Příručka pro účastníky systému TISAX

Vítejte na stránkách TISAX určených k výměně hodnocení zabezpečení důvěrných informací.

Jeden z vašich partnerů vás požádal, abyste prokázali, že vaše správa zabezpečení informací odpovídá definované úrovni podle požadavků „Hodnocení zabezpečení informací“ (ISA). A vy teď chcete vědět, jak tomuto požadavku vyhovět.

Účelem této příručky je umožnit vám splnit požadavek vašeho partnera — nebo získat výhodu tím, že jej předejdete dříve, než o něj partner požádá.

Tato příručka popisuje kroky, které je třeba učinit, abyste mohli absolvovat hodnocení TISAX, a výsledek tohoto hodnocení sdílet s partnerem.

Zavedení a udržování systému správy zabezpečení informací (ISMS) je už tak složitý úkol. Prokázat partnerovi, že vaše správa zabezpečení informací je na úrovni, tuto náročnost ještě zvyšuje. Tato příručka vám s procesem správy zabezpečení informací nepomůže. Jejím cílem je však co nejvíce vám usnadnit práci při dokazování vaší snahy partnerovi.

Tato příručka se vztahuje na všechny postupy TISAX, kterých se případně účastníte.

Obsahuje vše, co potřebujete vědět, abyste procesy TISAX mohli absolvovat.

Příručka nabízí několik rad, jak se vypořádat s požadavky na zabezpečení informací, které jsou podstatou hodnocení. Jejím cílem však není poskytnout obecné informace o tom, co je třeba udělat, abyste hodnocením zabezpečení informací prošli.

Hlavním publikem této příručky jsou společnosti, které potřebují nebo chtějí doložit definovanou úroveň správy zabezpečení informací podle požadavků uvedených v dokumentu Hodnocení zabezpečení informací (ISA).

Jakmile se aktivně zapojíte do procesů TISAX, budou pro vás informace uvedené v této příručce přínosem.

Přínosem budou také pro společnosti, které od svých dodavatelů vyžadují doložení definované úrovně správy zabezpečení informací. Tato příručka jim umožní pochopit, jaké kroky musí učinit jejich dodavatelé, aby splnili jejich požadavek.

Začneme stručným představením systému TISAX a poté hned přejdeme k pokynům, JAK na to. Najdete zde vše, co potřebujete k projití procesu — v pořadí, které je potřeba znát.

Odhadovaná doba na přečtení dokumentu je 75–90 minut.

Dříve nebo později budete zřejmě chtít porozumět většině toho, co tento dokument obsahuje. Chcete-li být řádně připraveni, doporučujeme přečíst si celou příručku.

Strukturovali jsme příručku podle tří hlavních kroků postupu TISAX, takže můžete přejít k části, kterou potřebujete, a zbytek dočíst později.

V příručce jsou použity ilustrace, které vám pomohou k lepšímu porozumění. Barvy ilustrací mají často další význam. Proto doporučujeme číst dokument na obrazovce počítače nebo v barevné tištěné podobě.

Vážíme si vaší zpětné vazby. Pokud se domníváte, že v této příručce některá informace chybí nebo není srozumitelná, neváhejte nám to sdělit. Za vaše připomínky budeme vděčni jak my, tak všichni budoucí čtenáři této příručky.

Pokud jste již předchozí verzi příručky pro účastníky TISAX již používali, na konci dokumentu lze nalézt užitečné poznámky v Část 8, “Historie dokumentů”.

Jsme zde, abychom vás procesem TISAX provedli a zodpověděli všechny vaše případné dotazy.

V Německu nás můžete zastihnout v běžné pracovní době (UTC+01:00).

Všichni hovoříme anglicky a  německy. Jeden z kolegů je rodilý mluvčí italštiny.

Upozorňujeme na Část 7.13, “Příloha: Řízení stížností”.

Příručka pro účastníky TISAX je k dispozici v následujících jazycích a formátech:

Či spíše, proč jste tady?

V odpovědi na tuto otázku začneme několika úvahami o podnikání obecně a o ochraně informací zejména.

Představte si svého partnera. Disponuje důvěrnými informacemi. Chce se o ně podělit se svým dodavatelem — vámi. Spolupráce mezi vámi a vaším partnerem vytváří hodnotu. Informace, které s vámi váš partner sdílí, jsou důležitou součástí tohoto procesu vytváření hodnoty. Proto je chce náležitě chránit. A zároveň si chce být jistý, že vy s jeho informacemi nakládáte se stejnou péčí.

Kde ale může vzít jistotu, že jsou jeho informace v dobrých rukou? Nemůže vám jen tak „věřit“. Váš partner vyžaduje předložení nějakého důkazu.

Vynořují se dvě otázky. Kdo stanoví, co znamená „bezpečné“ nakládání s informacemi? A dále, jak to dokážete?

Vy a váš partner nejste sami, kdo těmto otázkám čelí poprvé. Odpovědi na ně musí hledat téměř každý a většina odpovědí bude vykazovat podobnosti.

Namísto toho, abyste pokaždé samostatně vymýšleli řešení společného problému, standardní způsob vás zbaví zátěže vytvářet vše od začátku. Definování normy sice představuje obrovské úsilí, ale vytvoří se jen jednou a ti, kdo se jí řídí, z ní pokaždé profitují.

Názory na to, jak správně chránit informace, se jistě liší. Z důvodu výše zmíněných výhod se však většina společností spokojí s normami. Norma je zhuštěná podoba všech osvědčených a časem prověřených nejvhodnějších postupů při řešení daného problému.

Ve vašem případě normy jako ISO/IEC 27001 (o systémech řízení zabezpečení informací neboli ISMS) a jejich realizace stanovují nejmodernější způsob bezpečného nakládání s důvěrnými informacemi. Takové normy vám ušetří nutnost pokaždé znovu vynalézat kolo. A co je ještě důležitější, normy poskytují společný základ v situaci, kdy si dvě společnosti potřebují vyměňovat důvěrné údaje.

Normy nezávislé na odvětví jsou ze své podstaty navrženy jako řešení univerzální, nikoliv řešení přizpůsobené specifickým potřebám automobilových společností.

Automobilový průmysl již před dlouhou dobou zřídil sdružení, jejichž cílem bylo — mimo jiné — zdokonalit a definovat normy, které by vyhovovaly konkrétnějším potřebám. Jedním z nich je „Verband der Automobilindustrie“ (VDA). V pracovní skupině, která se věnuje zabezpečení informací, dospělo několik členů z automobilového průmyslu k závěru, že mají podobné potřeby přizpůsobit stávající normy správě zabezpečení informací.

Jejich společné úsilí vedlo k vypracování dotazníku, který zahrnuje všeobecně přijímané požadavky automobilového průmyslu na zabezpečení informací. Nazývá se Hodnocení zabezpečení informací (ISA – Information Security Assessment).

Díky ISA máme nyní odpověď na otázku „Kdo definuje význam slova „bezpečný“?“ Skrze VDA tuto otázku zodpovídá svým členům samotný automobilový průmysl.

Zatímco některé společnosti používají ISA pouze k interním účelům, jiné jej využívají k hodnocení vyspělosti správy zabezpečení informací u svých dodavatelů. V některých případech je pro obchodní vztah plně dostačující vlastní hodnocení. V jistých situacích však společnosti provádějí kompletní hodnocení správy zabezpečení informací u svých dodavatelů (včetně auditů na místě).

Spolu se všeobecně rostoucím povědomím o potřebě správy zabezpečení informací a rozšiřujícím se zaváděním ISA jako nástroje k hodnocení zabezpečení informací se stále více dodavatelů střetávalo s podobnými požadavky ze strany různých partnerů.

Tito partneři nadále uplatňovali různé normy a na jejich výklad měli různé názory. Dodavatelé ale museli v zásadě prokazovat totéž, jen různými způsoby.

A čím častěji byli dodavatelé svými partnery vyzýváni, aby prokázali úroveň správy zabezpečení informací, tím hlasitější byly jejich stížnosti ve formě opakovaného úsilí. Předvádět auditorovi za auditorem stejná opatření v oblasti správy zabezpečení informací prostě není efektivní.

Co lze udělat pro to, aby to bylo efektivnější? Nepomohlo by, kdyby zprávu každého auditora bylo možné použít opakovaně pro různé partnery?

Výrobci originálního zařízení a dodavatelé v pracovní skupině ENX, která odpovídá za udržování ISA, vyslyšeli stížnosti svých dodavatelů. Teď svým dodavatelům i všem ostatním společnostem v automobilovém průmyslu nabízejí odpověď na otázku „Jak prokázat zabezpečení?“

Odpovědí je TISAX, zkratka pro „Trusted Information Security Assessment Exchange” ( „Výměna hodnocení zabezpečení důvěrných informací“).

Proces TISAX obvykle^[1] začíná tím, že jeden z vašich partnerů vás požádá, abyste prokázali, že deklarovaná úroveň správy zabezpečení informací je v souladu s požadavky „hodnocení zabezpečení informací“ (ISA). Abyste tomuto požadavku vyhověli, musíte dokončit třístupňový proces TISAX. V této části najdete přehled kroků, které musíte provést.

Třístupňový proces TISAX se skládá z následujících kroků:

Každý krok se skládá z hodnocení několika dílčích kroků. Ty jsou nastíněny ve třech níže uvedených částech a podrobně popsány v příslušných oddílech níže.

Vaším prvním krokem je registrace do systému TISAX.

Hlavním účelem registrace TISAX je získat informace o vaší společnosti. Abyste nám tyto informace mohli poskytnout, používáme registrační proces online.

Je to předpoklad všech následných kroků. Jako takový je zpoplatněn.

Během procesu registrace online:

Přímé zahájení tohoto kroku viz Část 4, “Registrace (1. krok)”.

Proces registrace online je podrobně popsán viz Část 4.5, “Proces registrace online”. Pokud však chcete začít ihned, přejděte na enx.com/en-US/TISAX/.

Druhým krokem je hodnocení zabezpečení informací.

To se skládá ze čtyř dílčích kroků:

Další informace o tomto kroku viz Část 5, “Hodnocení (2. krok)”.

Vaším třetím a posledním krokem je sdílení výsledku hodnocení s partnerem. Obsah zprávy o hodnocení TISAX je strukturován do úrovní. Můžete si určit, do které úrovně bude mít váš partner přístup.

Váš výsledek hodnocení je platný po dobu tří let. Za předpokladu, že pak budete stále dodavatelem vašeho partnera, musíte znovu absolvovat třístupňový proces^[3].

Další informace o tomto kroku viz Část 6, “Výměna (3. krok)”.

Teď, když máte základní představu o tom, co to proces TISAX je, jsou Vám v dalších částech k dispozici pokyny k provedení jednotlivých kroků.

Registrace do systému TISAX je váš první krok. Je to předpoklad všech následných kroků.

Průvodce registrací se nachází v následujících oddílech:

Nejprve si představme nový pojem, kterému je třeba porozumět. Doposud jste byli „dodavatelem“. Přicházíte, abyste splnili požadavek svého „zákazníka“. TISAX samotný však mezi těmito dvěma rolemi ve skutečnosti nerozlišuje. Pro TISAX je účastníkem každý, kdo se zaregistroval. Vy — i váš partner — se účastníte výměny výsledků hodnocení zabezpečení informací.

K rozlišení obou těchto rolí vás jakožto dodavatele budeme od počátku označovat jako „aktivního účastníka“. Vašeho partnera označujeme jako „pasivního účastníka“. Jako „aktivní účastník“ se necháváte hodnotit systémem TISAX a výsledek hodnocení sdílíte s ostatními účastníky. „Pasivním účastníkem“ je ten, kdo požádal o vaše hodnocení systémem TISAX. „Pasivní účastník“ obdrží výsledek vašeho hodnocení.

Jakákoli společnost může plnit obě role. Výsledek hodnocení můžete sdílet se svým partnerem a současně požádat své vlastní dodavatele o provedení hodnocení TISAX.

Požadavek na vlastní dodavatele, aby se nechali hodnotit systémem TISAX, může být dokonce obzvláště vhodný, pokud vaši vlastní dodavatelé nakládají také s informacemi vašeho partnera vyžadujícími ochranu.

V této části vám přinášíme doporučení, jak se na registraci připravit. Vlastní proces registrace detailně popisujeme v Část 4.5, “Proces registrace online”.

Dříve, než se do procesu registrace online pustíte, důrazně doporučujeme: