TISAX 참가자 안내서

범위 설명은 평가 범위를 정의합니다. 범위 설명은 다음 두 가지 유형 중에서 하나를 선택해야 합니다.

표준 범위에 대해서는 다음 섹션에서 설명합니다. 표준 범위는 거의 모든(99% 이상) 참가자에게 적합한 선택입니다. 그러므로 맞춤 범위에 대해서는 다음 섹션에서만 설명합니다. 섹션 7.8, “부록: 맞춤 범위”.

표준 범위 설명은 TISAX 평가의 근거입니다. 다른 TISAX 참가자들은 표준 범위 설명에 근거한 평가 결과만 수락합니다.

표준 범위 설명은 미리 정의되어 있어 변경할 수 없습니다.

표준 범위를 사용하면 정의를 직접 생각해 낼 필요가 없다는 중요한 이점이 있습니다.

다음은 표준 범위 설명(2.0 버전)입니다.

표준 범위 선택이 적극 권장됩니다. 모든 TISAX 참가자는 표준 범위에 근거한 정보 보안 평가 결과를 수락합니다.

범위 유형을 정의한 다음에는 평가 범위에 포함되는 위치를 결정하는 작업을 수행해야 합니다.

귀사의 규모가 작은 경우(위치 1개) 이 일은 쉽습니다. 간단히 해당 위치를 평가 범위에 추가하기만 하면 됩니다.

회사 규모가 큰 경우 평가 범위를 한 개보다 많이 등록하는 방법을 고려할 수 있습니다.

귀사의 모든 위치를 포함하는 범위가 하나만 있으면 다음과 같은 장점이 있습니다.

하지만 범위가 하나뿐이면 다음과 같은 단점이 있을 수 있습니다.

범위를 하나만 지정할지 아니면 몇 개 지정할 것인지의 문제에는 귀사만 답할 수 있습니다. 하지만 다음 도표에 있는 질문에 답하면 결정하는 데 도움이 될 수 있습니다.

이제 평가 범위에 포함되는 위치를 결정했으므로 위치 관련 정보를 계속 수집할 수 있습니다.

각 위치마다 회사 이름과 주소 같은 정보가 요청됩니다. TISAX 감사 제공자가 회사 구조를 더 잘 알 수 있도록 몇 가지 추가 정보도 요청됩니다. 답변을 근거로 제공자의 작업량이 추산됩니다.

각 위치에 대해 다음과 같은 세부 정보를 제공할 수 있도록 준비하십시오(빨간색 별표 * 는 온라인 프로세스에서 필수인 정보를 나타냄).

각 위치마다 “location name”( “위치 이름”)을 지정해야 합니다. 위치 이름은 위치를 평가 범위에 할당할 때 위치를 더 쉽게 지칭하기 위한 목적으로 사용됩니다.

다음 패턴에 따라 위치 이름을 지정하는 방법이 권장됩니다.

각 범위마다 “scope name”( “범위 이름”)을 지정해야 합니다. 범위 이름은 주로 ENX 포털의 범위 요약 목록에서 범위를 쉽게 식별하기 위한 목적으로 사용됩니다. 독자와 동료들에게 도움이 되는 이름을 지정해야 합니다. 외부 통신에는 범위 ID를 사용해야 합니다.

원하는 이름을 지정할 수 있습니다. 하지만 같은 범위 이름을 한 개보다 많은 범위에 지정해서는 안 됩니다.

나중에 TISAX 평가를 갱신하고 싶으면 새 범위(현재 범위와 동일할 수 있음)를 만들어야 합니다. 그러므로 범위 이름에 평가 연도를 추가하는 것이 좋습니다.

다음 패턴에 따라 범위 이름을 지정하는 방법이 권장됩니다.

ENX 협회는 귀사와 연락을 주고받기 위해 귀사의 연락 담당자에 대한 정보를 수집합니다.

귀사(TISAX 참가자)의 전체 연락 담당자 한 명 이상과 각 평가 범위의 연락 담당자 한 명 이상에 대한 정보가 요청됩니다. 추가 연락 담당자 정보를 제공하기로 선택할 수 있습니다.

등록을 준비하는 동안 누가 귀사의 연락 담당자가 될 것인지 결정해야 합니다.

연락 담당자에 대한 다음과 같은 세부 정보가 요청됩니다.

TISAX의 주 목적은 평가 결과를 다른 TISAX 참가자를 위해 게시하고 평가 결과를 파트너(들)와 공유하는 것입니다.

평가 결과 게시 및 공유에 대해서는 등록 프로세스 도중이나 그 후 언제든지 결정할 수 있습니다.

선제 조치로서 TISAX 프로세스를 진행하는 경우, 평가 결과를 TISAX 참가자 커뮤니티를 위해 게시하기로 미리 결정할 수 있습니다. 그렇지 않으면 이 단계에 준비할 것이 없습니다.

파트너가 귀사에 TISAX 프로세스 진행을 요청한 경우, 평가 결과를 더 빨리 공유해야 합니다. 등록하는 동안 상태 정보를 파트너와 미리 공유할 수 있습니다. 평가 결과를 확인할 수 있게 되면 파트너가 평가 결과에 액세스할 권한을 자동으로 갖게 됩니다^[6].

상태 정보를 공유하려면 다음 두 가지가 필요합니다.

따라서 이 정보를 갖고 있는지 확인해야 합니다.

평가 결과 게시 및 공유에 대한 자세한 내용은 다음을 참조하십시오. 섹션 6, “교환(3 단계)”.

현재 12개의 TISAX 평가 목표가 있습니다. 평가 목표를 하나 이상 선택해야 합니다. 한 개보다 많이 선택할 수 있습니다.

평가 목표가 정보 보안 관리 시스템에 대한 벤치마크라고 생각하십시오. 평가 목표는 TISAX 프로세스에 투입되는 핵심 정보입니다. 모든 TISAX 감사 제공자는 주로 평가 목표를 근거로 평가 전략을 결정합니다.

현재의 TISAX 감사 평가 목표는 다음과 같습니다.

예: 공공 도로에서 시험 운행을 하는 경우, 평가 목표 “Test vehicles”가 평가 목표 중 하나입니다.

ISA는 기준 카탈로그 세 개(정보 보안, 프로토타입 보호, 데이터 보호)를 포함합니다. 각 기준 카탈로그는 소위 “통제 문항”과 관련 요구 사항으로 구성됩니다.

각 평가 목표는 다음을 정의합니다.

일부 평가 목표에는 통제 문항과 요구 사항의 부분 집합만 해당됩니다.

TISAX 평가 목표와 해당하는 통제 문항 및 요구 사항에 대한 배경 정보를 더 확인하려면 다음을 참조하십시오. 섹션 5.2.2, “ISA 문서 이해”.

파트너가 “TISAX 레이블”에 대해 얘기할 수 있습니다. “평가 목표”와 “TISAX 레이블”은 거의 같은 것입니다. “평가 목표”를 갖고 평가 프로세스를 시작하고 평가에 합격하면 해당하는 “TISAX 레이블”을 받는다는 차이점이 있습니다.

예: 파트너가 “Info high” TISAX 레이블을 받아야 한다고 귀사에 요구합니다. 그러면 “Info high”를 귀사의 평가 목표로 선택합니다.

아래 그림에는 TISAX 프로세스의 투입물과 산출물이 나와 있습니다.

TISAX 레이블에 대한 자세한 내용은 다음을 참조하십시오. 섹션 5.4.14, “TISAX 레이블”.

이상적인 경우에는 귀사에서 달성해야 하는 평가 목표를 파트너가 정확하게 얘기합니다.

다음과 같은 경우 평가 목표를 직접 판단하여 선택해야 합니다.

귀사의 자체적인 판단에 따라 평가 목표를 선택해야 하는 경우, 다음과 같은 측면을 고려하면 도움이 될 수 있습니다.

추가 설명:

파트너에게는 다양한 유형의 정보가 있을 수 있고, 이 중에는 다른 정보보다 더 높은 보호 수준이 필요한 정보가 있을 수 있습니다. ISA는 이에 맞춰 “필요한 보호 수준”( “protection needs”)을 세 개(일반, 높음 및 매우 높음)로 나눕니다. 파트너는 정보를 분류하고, 대개 각 정보에 필요한 보호 수준을 지정합니다.

필요한 보호 수준이 높을수록 파트너가 정보 처리를 귀사에 맡겨도 안전한지 확인하는 데 더 관심이 있을 것입니다. 그러므로 TISAX에서는 “평가 수준”(AL)을 세 개로 구분합니다. 평가 수준은 감사 제공자가 적용해야 하는 평가 방법을 정의합니다. 평가 수준이 높을수록 평가에 더 많은 노력이 필요합니다. 따라서 주의를 더 기울여서 더 정확하게 평가하게 됩니다.

아래 표에는 TISAX 평가 목표에 해당하는 평가 수준이 나와 있습니다.

평가 수준 1(AL 1):

평가 수준 1에 해당하는 평가는 주로 진정한 의미의 자가 평가( self-assessment)에서 내부 용도로 사용됩니다.

평가 수준 1에 해당하는 평가에 대해, 감사관은 완료된 자가 평가가 있는지 여부를 확인합니다. 감사관은 자가 평가의 내용을 평가하지 않습니다. 감사관은 증거를 더 요구하지 않습니다.

평가 수준 1에 해당하는 평가의 결과는 신뢰 수준이 낮아서 TISAX에서 사용되지 않습니다. 하지만 파트너는 물론 이런 자가 평가를 TISAX 밖에서 요청할 수 있습니다.

평가 수준 2(AL 2):

평가 수준 2에 해당하는 평가에 대해, 감사 제공자는 귀사의 자가 평가에 대해 타당성 점검을 (평가 범위에 포함된 모든 위치에 대해) 수행합니다. 제공자는 증거를 확인하고^[8] 정보 보안을 책임지는 자와 면접 조사를 실시하여 이를 뒷받침합니다.

감사 제공자는 일반적으로 웹 회의를 통해 면접 조사를 실시합니다. 요청 시에 제공자는 면접 조사를 직접 만나서 실시할 수도 있습니다.

감사 제공자에게 보내고 싶지 않은 증거가 있는 경우, 현장 점검을 요청할 수 있습니다. 이 경우에도 감사 제공자는 이 방법으로 “대외비”인 증거를 확인할 수 있습니다.

평가 수준 3(AL 3):

평가 수준 3에 해당하는 평가에서, 감사 제공자는 해당하는 요구 사항을 귀사에서 준수하는지 광범위하게 확인합니다. 감사관은 귀사의 자가 평가와 제출된 문서를 사용하여 평가를 준비합니다. 하지만 평가 수준 2와는 대조적으로 감사관이 모든 것을 확인합니다. 감사관은

평가 수준과 평가 방법

아래 표에는 각 평가 수준과 연관된 감사 방법의 간단한 개요가 제시되어 있습니다.

추가 정보:

TISAX에서는 귀사의 자체 공급업체에 모두 같은 요구 사항을 적용해야 한다고 요구하지 않을 수 있습니다. 평가 목표가 “필요한 보호 수준이 매우 높은 정보 보안”인 경우, 귀사의 자체 공급업체들이 같은 평가 목표를 달성해야 함을 자동으로 의미하지는 않습니다. 공급업체에 TISAX 레이블이 있어야 함을 의미하지도 않습니다.

하지만 그래도 공급업체의 서비스를 사용하면 위험이 증가하거나 새로운 위협이 도입되는지 여부를 모든 공급업체에 대해 확인해야 합니다.

매우 간단한 예 두 개:

하지만 위험 평가에서 귀사의 공급업체가 필요한 보호 수준이 매우 높은 데이터에 대한 요구 사항도 충족해야 하는 것으로 확인될 수 있습니다. 이 경우 TISAX 레이블은 귀사에 이를 적절히 입증하기 위한 선택 사항입니다.

참가자 ID:

범위 ID:

ISA에는 현재 다음과 같은 세 가지 “기준 카탈로그”가 있습니다^[13].

각 기준 카탈로그마다 다음과 같은 자체적인 Excel 시트가 있습니다.

어떤 기준 카탈로그가 귀사와 관련이 있을까요? 평가 목표에 따라 다릅니다.

각 평가 목표는 어느 기준 카탈로그의 어느 요구 사항이 적용되는지 정의합니다. 기준 카탈로그 하나의 요구 사항만 적용되는 평가 목표도 있고 하나보다 많은 기준 카탈로그의 요구 사항이 적용되는 목표도 있습니다.

앞에서 언급한 평가 목표는 다음과 같은 기준 카탈로그에 매핑됩니다.

예: “데이터 보호”를 평가 목표로 선택하면 “정보 보안” 및 “데이터 보호” 기준 카탈로그에 있는 문항에 답해야 합니다.

기준 카탈로그 하나에 평가 목표가 두 개 이상 있는 경우가 있습니다. 어느 요구 사항이 어느 평가 목표에 해당하는지 어떻게 알 수 있을까요?

아래 표에는 어느 요구 사항이 적용되는지 나와 있습니다.

아래 스크린샷에는 “정보 보안” 기준 카탈로그에 있는 통제 문항의 주 요소가 나와 있습니다. (다른 기준 카탈로그에는 이런 요소의 부분 집합만 있습니다.) 모든 요소에 대해서는 더 아래에서 설명합니다.

각 기준 카탈로그에서는 문항 그룹을 장으로 나눕니다.

예: “2 인사(HR)”

그룹은 일반적인 사내 책임을 기준으로 나뉩니다. 이런 부서는 “Usual person responsible for process implementation(프로세스 이행을 일반적으로 책임지는 사람)” 열(위 예에서는 “HR”)에 명시됩니다.

각 기준 카탈로그에 대한 문항은 해당하는 Excel 시트에 있습니다.

예: “4.1.2 사용자의 네트워크 서비스, IT 시스템 및 IT 애플리케이션 액세스는 어느 정도까지 보호됩니까?”

통제 문항을 “컨트롤”이라고도 합니다. 이 표현은 감사관이 사용합니다. ISA의 기초인 ISO 표준에서는 “컨트롤”이라는 용어를 사용합니다.

“Maturity level”( “성숙도”) 및 “Control question” ( “통제 문항”) 열 사이에는 자가 평가를 실시할 때 채워 넣어야 하는 양식 필드가 있습니다.

이행에 대한 간략한 설명과 귀사 문헌에 대한 참조만 필수입니다. 이 정보는 TISAX 감사 제공자가 귀사를 더 잘 이해하고 평가를 더 잘 준비하는 데 도움이 됩니다.

자가 평가에 도움이 되는 뒷받침하는 다음과 같은 선택적인 열이 더 있습니다.

“통제 문항” 열 오른쪽에는 “목표” 열(J 열)이 있습니다. 이 열의 내용은 이 정보 보안 관리 측면에 관해 달성해야 하는 사항에 대해 설명합니다.

예(통제 문항 4.1.2번): “안전하게 식별된(인증된) 사용자만 IT 시스템에 액세스할 수 있어야 합니다. 이를 목적으로 사용자 신원이 적합한 절차를 통해 안전하게 확인됩니다.”

요구 사항은 목표를 달성하기 위해 충족해야 한다고 기대되는 사항입니다.

요구 사항은 다음 네 열에 분산되어 있습니다.

(평가 목표에서 추론할 수 있는) 달성해야 하는 필요한 보호 수준까지의 모든 요구 사항을 충족해야 합니다.

몇몇 평가 목표에는 요구 사항의 일부만 해당합니다. 요구 사항의 해당 여부에 대한 자세한 내용은 섹션 5.2.2.1, “기준 카탈로그”의 표 8, “평가 목표에 해당하는 요구 사항”과 특히 이 섹션 끝에 있는 note를 참조하십시오.

“필수” 및 “해당하는 경우 필수” 요구 사항 수준의 ISA 정의에 대한 자세한 내용은 “정의” Excel 시트의 “주요 용어”를 참조하십시오.

ISA에서는 “maturity levels”( “성숙도”)라는 개념을 정보 보안 관리 시스템의 모든 측면의 품질을 평가하는 데 사용합니다. 정보 보안 관리 시스템이 더 정교할수록 성숙도가 더 높을 것입니다.

ISA에서는 성숙도를 여섯 개로 구별합니다. 자세한 정의는 “Maturity levels”( “성숙도”) Excel 시트에서 확인할 수 있습니다. 성숙도를 통합해서 보기 위해, 여기서는 ISA에 제시된 비공식적인 설명을 인용합니다.

문항마다 정보 보안 관리 시스템의 성숙도를 평가해야 합니다. 성숙도를 “Maturity level”( “성숙도”) 열(E 열)에 입력하십시오.

목표 성숙도와 이 성숙도가 평가 결과에 미치는 영향에 대한 자세한 내용은 다음을 참조하십시오. 섹션 5.2.4, “자가 평가 결과 해석”.

이제 더 많은 것을 알게 되었으므로 자가 평가를 시작할 준비가 되었습니다.

귀사의 결과 점수는 자가 평가 결과를 요약합니다.

결과 점수(“목표 성숙도로 삭감된 결과”)는 “결과(ISA5)” Excel 시트(D6 셀)에 있습니다. “삭감”에 대해서는 곧 설명하겠습니다.

자가 평가 결과와 결과 점수를 이해한 후 해석하려면 다음과 같은 두 개의 분석 수준을 구별해야 합니다.

아래 그림에는 분석 수준이 나와 있습니다.

아래 그림에는 점수 수준의 결과와 문항 수준의 결과를 확인할 수 있는 위치가 나와 있습니다.

다음 그림에는 분석 수준, ISA 목표 정의 및 귀사의 자체 결과의 간단한 보기가 나와 있습니다.

이어지는 내용에서는 결과와 결과의 분석에 대해 자세히 설명합니다.

ISA에서는 각 문항의 “목표 성숙도”를 3으로 정의합니다.

각 성숙도의 정의에 대한 자세한 내용은 다음을 참조하십시오. 섹션 5.2.2, “ISA 문서 이해”.

ISA에서는 목표 성숙도를 “결과(ISA5)” Excel 시트에서 정의합니다(G 열 22 행에서 시작. 아래 그림 참조).

TISAX 레이블을 받기 위해서는 일반적으로 각 문항에 대한 귀사의 성숙도가 목표 성숙도와 같거나 그보다 높아야 합니다.

예: 문항 X에 대한 목표 성숙도가 “3”인 경우, 해당 문항에 대한 귀사의 성숙도는 “3” 이상이어야 합니다. 해당 문항에 대한 귀사의 성숙도가 “3”보다 낮으면 TISAX 레이블을 받지 못할 수 있습니다.

각 문항에 대한 귀사의 성숙도가 “3” 이상이어야 합니다. 두 문항에 대한 목표 성숙도가 “3”인 경우, 문항 하나에 대한 귀사의 성숙도가 “2”인 경우 성숙도가 “4”인 다른 문항으로 보완할 수 없습니다.

ISA 문서에서는 귀사의 성숙도가 “정보 보안” Excel 시트(E 열)에서 “결과(ISA5)” Excel 시트(H 열 23번 행에서 시작)로 자동으로 이동됩니다.

귀사의 성숙도에 계산이 적용된 후 계산된 값이 ISA 문서에서 귀사의 결과 점수에 요약됩니다. 근본적으로, 귀사의 성숙도가 목표 성숙도로 “삭감”됩니다. 이렇게 하는 이유는 귀사의 성숙도가 목표 성숙도보다 높은 문항이 귀사의 성숙도가 목표 성숙도보다 낮은 문항을 보완하지 않도록 하기 위해서입니다.

ISA에서는 귀사의 결과를 문항 수준에서 다음과 같이 계산합니다.

예(아래 그림 참조): 목표 성숙도는 “3”입니다. 귀사의 성숙도는 “4”입니다. 이 문항에 대한 귀사의 “삭감된 결과”는 “3”이 됩니다.

아래 그림은 귀사의 성숙도가 목표 성숙도보다 높으면 ISA에서 귀사의 성숙도를 삭감함을 보여줍니다(녹색, 주황색, 빨간색이 “결과” 열에 사용된 색상과 일치함. 그림 19, ““결과(ISA5)” Excel 시트의 귀사의 성숙도” 참조).

아래에는 성숙도를 문항 수준에서 보는 또 다른 방법이 나와 있습니다. 원의 색상은 목표 성숙도 또는 이 성숙도까지의 “간격”을 나타냅니다(예: 성숙도가 목표 성숙도 “-1”이면 원이 주황색임). 체크 표시는 귀사의 성숙도를 나타냅니다.

ISA에서는 “이상적인” 전체 성숙도, 즉 “최고 결과 점수”(또는 “최고 점수”, G6 셀)를 정의합니다.

이론적으로, 이 전체 성숙도는 모든 목표 성숙도(문항 수준)의 평균입니다. 이 평균이 최고 결과 점수 “3.0”이 됩니다.

하지만 모든 문항이 귀사의 상황에 해당하는 경우에만 “3.0”입니다. 문항이 귀사의 상황에 해당하지 않으면 곧바로 평균이 바뀌고 최고 결과 점수가 “3.0”보다 낮아집니다.

더 위에서 본 그림(그림 22, “문항 수준의 성숙도”)을 토대로, 아래에서 최고 결과 점수 평균에 무엇이 입력되었는지 확인할 수 있습니다.

귀사의 전체 결과 점수("목표 성숙도로 삭감된 결과”, D6 셀):

더 위에서 본 그림(그림 22, “문항 수준의 성숙도”)을 다시 사용하여 아래의 결과 점수 평균에 무엇이 입력되었는지 확인할 수 있습니다.

결과 점수를 통해 다음을 알 수 있습니다.

귀사의 결과 점수(“목표 성숙도로 삭감된 결과”)가 “3.0”보다 낮으면 하나 이상의 문항에 대한 귀사의 성숙도가 목표 성숙도와 일치하지 않음을 의미합니다. 이 경우, TISAX 평가를 받을 준비가 되려면 정보 보안 관리 시스템을 먼저 개선해야 할 수 있습니다.

위 분석의 목적은 TISAX 평가를 받을 준비가 되었는지 알아보기 위한 것입니다.

귀사의 결과 점수(“목표 성숙도로 삭감된 결과”)가 “3.0”이거나 이에 가까우면 TISAX 평가를 받을 준비가 확실히 되었음을 의미합니다. 이 경우, “결과” 열(H)의 모든 값이 녹색입니다(주황색 또는 빨간색 없음).

녹색이 아니면 자가 평가 결과의 문제를 해결해야 합니다(섹션 5.2.5, “자가 평가 결과의 문제 해결” 참조).

아래 그림에는 “결과(ISA5)” Excel 시트의 ISA 거미줄 다이어그램이 나와 있습니다. 녹색 선은 장별 목표 성숙도를 표시합니다. 귀사의 성숙도가 이 선에 있거나 그 위에 있으면 TISAX 평가를 받을 준비가 된 것입니다. 성숙도가 이 선 밑에 있으면 TISAX 레이블을 받기에 충분하지 않을 수 있습니다.

ISA 거미줄을 문항 수준으로 “펼치면” 문항 수준에 대해서도 유사한 녹색/빨간색 보기를 다음과 같이 얻게 됩니다.

모든 TISAX 평가와 마찬가지로, 첫 평가는 공식 시작 회의로 시작됩니다. 공식 시작 회의는 일반적으로 전화 회의나 웹 회의를 통해 진행됩니다. 다른 감사에서 경험을 어느 정도 얻었을 수 있는 작은 회사의 회의 시간은 길지 않습니다.

이 회의의 목적은 다음과 같습니다.

준비된 계획에 따라 감사 제공자가 첫 평가를 실시합니다. 첫 평가가 구체적으로 어떻게 실시될 것인지는 평가 목표에 따라 다릅니다. 평가는 주로 전화 회의, 현장 면접 조사, 그리고 다양한 깊이의 현장 점검으로 구성됩니다^[23].

감사 제공자가 첫 평가 도중에 발견한 문제를 모두 발표합니다.

종료 회의에서 감사 제공자는 발견된 문제를 모두 다시 요약합니다.

종료 회의 후에 감사 제공자가 “TISAX 평가 보고서” 초안을 작성하고 귀사로 보냅니다. 감사 제공자가 오해한 것이 있다고 생각되면 이의를 제기할 수 있습니다.^[24] 그런 다음 감사 제공자가 “TISAX 평가 보고서”를 발행합니다.

이 단계에 최신 전체 평가 결과는 다음 중 하나가 됩니다.

첫 평가 시점에 전체 평가 결과가 “준수”인 경우, 나머지 평가 섹션을 건너뛰고 결과 교환으로 계속 진행할 수 있습니다.

전체 평가 결과가 “중대한 미준수”인 경우, 다음에 할 일은 발견된 문제를 해결하는 방법과 감사 제공자가 발견한 격차를 해소하는 방법에 대한 계획을 세우는 것입니다. 이 계획을 공식적으로 “시정 조치 계획”( “corrective action plan”)이라고 합니다.

“시정 조치 계획 평가”의 이유는 다음과 같습니다.

“시정 조치 계획 평가”는 독립적인 이벤트가 아닐 수 있습니다. 첫 평가 종료 회의 도중에 “시정 조치 계획”을 미리 제시할 수 있습니다. 그러면 감사 제공자가 “시정 조치 계획 평가”를 곧바로 실시할 수 있습니다.

“시정 조치 계획 평가”를 첫 평가와 합칠 경우, “시정 조치 계획”이 요구 사항을 충족하면 감사 제공자와 “첫 평가 보고서”가 필요 없다고 합의할 수 있습니다. 그 대신 감사 제공자는 “시정 조치 계획 평가 보고서”만 작성합니다. 이 보고서를 사용하여 임시 TISAX 레이블을 직접 받을 수 있습니다.

감사 제공자는 다음 요구 사항을 기준으로 “시정 조치 계획”을 평가합니다.

전체 평가 결과가 “사소한 미준수”인 경우, 임시 TISAX 레이블을 받습니다.

임시 TISAX 레이블은 나중에 귀사에서 영구 TISAX 레이블을 받는다는 조건 하에 파트너가 일반적으로 받아들인다는 이점이 있습니다. 이 레이블은 정보 보안 관리 시스템의 효과를 파트너에게 긴급하게 입증해야 하는 경우에 유용할 수 있습니다.

임시 TISAX 레이블을 받기 위한 전제 조건은 전체 평가 결과가 “사소한 미준수”인 시정 조치 계획 평가 보고서입니다.

임시 TISAX 레이블은 영구 TISAX 레이블과 동등합니다. 유일한 차이점은 임시 TISAX 레이블의 유효 기간이 더 짧다는 것뿐입니다.

임시 TISAX 레이블은 첫 평가 종료 회의 후 9개월까지 유효할 수 있습니다. 임시 TISAX 레이블의 유효 기간은 시정 조치의 가장 긴 이행 기간에 따라 결정됩니다.

예시:

이행 기간에 관한 요구 사항에 대한 자세한 내용은 다음을 참조하십시오. 섹션 5.4.9.3, “시정 조치 계획 요구 사항”

모든 시정 조치를 완료한 후에는 “후속 평가”를 요청해야 합니다.

감사 제공자는 첫 평가를 마친 후 최대 9개월 이내에 후속 평가를 실시할 수 있습니다^[26].

임시 TISAX 레이블이 필요하지 않으면 후속 평가를 곧바로 요청할 수 있습니다. 후속 평가 전에 “시정 조치 계획 평가”를 받지 않아도 됩니다.

임시 TISAX 레이블이 필요한 경우, 영구 TISAX 레이블을 받기 전에 공백이 발생하지 않도록 하고 싶을 수 있습니다. 그러므로 후속 평가를 가능한 가장 늦은 날짜보다 훨씬 더 빨리 요청하는 것이 좋습니다^[27]. 그 이유는 후속 평가에서 확인된 사소한 문제를 해결할 수 있는 여유 시간을 충분히 확보해야 하기 때문입니다.

평가 목표와 해당하는 TISAX 레이블은 서로 간단하게 매핑됩니다. 하지만 몇몇 TISAX 레이블은 계층적으로 연결되어 있다는 중요한 측면이 하나 더 있습니다. 즉, 특정 TISAX 레이블을 받으면 이 레이블 “아래”의 TISAX 레이블도 자동으로 받게 됩니다.

예: 평가 목표가 “Very high availability”였을 경우, 이에 해당하는 TISAX 레이블인 “Very high availability”도 받습니다. 하지만 “Very high availability” 평가 목표는 “High availability”의 확대 집합이기 때문에 “High availability” TISAX 레이블도 자동으로 받습니다.

이 계층 구조는 현재 다음과 같은 레이블에 대해 존재합니다.

다음 그림에 나와 있는 해당하는 요구 사항을 비교하여 이런 계층적 관계를 추론할 수 있습니다. 표 8, “평가 목표에 해당하는 요구 사항”.

이 관계가 모든 참가자에게 중요하다고 생각되지 않을 수 있습니다. 하지만 한 파트너가 “Very high availability” TISAX 레이블을 보여줄 것을 요청하고 다른 파트너가 “High availability” TISAX 레이블을 요청하는 경우를 상상해 보십시오. 이 경우 두 TISAX 레이블이 모두 있으면 모두에게 더 편리합니다. 아무도 “High availability”가 “Very high availability”의 부분 집합이라는 것을 알 필요가 없기 때문입니다. 파트너가 다소 엄격한 구매 프로세스 때문에 특정 TISAX 레이블을 갖고 있어야 하는 경우 더욱 편리할 수 있습니다. 당연히 “Very high availability”가 “High availability”보다 “더 낫다”고 설명하고 싶지는 않을 것이기 때문입니다. 귀사의 TISAX 레이블을 모두 보여주기만 하면 평가하는 사람이 간단히 “’High availability’ TISAX 레이블이 있어야 한다”는 요구 사항이 충족되었다고 평가할 수 있습니다.

TISAX 레이블은 일반적으로 3년 동안 유효합니다. 유효 기간은 평가 프로세스 끝에 (TISAX 평가 보고서가 발행되기도 전에) 시작합니다.

TISAX 범위와 관련된 중요한 사항이 변경되는 경우 유효 기간이 더 짧아질 수 있습니다.

예: 귀사의 위치 이전, 새 위치. (이런 경우에 해야 할 일에 대한 설명은 다음을 참조하십시오. 섹션 7.9.3.2, “위치 변경을 요청하는 방법”, 섹션 7.9.3.4, “위치를 더 추가하는 방법”.)

TISAX 레이블을 오래 유지하려면 3년마다 갱신^[30]해야 합니다.

갱신하려면 근본적으로 TISAX 프로세스를 다시 거쳐야 합니다(평가 범위를 등록하고, TISAX 평가를 다시 받고, 평가 결과 공유). 회사를 TISAX 참가자로 다시 만들지 않아도 되므로 등록하기는 조금 더 쉽습니다. 그리고 물론 TISAX 데이터베이스에 이미 저장되어 있는 모든 연락처와 위치를 다시 사용할 수도 있습니다.

이제 TISAX 레이블을 받았으므로 마지막 단계로 진행하여 레이블을 파트너와 공유할 수 있습니다.