liegt dieser Schutzbedarf vor

Vorstellung TISAX


Übersicht Zusatzmodule

Zusatzmodul Beschreibung Bemerkung

Anbindung Dritter Anforderungen, wenn Flächen durch einen Lieferanten oder

Dienstleister angemietet werden und in dieser Liegenschaft eine

Verbindung ins fremde Unternehmensnetz etabliert wurde.

Vor Ort Assessment

nötig, nur in Verbindung

mit AL2 oder AL3

Prototypenschutz Anforderungen im Umgang mit Prototypen und Teilen eines

Prototypen.

Vor Ort Assessment

nötig, nur in Verbindung

mit AL2 oder AL3

Datenschutz In Übereinstimmung mit §11 BDSG (Auftragsdatenverarbeitung).

Vorstellung TISAX


Reifegrade

Level Bezeichnung Beschreibung

0 Unvollständig Prozess nicht implementiert oder sein Zweck wird nicht erreicht

1 Durchgeführt Prozess erfüllt seinen Zweck; Nachweise über Prozessergebnisse vorhanden; Basispraktiken

sind vorhanden, werden durchgeführt und liefern geeignete Arbeitsergebnisse

2 Gesteuert Steuerung der Prozessdurchführung (Ziele definiert, Ausführung geplant und überwacht, Verant-

wortlichkeiten zugewiesen); Management der Arbeitsprodukte (Anforderungen definiert, werden

dokumentiert, überwacht und angepasst)

3 Etabliert

(eingeführt)

Standard Prozess ist definiert und mit weiteren Unternehmensprozessen verbunden; Verant-

wortlichkeiten und Befugnisse zugeteilt; Ressourcen und Infrastruktur bereitgestellt; Daten zur

Analyse der Wirksamkeit werden erhoben

4 Vorhersagbar Prozessmessung (Ziele & Kennzahlen definiert); Prozesskontrolle (Messwerte werden

ermittelt und ausgewertet, Korrekturmaßnahmen werden bestimmt und umgesetzt)

5 Optimierend Prozessinnovation (Ziele zur Prozessverbesserung definiert, Umsetzungsstrategie definiert);

kontinuierliche Optimierung (Auswirkungen von Änderungen bewertet, Umsetzung gesteuert,

Wirksamkeit von Änderungen beurteilt)

Vorstellung TISAX


Klassifizierungen von Findings

Klasse Definition

Major Non-Conformity Nichtübereinstimmung zu einer oder mehreren Anforderungen eines Controls,

welche an der Gesamteffektivität des ISMS zweifeln lässt oder zu einem signifikanten

Informationssicherheitsrisiko führt.

Minor Non-Conformity Isolierte oder vereinzelte Fehler. Nichtübereinstimmungen oder Defizite während der

Umsetzung der Anforderungen oder eigener Richtlinien, welche weder die Gesamteffektivität

des ISMS in Frage stellen noch zu einem signifikanten Informationssicherheitsrisiko führen.

Observation Verstoß, welcher nicht als Non-Conformity gewertet werden kann bezüglich der Anforderungen

oder eigener Richtlinien, aber welcher weiter untersucht werden muss, um die Möglichkeit eines

daraus entstehenden Informationssicherheitsrisiko in Zukunft abzuschätzen.

Improvement Verstoß, welcher nicht in eine der oberen Klassen eingruppiert werden kann und welcher keine

Gefahr für die Informationssicherheit darstellt, aber dennoch Raum zur Verbesserung bietet.

Vorstellung TISAX


Gesamtbetrachtung Assessment

1Abweichungen des tatsächlichen Reifegrads zum Zielreifegrad von bis zu

10% sind tolerierbar, so lange dadurch keine Sicherheitsrisiken entstehen.

2Abweichungen des tatsächlichen Reifegrads zum Zielreifegrad von über 30% sind als

Major Non-Conformity zu betrachten, unabhängig ob dadurch ein Risiko entsteht oder nicht.

3Mehrere Minor Non-Conformities, welche auf ein systematisches Problem

des ISMS hinweisen sind als Major Non-Conformity zu bewerten.

4Major Non-Conformities bei welchen durch angemessene kompensierende Maßnahmen die

drohende Gefahr beseitigt wird, sind als Minor Non-Conformities zu bewerten.

Agenda


Kapitel Thema

Vorstellung TISAX1



Ablauf TISAX Assessments


Übersicht Assessments

ERSTBEAUFTRAGUNG FOLGEBEAUFTRAGUNG

Initial

Assessment

Corrective Action

Plan AssessmentFollow-Up

Auditee mit

Ergebnis

zufrieden

Auditee entscheidet sich gegen temporäres Label

Initial Assessment

Bericht

Assessment with

Corr. Action Bericht

Auditee mit

Ergebnis

zufrieden

Follow-Up

Assessment Bericht

Auditee mit

Ergebnis

zufrieden

Audit Vorgang beendetAudit Vorgang beendet Audit Vorgang beendet


AL2 Assessment

Ausfüllen der kommentierten Selbstauskunft und Zusendung an

TÜV Rheinland i-sec GmbH [Kunde]

Erstellung des Entwurfes des Initial Assessment

Berichts durch den Auditor [TÜV Rheinland i-sec GmbH]

Für das Follow-Up Assessment ist

eine Neubeauftragung nötig [Kunde]

Closing Meeting und Corrective Action Plan Assessment:

Besprechung des Berichts, der Findings und der Maßnahmen

[Kunde + TÜV Rheinland i-sec GmbH]

Telefonisches Assessment ausgewählter

Controls [Kunde + TÜV Rheinland i-sec GmbH]

Erstellung und Zustellung des endgültigen Assessment

Berichts, inklusive der Findings und Maßnahmen – Projekt

ist damit beendet [TÜV Rheinland i-sec GmbH]


10

8

7

6

1

2

4

5

3Plausibilitätsprüfung der kommentierten Selbstauskunft

(inklusive Reifegradeinschätzung) durch den

Auditor [TÜV Rheinland i-sec GmbH]

Durchführung Kick-off, Klärung und Vorbereitung von organi-

satorischen und technischen Voraussetzungen für das

Assessment [Kunde + TÜV Rheinland i-sec GmbH]

9

Review des Initial Assessment Berichts und Entwicklung von

Maßnahmen für jede Non-Conformity (Corrective Action Plan) [Kunde]

<Zeit … Kunde behebt Findings … Zeit>


Initial Assessment bei AL3

Review des Initial Assessment Berichts und Entwicklung von

Maßnahmen für jede Non-Conformity (Corrective Action Plan)

[Kunde]

Für das Follow-Up Assessment ist

eine Neubeauftragung nötig [Kunde]

Closing Meeting und Corrective Action Plan Assessment:

Besprechung des Berichts, der Findings und der Maßnahmen


Erstellung des Entwurfes des Initial Assessment

Berichts durch den Auditor [TÜV Rheinland i-sec GmbH]

Erstellung und Zustellung des endgültigen Assessment

Berichts, inklusive der Findings und Maßnahmen – Projekt

ist damit beendet [TÜV Rheinland i-sec GmbH]

<Zeit … Kunde behebt Findings … Zeit>


9

8

7

6

2

4

5

3Durchführung eines Assessments vor Ort,

inklusive Begehung relevanter Räumlichkeiten


Durchführung Kick-off, Klärung und Vorbereitung von organi-

satorischen und technischen Voraussetzungen für das

Assessment [Kunde + TÜV Rheinland i-sec GmbH]

1

Ausfüllen der kommentierten Selbstauskunft und Zusendung an

TÜV Rheinland i-sec GmbH [Kunde]

Agenda


Kapitel Thema

Vorstellung TISAX1



Tipps & Erfahrungswerte


Der VDA ISA Katalog findet sich hier:

https://www.vda.de/de/themen/sicherheit-und-standards/informationssicherheit/informationssicherheit-

sicherheitsanforderungen.html

Er ist wie folgt unterteilt:

Er ist wie folgt zu lesen:

https://www.vda.de/de/themen/sicherheit-und-standards/informationssicherheit/informationssicherheit-sicherheitsanforderungen.html

Tipps & Erfahrungswerte


Registrierung bei ENX nicht vergessen!

Zeit nehmen für die Selbstauskunft – insbesondere bei AL2

Richtige Teilnehmer für TISAX Assessment identifizieren

TISAX nutzt die ISO27001, ist aber keine ISO27001 Zertifizierung

TISAX Participant Handbook:

http://www.enx.com/tisax/files/downloads/TISAX-Participant-Handbook-Version-1.0.pdf

http://www.enx.com/tisax/files/downloads/TISAX-Participant-Handbook-Version-1.0.pdf

Kontakt

Thomas Mörwald


[email protected]

+49 221 56783 501

TÜV Rheinland i-sec GmbH

Am Grauen Stein

51105 Köln

www.tuv.com/tisax

Thomas Quietmeyer


[email protected]

+49 221 56783 501

TÜV Rheinland i-sec GmbH

Am Grauen Stein

51105 Köln

www.tuv.com/tisax

http://www.tuv.com/informationssicherheit

http://www.tuv.com/informationssicherheit

VIELEN DANK FÜR IHRE AUFMERKSAMKEIT!

Regelmäßig aktuelle Informationen im

Newsletter und unter www.tuv.com/informationssicherheit

19

Documents

TISAX Assessment - tuv.com · Vorstellung TISAX 4 04.12.2017 TISAX Assessment TISAX (Trusted Information Security Assessment Exchange) dient einer unternehmensüber-greifenden Anerkennung