Германската асоциация на автомобилната индустрия (VDA) официално публикува новия каталог за оценка на информационната сигурност – VDA ISA2027. Той ще бъде задължителният каталог за всички TISAX оценки, поръчани от 1 януари 2027 г., и бележи следващия етап в развитието на TISAX (Trusted Information Security Assessment Exchange) – механизъм за взаимно признаване на оценки по информационна сигурност в автомобилната индустрия.

Какво е новото в каталога
За разлика от предишните версии, обозначавани с последователни номера, новият каталог носи името VDA ISA2027. Годината в наименованието показва кога съответното издание става задължително за новопоръчаните TISAX оценки.
С ISA2027 започва и нов годишен цикъл на публикуване. Предвижда се бъдещите издания на каталога по правило да бъдат публикувани през лятото и да влизат в сила от 1 януари на следващата година. По този начин версията на каталога вече ще се идентифицира по годината, в която става задължителна за новите оценки, а не чрез последователен номер на версията.

Основните промени включват:

• Актуализирани препратки и таблици на съответствие с ISO/IEC 27001:2022 – съответствията с ISO/IEC 27001:2022 са прегледани и прецизирани, а препратките към ISO/IEC 27001:2013 са премахнати;
• Съответствие с NIST Cybersecurity Framework 2.0 – каталогът вече включва актуализирани таблици на съответствие с последната версия на рамката на NIST, като по този начин допълва използваните референтни рамки извън стандартите ISO/IEC;
• Подобрена яснота и последователност на изискванията – прегледани са формулировките, премахнати са двусмислия и са уточнени често използвани изрази, за да се осигури по-еднакво тълкуване и прилагане на изискванията от всички одитори. Уточнени са също определението за „проект“ и разграничението между събития и инциденти;
• По-силен фокус върху сигурността на веригата на доставки – организациите, които обработват информация с висока необходимост от защита, трябва да документират, преглеждат и наблюдават съответствието на своите доставчици с изискванията за информационна сигурност. За доставчици, обработващи информация с много висока степен на защита, се поставят по-строги изисквания за доказване на нивото на сигурност чрез TISAX Label, еквивалентна независима оценка или подходящ одит на доставчика;
• Преструктуриран е модулът Prototype Protection, като част от контролните области са обединени и реорганизирани за по-логична структура. Добавени са и нови изисквания за проследимост и управление на жизнения цикъл на прототипите;
• По-прецизно определяне на доставчиците на услуги – терминът "IT Suppliers" е заменен с "IT Service Providers", с което се уточнява приложното поле на част от изискванията и се прецизира терминологията относно доставчиците на ИТ услуги;
• Коректна терминология относно TISAX – използва се официалният термин TISAX Label, вместо често срещаното, но неточно понятие „TISAX сертификация“, тъй като TISAX не представлява сертификационна схема.

От кога се прилага
VDA ISA2027 се прилага задължително за всички TISAX оценки, поръчани от 1 януари 2027 г.
Съществуващите TISAX Labels остават валидни за целия определен срок на тяхната валидност. Бъдещите TISAX Labels също ще продължат да имат срок на валидност до три години.
Новият годишен цикъл на публикуване на каталога не води до по-често повторно оценяване. На практика организациите между две последователни TISAX оценки могат да излязат няколко нови издания на каталога, без това да засяга валидността на вече издадения TISAX Label.
 
За кого е важно
Промяната засяга всички организации с действащ или предстоящ TISAX Label – производители, доставчици и подизпълнители в автомобилната индустрия, както и организации, предоставящи ИТ услуги на автомобилния сектор.
Организациите, чието следващо TISAX оценяване предстои през 2027 г., ще преминат директно по новия каталог. Затова е препоръчително още сега да оценят съответствието си с новите изисквания и при необходимост да актуализират своите политики, процедури и контроли.
Подготовката е особено важна за организациите, които:

• възлагат дейности на външни доставчици;
• обработват информация с висока или много висока необходимост от защита;
• работят с прототипи, защитени компоненти или изпитателни превозни средства;
• все още използват документация, която не е приведена в съответствие с ISO/IEC 27001:2022.

 
Как може да помогне КОНСЕХО
КОНСЕХО подпомага организации от автомобилната индустрия при подготовката и успешното преминаване на TISAX оценка – независимо дали предстои получаване на първи TISAX Label, или преминаване към изискванията на VDA ISA2027.

Нашите услуги включват:

• gap анализ спрямо VDA ISA2027;
• анализ на съответствието с ISO/IEC 27001:2022;
• актуализиране на документацията на системата за управление на информационната сигурност;
• подготовка за TISAX оценката и съдействие по време на целия процес.

Свържете се с нас за безплатна първоначална консултация, за да обсъдим какво означава преминаването към VDA ISA2027 за Вашата организация.
 
Източник: ENX Association – 10 Years of TISAX: VDA ISA2027 Release