Software Netwrix per la conformità TISAX

Il meccanismo di audit e scambio a livello dell'UE TISAX si basa su un catalogo di requisiti per la sicurezza delle informazioni nell'industria automobilistica, che include importanti criteri di audit come la protezione dei dati e l'integrazione di terze parti. Il quadro specifico per il settore per la verifica della sicurezza delle informazioni dei fornitori, dei produttori di automobili, dei produttori di apparecchiature originali e dei partner è stato sviluppato dall'Associazione Tedesca dell'Industria Automobilistica (VDA) per conto dell'Associazione ENX:

1. Aspetti Generali

• 1.2 In che misura è definito, documentato e implementato un processo per l'identificazione, la valutazione e il trattamento dei rischi per la sicurezza delle informazioni?
• 1.3 In che misura è garantita l'efficacia del sistema di gestione della sicurezza delle informazioni (ISMS)?

6. Organizzazione della Sicurezza delle Informazioni

• 6.3 In che misura esiste una politica per l'uso dei dispositivi mobili e il loro accesso remoto ai dati dell'organizzazione?

8. Gestione degli asset di proprietà dell'organizzazione

• 8.2 In che misura le informazioni vengono classificate in base alla necessità di protezione e esistono regole per l'etichettatura, la manipolazione, il trasporto, l'archiviazione, la conservazione, l'eliminazione e lo smaltimento?

9. Controllo degli Accessi

• 9.1 In che misura esistono regolamenti e procedure riguardanti l'accesso degli utenti ai servizi di rete, ai sistemi IT e alle applicazioni IT?
• 9.2 In che misura sono implementate le procedure per la registrazione, la modifica e l'eliminazione degli utenti e, in particolare, vi è un trattamento confidenziale delle informazioni di accesso?
• 9.3 In che misura viene regolamentata e revisionata l'assegnazione e l'utilizzo degli account utente privilegiati e tecnici?
• 9.4 In che misura esistono regole obbligatorie per l'utente riguardo alla creazione e gestione delle credenziali di accesso confidenziali?
• 9.5 In che misura l'accesso alle informazioni e alle applicazioni è riservato agli individui autorizzati?

12. Sicurezza operativa

• 12.1 In che misura i cambiamenti all'organizzazione, ai processi aziendali, alle strutture di elaborazione delle informazioni e ai sistemi sono controllati e implementati riguardo alla loro rilevanza per la sicurezza?
• 12.5 In che misura vengono generati, conservati, esaminati e protetti contro le modifiche i log degli eventi, che possono includere attività degli utenti, eccezioni, errori e eventi di sicurezza?
• 12.6 In che misura vengono registrate le attività degli amministratori di sistema e degli operatori, la conservazione dei log protetta da modifiche e regolarmente controllata?
• 12.7 In che misura vengono ottenute tempestivamente informazioni sulle vulnerabilità tecniche dei sistemi IT, valutate e adottate misure appropriate (ad esempio, Patch Management)?
• 12.8 In che misura i requisiti di audit e le attività sono pianificati e coordinati per esaminare i sistemi IT e successivamente ispezionare tecnicamente i sistemi IT (audit del sistema)?

13. Sicurezza delle comunicazioni

• 13.1 In che misura le reti sono gestite e controllate per proteggere le informazioni nei sistemi e nelle applicazioni IT?
• 13.4 In che misura sono protette le informazioni durante lo scambio o la trasmissione?

14. Acquisizione, sviluppo e manutenzione dei sistemi

• 14.2 In che misura gli aspetti rilevanti per la sicurezza vengono considerati nel processo di sviluppo del software (incluso il Change Management)?
• 14.3 In che misura si garantisce che i dati di test siano creati con attenzione, protetti e utilizzati in modo controllato?

16. Gestione degli incidenti di sicurezza delle informazioni

• 16.1 In che misura sono definiti responsabilità, procedure, canali di segnalazione e livelli di criticità per il trattamento di eventi o vulnerabilità legati alla sicurezza delle informazioni?
• 16.2 In che misura vengono elaborati gli eventi di sicurezza delle informazioni?

18. Conformità

• 18.1 In che misura è garantita la conformità alle disposizioni legali (specifiche per paese) e contrattuali (ad esempio, protezione della proprietà intellettuale, uso di tecniche di crittografia e protezione dei registri)?

A seconda della configurazione dei vostri sistemi IT, delle vostre procedure interne, della natura delle vostre attività commerciali e di altri fattori, Netwrix Auditor potrebbe anche essere in grado di soddisfare i requisiti TISAX non elencati sopra.

Come conformarsi allo standard di sicurezza delle informazioni TISAX utilizzando Netwrix

Le soluzioni Netwrix offrono una visibilità completa a livello aziendale sui sistemi e le applicazioni on-premises e basati su cloud, e aiutano a stabilire controlli di sicurezza delle informazioni adeguati e a garantire che questi controlli siano conformi ai requisiti TISAX.

In che misura è stato implementato un processo per la valutazione dei rischi per la sicurezza delle informazioni?

La pietra angolare di una gestione efficace dei rischi IT è la valutazione e mitigazione continua dei rischi. Ottenete una panoramica del vostro attuale profilo di rischio, identificate le vulnerabilità e classificatele secondo il loro livello di rischio. Ciò garantisce una sicurezza affidabile e una completa conformità con i requisiti legali.

In che misura è garantita l'efficacia del sistema di gestione della sicurezza delle informazioni (ISMS)?

Identificate le vulnerabilità di sicurezza nei vostri dati e nell'ambiente infrastrutturale, come un gran numero di account utente inattivi o gruppi di sicurezza vuoti. Date priorità e minimizzate questi rischi e dimostrate agli ispettori che state attivamente riducendo la superficie di attacco.

In che misura è stata attuata la politica sull'uso dei dispositivi mobili?

La gestione dei dispositivi mobili (e il loro accesso remoto ai dati dell'organizzazione) - specialmente in ambienti non protetti - è associata a rischi maggiori (ad esempio, perdita, furto, infezione da malware). Affinché le informazioni memorizzate sul dispositivo siano protette, devono essere implementate misure di sicurezza tecniche.

In che misura sono definiti i ruoli tra i fornitori di servizi cloud e l'organizzazione?

Quando si utilizzano servizi e servizi IT (ad esempio, servizi cloud), il rapporto tra il fornitore e la propria organizzazione è di particolare importanza per quanto riguarda la sicurezza delle informazioni, poiché la responsabilità dell'attuazione dei requisiti è condivisa. L'organizzazione stessa deve continuare ad attuare parti dei requisiti di sicurezza autonomamente, mentre altri requisiti sono attuati completamente o in parte dal fornitore di servizi.

In che misura esistono directory per le risorse che contengono informazioni?

Oltre all'inventario classico degli oggetti fisici, è importante ottenere una panoramica delle informazioni elaborate all'interno dell'organizzazione. Gli asset informativi sono elementi con carattere informativo, come documenti, immagini, file, programmi, server, reti, strutture, prototipi di veicoli, strumenti e dispositivi rilevanti per il design o la modellazione.