TISAX 참가자 안내서

TISAX(Trusted Information Security Assessment Exchange)에 오신 것을 환영합니다.

귀사의 정보 보안 관리가 “정보 보안 평가”(ISA)의 요구 사항에 따라 정의된 수준을 준수함을 입증해 달라는 파트너의 요청을 받았습니다. 그래서 이제 이 요청을 이행할 방법을 알고 싶으실 것입니다.

본 안내서는 귀사에서 파트너의 요청을 이행하거나, 파트너의 요청을 받기 전에 미리 예측하여 경쟁력을 확보할 수 있도록 하기 위한 목적으로 작성되었습니다.

본 안내서에서는 TISAX 평가에 합격하고 평가 결과를 파트너와 공유하기 위해 취해야 하는 조치에 대해 설명합니다.

정보 보안 관리 시스템(ISMS)을 구축하고 유지하기만 하는 것도 이미 복잡한 일입니다. 귀사의 정보 보안 관리가 제 기능을 수행할 수 있음을 파트너에게 입증하려면 일이 더욱 복잡해집니다. 본 안내서는 귀사의 정보 보안을 관리하는 데 도움이 되지 않습니다. 하지만 파트너에게 귀사의 노력을 입증하는 일을 최대한 쉽게 할 수 있도록 하는 것이 목표입니다.

본 안내서는 참가하실 수 있는 모든 TISAX 프로세스에 적용됩니다.

안내서는 TISAX 프로세스를 거치기 위해 알아야 하는 모든 내용을 포함합니다.

안내서에서는 평가의 핵심에 있는 정보 보안 요구 사항에 대처하는 방법에 대한 조언을 몇 개 제시합니다. 하지만 정보 보안 평가에서 합격하기 위해 해야 하는 일에 대해 전반적으로 설명하는 것은 안내서의 목적이 아닙니다.

본 안내서의 주 대상은 “정보 보안 평가”(ISA)의 요구 사항에 따라 정의된 정보 보안 관리 수준을 입증해야 하거나 입증하고자 하는 회사입니다.

TISAX 프로세스에 능동적으로 관여하는 즉시, 본 안내서에 제시된 정보는 귀사에 유익이 됩니다.

이 정보는 정의된 정보 보안 관리 수준을 입증할 것을 공급업체에 요청하는 회사에도 유익이 됩니다. 이런 회사는 본 안내서를 통해 공급업체가 요청을 이행해야 하기 위해 무엇을 해야 하는지 알게 됩니다.

TISAX에 대한 간단한 소개로 시작한 다음, 필요한 작업을 수행하는 방법에 대한 설명으로 곧바로 넘어갑니다. 프로세스를 거치기 위해 필요한 모든 정보가 알아야 하는 순서대로 나옵니다.

문서를 읽는 데 걸리는 예상 시간은 75~90분입니다.

언젠가는 본 문서에 서술된 내용을 대부분 이해하고 싶을 수 있습니다. 충분히 준비하려면 안내서 전문을 읽는 것이 좋습니다.

안내서는 TISAX 프로세스의 주요 3단계를 따르는 구조로 작성되었으므로, 필요한 섹션을 읽은 후 나머지는 나중에 읽어도 됩니다.

안내서에서는 이해를 돕기 위해 도해를 사용합니다. 이런 그림의 색상에는 추가적인 의미가 있는 경우가 많습니다. 그러므로 문서를 컴퓨터 화면에서 읽거나 컬러 인쇄본으로 읽는 것이 좋습니다.

피드백은 감사히 받겠습니다. 안내서에 누락되었거나 쉽게 이해할 수 없는 내용이 있다고 생각될 경우 언제든지 알려 주십시오. ENX 협회와 향후에 안내서를 읽는 모든 독자가 피드백에 대해 감사하게 생각할 것입니다.

TISAX 참가자 안내서의 이전 버전을 이미 사용한 적이 있는 경우, 문서의 끝부분에 있는 다음 섹션에서 유용한 참고 사항을 몇 개 찾을 수 있습니다. 섹션 8, “문서 수정 내역”.

ENX 협회는 TISAX 프로세스를 안내하고 질문에 답해 드릴 준비가 되어 있습니다.

독일(UTC+01:00)의 일반 영업 시간 동안 문의가 가능합니다.

영어 및 독일어 상담이 지원됩니다. 동료 한 명은 이탈리아어가 모국어입니다.

다음 섹션을 참조하십시오. 섹션 7.13, “부록: 불만 사항 관리”.

TISAX 참가자 안내서는 다음 언어와 형식으로 제공됩니다.

이 글을 보고 계신 이유가 무엇일까요?

이 질문에 답하기 위해, 비즈니스에 대한 전반적인 설명과 특히 정보 보호에 대한 설명으로 시작하겠습니다.

파트너가 있다고 상상해 보십시오. 파트너에게 비밀 정보가 있습니다. 파트너가 이 정보를 공급업체인 귀사와 공유하려고 합니다. 귀사와 파트너가 협력하면 가치가 창출됩니다. 파트너가 귀사와 공유하는 정보는 이 가치 창출의 중요한 일부분입니다. 그래서 파트너는 이런 정보를 적절하게 보호하길 원합니다. 그리고 귀사에서 정보를 파트너와 똑같은 수준으로 주의를 기울여서 처리하고 있다고 확신할 수 있기를 원합니다.

하지만 어떻게 하면 파트너가 정보를 귀사에 믿고 맡겨도 된다고 확신할 수 있을까요? 귀사를 그냥 "믿을" 수만은 없습니다. 파트너가 어떤 증거를 확인해야 합니다.

그러면 두 가지 문제가 제기됩니다. 정보의 "안전한" 처리가 무엇을 의미하는지 누가 정할까요? 안전한 처리를 어떻게 증명할까요?

귀사와 귀사의 파트너만 이런 문제에 처음 부닥치는 것은 아닙니다. 거의 모두가 이런 문제에 대한 답을 찾아야 하고, 대부분의 답에는 유사점이 있을 것입니다.

공통적인 문제에 대한 솔루션을 매번 따로 만들지 않고 문제를 해결하는 표준 방식이 있으면 모든 것을 처음부터 만들어야 하는 부담이 없어집니다. 표준을 정의하려면 많은 노력이 필요하지만, 한 번만 하면 되고 표준을 따르는 사람이 매번 유익을 얻게 됩니다.

올바른 정보 보호 방법 무엇인지에 대한 생각은 분명 다양합니다. 하지만 앞에서 언급한 이점 때문에 대부분의 회사는 표준을 정합니다. 표준은 특정한 문제를 해결하는 효과가 입증되고 오랜 시간에 걸쳐 검증된 최선의 방법의 압축된 형태입니다.

귀사의 경우, (정보 보안 관리 시스템, 즉 ISMS에 대한) ISO/IEC 27001 같은 표준과 그 이행은 비밀 정보를 최첨단으로 안전하게 처리하는 방법이 됩니다. 이와 같은 표준을 사용하면 매번 같은 일을 반복해야 하는 낭비가 없어집니다. 표준은 두 회사가 비밀 데이터를 교환해야 할 때 공통된 근거를 제시한다는 더 중요한 장점이 있습니다.

산업과 무관한 공통 표준은 본질적으로 자동차 회사의 구체적인 필요에 맞춰지지 않고 모든 산업에 적용 가능한 솔루션으로 개발됩니다.

오래 전에 자동차 산업은 업계의 보다 구체적인 필요에 적합한 표준을 정의하고 개선하는 등의 목표를 달성하기 위해 협회를 설립했습니다. VDA(Verband der Automobilindustrie)는 그 중 하나입니다. 정보 보안을 다루는 워킹그룹에 참여한 자동차 산업의 몇몇 회사는 각사에 필요한 사항이 비슷해서 기존 정보 보안 관리 표준을 자동차 산업에 맞게 수정할 수 있겠다는 결론을 내렸습니다.

이 회사들은 자동차 산업에서 널리 인정되는 정보 보안 요구 사항에 관한 설문지를 함께 만들었습니다. 이것을 "정보 보안 평가"(ISA)라고 합니다.

ISA를 통해 이제는 “안전(보안)의 의미를 누가 정의하는가?” 라는 질문에 대한 답을 얻게 되었습니다. VDA를 통해, 자동차 산업은 이 답을 구성원들에게 직접 제시합니다.

ISA를 내부용으로만 사용하는 회사가 있는가 하면, 자사 공급업체의 정보 보관 관리의 성숙도를 평가하기 위해 사용하는 회사도 있습니다. 경우에 따라서는 자가 평가가 비즈니스 관계에 충분합니다. 하지만 특정한 경우에는 회사가 자사 공급업체의 정보 보안 관리를 전체적으로 평가(현장 감사 포함)하는 경우도 있습니다.

정보 보안 관리의 필요성에 대한 인식이 전반적으로 높아지고 ISA가 정보 보안 평가 도구로 더 널리 채택됨에 따라 여러 파트너에게 유사한 요청을 받는 공급업체가 많아지고 있습니다.

이런 파트너는 계속 다른 표준을 적용했고, 표준 해석 방법에 대한 의견이 다양했습니다. 하지만 공급업체들은 근본적으로 같은 것을 증명해야 했고, 방법만 달랐습니다.

그리고 파트너들에게 정보 보안 관리 수준을 증명해 달라는 요청을 받는 공급업체가 많아질수록 반복되는 노력에 관한 불만이 점점 커졌습니다. 여러 감사관에게 같은 정보 보안 관리 조치를 계속 보여주는 것은 결코 효율적이지 않습니다.

어떻게 하면 효율을 높일 수 있을까요? 감사관의 보고서를 여러 파트너에 다시 사용할 수 있으면 도움이 되지 않을까요?

ENX 워킹그룹에서 ISA를 유지관리하는 책임을 지는 OEM 및 공급업체들은 자사 공급업체들의 불만 사항에 귀를 기울였습니다. 이제 이들은 자사 공급업체와 자동차 산업의 다른 모든 회사에 "보안을 어떻게 입증하는가?" 라는 질문에 대한 답을 제시합니다.

답은 “Trusted Information Security Assessment Exchange”( “신뢰할 수 있는 정보 보안 평가 교환”)의 약자인 TISAX입니다.

TISAX 프로세스는 일반적으로^[1] 파트너 중 하나가 “정보 보안 평가”(ISA)의 요구 사항에 따라 정의된 정보 보안 관리 수준을 입증해 달라고 요청하는 것으로 시작됩니다. 이 요청에 따르려면 3단계로 구성된 TISAX 프로세스를 완료해야 합니다. 이 섹션에서는 이행해야 하는 단계를 요약합니다.

TISAX 프로세스를 구성하는 3단계는 다음과 같습니다.

각 단계는 부단계로 구성됩니다. 부단계는 아래의 세 섹션에 약술되어 있고, 더 아래에 있는 각 섹션에 자세히 설명되어 있습니다.

첫 단계는 TISAX 등록입니다.

TISAX 등록의 주된 목적은 귀사에 대한 정보를 수집하는 것입니다. ENX 협회는 이 정보를 제공하는 데 도움이 되는 온라인 등록 프로세스를 사용합니다.

등록은 모든 후속 단계의 전제 조건입니다. 등록 수수료가 부과됩니다.

온라인 등록 프로세스를 진행하는 동안:

이 단계부터 곧바로 시작하려면 다음을 참조하십시오. 섹션 4, “등록(1 단계)”.

온라인 등록 프로세스에 대한 자세한 설명은 다음을 참조하십시오. 섹션 4.5, “온라인 등록 프로세스”. 하지만 곧바로 시작하려면 다음 웹 페이지로 이동하십시오. enx.com/en-US/TISAX/.

두 번째 단계에는 정보 보안 평가를 거칩니다.

이 단계에는 부단계가 네 개 있습니다.

이 단계에 대한 자세한 내용은 다음을 참조하십시오. 섹션 5, “평가(2 단계)”.

세 번째이자 마지막 단계에는 평가 결과를 파트너와 공유합니다. TISAX 평가 보고서의 내용은 수준별 구조를 따릅니다. 파트너가 액세스할 수 있는 수준을 귀사에서 결정할 수 있습니다.

평가 결과는 3년 동안 유효합니다. 3년 후에도 귀사가 계속 파트너의 공급업체인 경우, 이 3 단계 프로세스를 다시 거쳐야 합니다^[3].

이 단계에 대한 자세한 내용은 다음을 참조하십시오. 섹션 6, “교환(3 단계)”.

이제 TISAX 프로세스가 무엇인지에 대한 기초적인 개념에 대해 알아보았으므로, 각 단계를 완료하는 방법에 대한 설명을 이어지는 내용에서 확인할 수 있습니다.

TISAX 등록은 첫 단계입니다. 등록은 모든 후속 단계의 전제 조건입니다.

이어지는 내용에서는 등록 과정을 안내합니다.

알아야 하는 새 용어를 먼저 소개하겠습니다. 지금까지 귀사는 “공급업체”였습니다. 여기까지 온 이유는 “고객”의 요구 사항을 충족하기 위해서입니다. 하지만 TISAX에서는 이 두 역할이 사실상 구별되지 않습니다. 등록하면 누구나 TISAX “참가자”가 됩니다. 귀사와 귀사의 파트너는 모두 정보 보안 평가 결과 교환에 "참가"합니다.

처음부터 두 역할을 구별하기 위해, 여기서는 공급업체인 귀사를 “능동적 참가자” 라고 지칭합니다. 귀사의 파트너는 “수동적 참가자” 라고 지칭합니다. 귀사는 “능동적 참가자”로서 TISAX 평가를 받고 평과 결과를 다른 참가자들과 공유합니다. “수동적 참가자”는 TISAX 평가를 받을 것을 귀사에 요청한 참가자입니다. “수동적 참가자”는 귀사의 평가 결과를 수신합니다.

모든 회사는 두 역할을 모두 수행할 수 있습니다. 귀사는 평가 결과를 파트너와 공유함과 동시에 공급업체에 TISAX 평가를 받으라고 요청할 수 있습니다.

귀사의 공급업체가 보호해야 할 필요가 있는 귀사 파트너의 정보도 처리하는 경우에는 특히 귀사의 공급업체에도 TISAX 평가를 받을 것을 요청하는 것이 좋습니다.

이 섹션에서는 등록을 준비하는 방법에 대한 권장 사항을 제시합니다. 등록 프로세스 자체에 대해서는 다음 섹션에서 자세히 설명합니다. 섹션 4.5, “온라인 등록 프로세스”.

온라인 등록 프로세스 진행을 시작하기 전에 다음과 같은 준비 작업이 적극 권장됩니다.