Netwrix-Software für TISAX-Konformität

Der EU-weite Audit- und Austauschmechanismus TISAX basiert auf einem Anforderungskatalog für Informationssicherheit in der Automobilindustrie, der wichtige Prüfkriterien wie Datenschutz und die Integration von Drittanbietern umfasst. Das branchenspezifische Rahmenwerk zur Überprüfung der Informationssicherheit von Lieferanten, Automobilherstellern, Originalausrüstungsherstellern und Partnern wurde im Auftrag der ENX Association vom Verband der Automobilindustrie (VDA) entwickelt:

1. Allgemeine Aspekte

• 1.2 In welchem Umfang ist ein Prozess für die Identifizierung, Bewertung und Behandlung von Informationssicherheitsrisiken definiert, dokumentiert und implementiert?
• 1.3 Inwiefern ist die Wirksamkeit des ISMS gewährleistet?

6. Organisation der Informationssicherheit

• 6.3 Inwiefern gibt es eine Richtlinie für die Nutzung mobiler Geräte und deren Fernzugriff auf die Daten der Organisation?

8. Verwaltung von Unternehmenseigentum

• 8.2 In welchem Umfang werden Informationen entsprechend ihrem Schutzbedarf klassifiziert und gibt es Regeln für die Kennzeichnung, Handhabung, den Transport, die Lagerung, Aufbewahrung, Löschung und Entsorgung?

9. Zugriffskontrolle

• 9.1 Inwiefern gibt es Vorschriften und Verfahren bezüglich des Benutzerzugriffs auf Netzwerkdienste, IT-Systeme und IT-Anwendungen?
• 9.2 Inwiefern sind Verfahren zur Registrierung, Änderung und Löschung von Benutzern implementiert und insbesondere, wird der vertrauliche Umgang mit Anmeldeinformationen gewährleistet?
• 9.3 Inwieweit wird die Zuweisung und Nutzung von Privileged User- und technischen Konten reguliert und überprüft?
• 9.4 Inwiefern gibt es verpflichtende Regeln für den Benutzer bezüglich der Erstellung und Handhabung von vertraulichen Anmeldeinformationen?
• 9.5 Inwieweit ist der Zugang zu Informationen und Anwendungen auf autorisierte Personen beschränkt?

12. Betriebssicherheit

• 12.1 Inwiefern werden Änderungen an der Organisation, den Geschäftsprozessen, den Informationsverarbeitungseinrichtungen und Systemen kontrolliert und hinsichtlich ihrer Relevanz für die Sicherheit umgesetzt?
• 12.5 In welchem Umfang werden Ereignisprotokolle, die Benutzeraktivitäten, Ausnahmen, Fehler und Sicherheitsereignisse enthalten können, erstellt, aufbewahrt, überprüft und vor Veränderungen geschützt?
• 12.6 Inwiefern werden die Aktivitäten von Systemadministratoren und Operatoren protokolliert, die Speicherung der Protokolle gegen Veränderungen gesichert und regelmäßig überprüft?
• 12.7 Inwieweit werden Informationen über technische Schwachstellen von IT-Systemen umgehend beschafft, bewertet und angemessene Maßnahmen ergriffen (z.B. Patch Management)?
• 12.8 Inwieweit werden Prüfanforderungen und -aktivitäten geplant und koordiniert, um IT-Systeme zu überprüfen und anschließend technische Inspektionen der IT-Systeme (Systemaudit) durchzuführen?

13. Kommunikationssicherheit

• 13.1 In welchem Umfang werden Netzwerke verwaltet und kontrolliert, um Informationen in IT-Systemen und Anwendungen zu schützen?
• 13.4 In welchem Umfang werden Informationen während des Austauschs oder der Übertragung geschützt?

14. Erwerb, Entwicklung und Wartung von Systemen

• 14.2 Inwiefern werden sicherheitsrelevante Aspekte im Softwareentwicklungsprozess berücksichtigt (einschließlich Change Management)?
• 14.3 Inwieweit wird sichergestellt, dass Testdaten sorgfältig erstellt, geschützt und kontrolliert verwendet werden?

16. Informationssicherheitsvorfall-Management

• 16.1 In welchem Umfang sind Verantwortlichkeiten, Verfahren, Berichtswege und Kritikalitätsstufen für den Umgang mit Informationssicherheitsereignissen oder Schwachstellen definiert?
• 16.2 In welchem Umfang werden Informationssicherheitsereignisse verarbeitet?

18. Compliance

• 18.1 Inwiefern wird die Einhaltung gesetzlicher (landesspezifischer) und vertraglicher Bestimmungen sichergestellt (z.B. Schutz des geistigen Eigentums, Einsatz von Verschlüsselungstechniken und Schutz von Aufzeichnungen)?

Abhängig von der Konfiguration Ihrer IT-Systeme, Ihren internen Verfahren, der Art Ihrer Geschäftsaktivitäten und anderen Faktoren, kann Netwrix Auditor möglicherweise auch mit TISAX-Anforderungen konform sein, die oben nicht aufgeführt sind.

Wie man mit Netwrix den TISAX-Informationssicherheitsstandard einhält

Netwrix Lösungen bieten unternehmensweite Einblicke in On-Premises- und Cloud-basierte Systeme und Anwendungen und helfen Ihnen, angemessene Informationssicherheitskontrollen zu etablieren und sicherzustellen, dass diese Kontrollen den TISAX-Anforderungen entsprechen.

In welchem Umfang wurde ein Prozess zur Bewertung von Informationssicherheitsrisiken implementiert?

Der Grundstein für effektives IT-Risikomanagement ist die kontinuierliche Bewertung und Minderung von Risiken. Erhalten Sie einen Überblick über Ihr aktuelles Risikoprofil, identifizieren Sie Schwachstellen und ordnen Sie diese nach ihrem Risikolevel. Dies gewährleistet zuverlässige Sicherheit und umfassende Einhaltung gesetzlicher Anforderungen.

Inwiefern ist die Wirksamkeit des ISMS gewährleistet?

Identifizieren Sie Sicherheitslücken in Ihrer Daten- und Infrastrukturumgebung, wie zum Beispiel eine große Anzahl inaktiver Benutzerkonten oder leere Sicherheitsgruppen. Priorisieren und minimieren Sie diese Risiken und demonstrieren Sie den Prüfern, dass Sie aktiv Ihre Angriffsfläche reduzieren.

In welchem Umfang wurde die Richtlinie für die Nutzung mobiler Geräte umgesetzt?

Der Umgang mit mobilen Geräten (und deren Fernzugriff auf die Daten der Organisation) - insbesondere in ungeschützten Umgebungen - ist mit erhöhten Risiken verbunden (z. B. Verlust, Diebstahl, Infektion mit Malware). Damit die auf dem Gerät gespeicherten Informationen geschützt sind, müssen technische Sicherheitsmaßnahmen umgesetzt werden.

In welchem Umfang sind die Rollen zwischen Cloud-Anbietern und der Organisation definiert?

Bei der Nutzung von Diensten und IT-Dienstleistungen (z. B. Cloud-Diensten) ist die Beziehung zwischen dem Anbieter und der eigenen Organisation in Bezug auf die Informationssicherheit von besonderer Bedeutung, da die Verantwortung für die Umsetzung der Anforderungen geteilt wird. Die Organisation selbst muss weiterhin Teile der Sicherheitsanforderungen eigenständig umsetzen, während andere Anforderungen vollständig oder teilweise vom Dienstleister implementiert werden.

In welchem Umfang gibt es Verzeichnisse für Vermögenswerte, die Informationen enthalten?

Neben der klassischen Inventur physischer Gegenstände ist es wichtig, einen Überblick über die innerhalb der Organisation verarbeiteten Informationen zu gewinnen. Informationsvermögen sind Elemente mit informativem Charakter, wie Dokumente, Bilder, Dateien, Programme, Server, Netzwerke, Einrichtungen, Fahrzeugprototypen, designrelevante oder formgebende Werkzeuge und Vorrichtungen.