TISAX, Güvenilir Bilgi Güvenliği Değerlendirme eXchange anlamına gelir ve otomotiv endüstrisi için özel olarak tasarlanmış bir siber güvenlik çerçevesidir. Alman Otomotiv Endüstrisi Derneği (Verband der Automobilindustrie veya VDA) tarafından Uluslararası Otomotiv Görev Gücü (IATF) ile işbirliği içinde 2017’nin başlarında geliştirilmiştir.
Bu çerçeve, otomotiv tedarikçileri ve servis sağlayıcıları için bilgi güvenliği değerlendirmelerine yönelik standart bir yaklaşım sağlamak üzere tasarlanmıştır. TISAX sertifikalı olmak için, bir kuruluşun nitelikli bir TISAX değerlendiricisi tarafından güvenlik değerlendirmesine tabi tutulması gerekir. Bu değerlendirme, kuruluşun bilgi güvenliği yönetim sistemini (ISMS) TISAX gerekliliklerine göre değerlendirir.
Değerlendirme tamamlandıktan sonra, kuruluşa işlediği bilgilerin hassasiyet seviyesine göre üç TISAX değerlendirme seviyesinden biri atanır. Hassasiyet seviyeleri şunları içerir:
- Temel: Yalnızca hassas olmayan bilgileri işleyen tedarikçiler için tasarlanmıştır. (Seviye 1)
- Orta: Hassas bilgileri işleyen ancak en yüksek koruma seviyesini gerektirmeyen bilgileri işleyen tedarikçiler için tasarlanmıştır. (Seviye 1)
- Yüksek: Kişisel veriler veya fikri mülkiyet gibi yüksek koruma seviyesi gerektiren bilgileri işleyen tedarikçiler için tasarlanmıştır. (Seviye 2)
- Çok Yüksek: Askeri düzeyde teknoloji veya ticari sırlar gibi en hassas bilgileri işleyen tedarikçiler için tasarlanmıştır. (Seviye 3)
ISO 27001, hassas bilgileri yönetme ve korumaya yönelik sistematik bir yaklaşım sağlayan yaygın olarak tanınan bir siber güvenlik çerçevesidir. Uluslararası Standardizasyon Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından geliştirilmiştir ve büyüklük veya sektörden bağımsız olarak her türlü kuruluşa uygulanabilir.
ISO 27001 standardı, bir bilgi güvenliği yönetim sistemi (ISMS/BGYS) için gereklilikleri belirten ve hassas bilgilerin güvenliğini yönetmek için bir çerçeve sağlayan ISO 27000 serisinin bir parçasıdır. Risk yönetimi, erişim kontrolü, olay yönetimi ve iş sürekliliği gibi konuları kapsar. Çerçeve, kuruluşların BGYS’ lerini kurmalarına, uygulamalarına, sürdürmelerine ve sürekli olarak iyileştirmelerine yardımcı olmak için tasarlanmıştır.
ISO 27001 sertifikalı olmak için, kuruluşunuzun BGYS’ sinin kapsamlı bir değerlendirmesini içeren titiz bir sertifika sürecinden geçmesi gerekir. Değerlendirme, kuruluşun ISO 27001 standardına uygunluğunu değerlendiren akredite bir sertifika kuruluşu tarafından gerçekleştirilir.
TISAX ve ISO 27001 Arasındaki Farklar
TISAX ve ISO 27001 arasında, özellikle kapsam söz konusu olduğunda, birkaç önemli fark vardır. Bu büyük ölçüde TISAX’ın otomotiv sektörüne özel odaklanmasından kaynaklanmaktadır. Şimdi bu farklılıklara bir göz atalım:
- Sektöre özgü odaklanma: TISAX, özellikle otomotiv sektörü için tasarlanmıştır ve tedarik zinciri boyunca üreticilerin verilerini güvence altına almaya odaklanır. Öte yandan, ISO 27001 şirketin verilerinin veya şirkete emanet edilen verilerin korunmasına olanak tanır ve sektörden bağımsız olarak her türlü organizasyona uygulanabilir.
- Yaklaşım: TISAX değerlendirmeleri nitelikli TISAX değerlendiricileri tarafından yürütülürken, ISO 27001 değerlendirmeleri akredite sertifika kuruluşları tarafından yürütülür.
- Seviyeler: Daha önce de belirttiğimiz gibi, TISAX üç seviyeli bir değerlendirme yaklaşımı kullanırken, ISO 27001’in yalnızca bir sertifika seviyesi vardır.
- Kriterler: TISAX, fiziksel güvenlik, olay yönetimi, iş sürekliliği ve erişim kontrolü gibi otomotiv sektörüne özgü ek gereksinimleri içerirken, ISO 27001, çok çeşitli bilgi güvenliği konularını kapsayan daha genel bir çerçevedir.
- Yönetim: TISAX’ın gereksinim kataloğu VDA tarafından yılda en az bir kez incelenirken, bir ISO standardının inceleme döngüsü tüm ISO üye kuruluşları tarafından en az beş yılda birdir.
- Sertifikasyon: TISAX değerlendirmeleri vaka bazında yürütülürken, ISO 27001 sertifikasyonu daha kapsamlı bir sertifika süreci gerektirir.
- Maliyet: TISAX değerlendirmeleri, TISAX değerlendirmeleri için gereken özel bilgi ve uzmanlık nedeniyle ISO 27001 değerlendirmelerinden daha pahalı olabilir. CFE Certification olarak UKAS, IAS ve TÜRKAK akredite denetim hizmeti sunmaktayız.
CFE Academy olarak Otomotiv sektörüne özel eğitimlerimiz için lütfen kataloğumuzu inceleyin: http://docs.cfecert.com/catalog/TR/CFECERT-OtomotivEgitimleri.pdf
Eğitim ve Belgelendirme hizmetlerimiz için daha fazla bilgiyi sales@cfecert.co.uk e-mail adresiyle iletişime geçerek alabilirsiniz.
