TISAX

Ett litet “men”

Att jobba systematiskt med informations- och it-säkerhet är inte ett projekt som har ett slut, utan är ett kontinuerligt arbete med att säkerställa en bra efterlevnad av det ledningssystem vi nu har på plats. Ett bra sätt att göra detta är att planera in internrevisioner minst årligen för att säkerställa att ni hanterar förändringar och rutiner runt säkerhetsfrågorna på rätt sätt.
Exempel på efterlevnad: 

• Processrevisioner
• Uppdaterade tillgångsregister och klassificeringar
• Riskanalyser
• Kontinuitetstester i verksamheten, återställningstester osv.

TISAX omfattar tre olika delar, informationssäkerhet, personuppgiftsskydd (i två nivåer) samt prototyphantering. Precis som i arbetet med ISO27001, handlar standarden övergripande om att mappa risker mot informationstillgångar och utifrån det implementera rutiner och skyddsfunktioner som adresserar riskerna.
För att genomföra en TISAX-certifiering krävs ledningens stöd och en stark intern projektledning. Precis som med cybersäkerhet generellt, bygger det på riskmedvetenhet, riskanalyser samt konsekvensbedömningar. Dessutom handlar det om att ha god kontroll över företagets informationstillgångar. Detta innebär att man behöver sätta upp ett ledningssystem för informationssäkerhet. I praktiken handlar det alltså om såväl nya arbetssätt som investeringar i IT-säkerhetstekniska lösningar. En TISAX-certifiering är med andra ord inte en pappersprodukt utan ett iterativt arbete med att öka informationssäkerheten på företaget – dessutom på många olika nivåer av organisationen.

Fordonsindustrin är en föregångare i att såväl applicera effektiva processer med hjälp av IT, som att förstå riskerna. TISAX-registreringen täcker i hög grad det som EU nu inför i och med NIS2-direktivet. Leverantörskedjorna inom fordonsindustrin är kritiska verksamheter. Utöver säkerhetsområdet har fordonsindustrin sedan tidigare även egna kvalitetsregelverk (IATF) för att säkerställa kvaliteten och leveransförmågan.

Varför TISAX?

Enkelt förklarat handlar TISAX-certifieringen om att uppnå två centrala mål för fordonsindustrin:

• Att säkerställa ett effektivt skydd av konfidentiell information som behöver utbytas i en komplex leverantörskedja. Det kan handlar om t ex projektinformation, investeringsplaner, prototyp och designinformation men också om personuppgifter.
• Att säkerställa förmågan att kontinuerligt kunna leverera produkter och tjänster till utveckling och produktion inom fordonsindustrin utan avbrott. I detta fall handlar det t. ex. om att undvika stillestånd i produktion och leveranser genom att ha bra skydd mot hoten att bli utsatta för attacker som riskerar tillgängligheten till information, t. ex. en ransomware-attack. Tänk på att även era underleverantörer kan spela en viktig roll i er förmåga att leva upp till kraven från TISAX.

Gemensamt överenskomna “lägsta” säkerhetskrav i kombination med ett gemensamt erkännande av bedömningarna kan målen uppnås till en så kostnadseffektiv nivå som möjligt då det förenklar hanteringen i affärsdialogen mellan inblandade parter. Genom att vara en så kallad “TISAX-participant” så är du en del i nätverket och kan utbyta information och resultat med andra deltagare i nätverket.

Fördelarna med TISAX

I en digital värld där cyberhoten blir allt mer sofistikerade, står svenska industriföretag inför en ökad risk för informationssäkerhetsbrott. Konsekvenserna av att bli utsatt kan vara enorma.
För att skydda sina informationstillgångar krävs ett kontinuerligt arbete, vilket också speglas i TISAX-standarden. Den bygger på ISO/IEC 27001:s ramverk men är anpassad för att möta de unika behoven hos fordonsindustrins aktörer, inklusive leverantörer och tillverkare.
En TISAX-certifiering innebär med andra ord inte att man ”bara” tillgodoser yttre krav – det resulterar också i en höjning av cybersäkerheten i den egna organisationen. Har man genomgått en TISAX-certifiering är man alltså bättre rustad, i och med att det för med sig en mängd åtgärder och rutiner som syftar till att stärka säkerheten.
Även om TISAX ursprungligen utvecklades för fordonsindustrin, kan dess principer och metoder appliceras på andra industrisektorer. För svenska industriföretag som strävar efter att upprätthålla en hög nivå av informationssäkerhet, kan TISAX erbjuda en vägledning för att uppnå detta mål.

Genom säkerhetsåtgärder skapas en bättre förmåga att stå emot cyberattacker och skydda väsentlig information för att kunna upprätthålla leveransförmåga:
1. Robustare försvar mot cyberattacker genom att möta kraven inom informationssäkerhet.
2. Standardisering – Mäter mognadsgraden inom många olika säkerhetsområden som hjälper dig att bygga en effektivare och säkrare verksamhet genom bra standardiserade rutiner och skyddsåtgärder med ett förbättringstänk.
3. Konkurrensfördelar och “dörröppnare” för framtida affärer.

Fördelar med utvärdering

TISAX-bedömningar är inte bara ett krav från vissa tillverkare, utan bidrar också till att skapa förtroende i leveranskedjan. Deltagande leverantörer kan dra nytta av:

• Erkänd certifiering av fordonstillverkare
• Förhindrar brott mot informationssäkerheten och cyberattacker
• Att vinna kundernas förtroende
• Identifiering och hantering av risker
• Få erkännande för goda informationssäkerhetsprocesser
• Delning av bedömningsresultat genom ENX-utbytet.

Kritiska framgångsfaktorer TISAX

• Ledningens aktiva stöd i processen. (“Walk the talk”)
• Tydlighet och transparens om vad och varför vi jobbar med systematiskt arbete (och att vi väljer att certifiera oss)
• Etablera några effektmål och KPI’er som går att mäta över tid.
• Involvera rätt människor i organisationen redan från början (detta är inte ett IT-projekt)
• Informera och utbilda internt:
• Synliggör nyttan.
  – Gör det enkelt för alla medarbetare att hitta information och att agera utifrån våra arbetssätt och rutiner.
  – Kommunicera ofta och jobba med kulturen att “vi hanterar efterlevnaden”

Om oss