TISAX Kapsamı: Standart Kapsam ve Lokasyon Seçimi

TISAX başvurusundaki çoğu karar sonradan düzeltilebilir; kapsam ve lokasyon kararı ise değerlendirmenin süresini, maliyetini ve müşterinin sonucu kabul edip etmeyeceğini doğrudan belirler. Dar kapsam müşteri verisinin işlendiği binayı dışarıda bırakır. Geniş kapsam hazırlığı aylarca uzatır. Aşağıda standart kapsamın pratikte ne anlama geldiğini, lokasyonun hangi kriterle kapsama girdiğini ve çok tesisli firmaların bu kararı veri akışına bakarak nasıl verebileceğini anlatıyoruz.

Değerlendirme kapsamı ne demek?

TISAX’te kapsam, organizasyonun hangi süreç, kaynak ve lokasyonlarının seçilen değerlendirme hedefleri (etiketler) açısından incelendiğini tanımlar. ISO 27001’deki BGYS kapsamından farklı olarak burada kapsam büyük ölçüde standarttır; kuruluşa serbestçe sınır çizme alanı pek bırakmaz. Asıl soru “hangi süreçler?” değil. Asıl soru “hangi lokasyonlar?”

Kapsam ENX portalındaki kayıtta tanımlanır ve sonuçla birlikte müşterilere görünür. Müşteri sonucu açtığında etiketleri, değerlendirme seviyesini, kapsam türünü ve kapsamdaki lokasyonları yan yana görür. Yani kapsam, sağlayıcıyla aranızda kalan teknik bir ayrıntı değildir; müşteriye yapılmış bir beyandır. Portaldaki kayıt adımları ENX portalında TISAX kaydı yazısında anlatılıyor.

Standart kapsam ve özel kapsam

ENX, TISAX için bir standart kapsam tanımı yayımlar. Buna göre değerlendirme, kapsamdaki lokasyonlarda seçilen hedeflerin koruma amaçlarıyla ilgili ve değerlendirilen organizasyonun sorumluluğundaki tüm süreçleri, prosedürleri ve kaynakları kapsar. Pratik anlamı şu: bir lokasyonu kapsama aldığınızda, o binada müşteri bilgisinin veya prototipin güvenliğini etkileyen hiçbir süreci “buna bakmayalım” diyerek ayıramazsınız.

Özellik	Standart kapsam	Özel kapsam
Tanım	ENX’in sabit kapsam metni	Kuruluşa göre daraltılmış tanım
Süreç dışlama	İlgili süreç dışlanamaz	Belirli süreç veya birimler sınırlanabilir
Müşteri kabulü	Genel beklenti budur	Müşteri onayı belirsizdir
Önerilen kullanım	Hemen her durum	Yalnız müşteriyle yazılı mutabakat varsa

Özel kapsam hazırlık yükünü azaltır, bu yüzden cazip görünür. Ama müşteri sonucu kabul etmezse bütün değerlendirme tekrarlanabilir. Kapsam metninin güncel sürümünü ve özel kapsamın koşullarını ENX tarafından yayımlanan katılımcı el kitabından doğrulayın.

Lokasyonu kapsama sokan kriterler

TISAX’te lokasyon, değerlendirilen faaliyetin fiilen yürütüldüğü fiziksel adrestir; etiketler yalnız kapsamdaki lokasyonlar için geçerlidir. Bir lokasyonun kapsama girmesi gerekip gerekmediğini şu sorular belirler:

• Müşteri bilgisi burada işleniyor mu? Çizim, şartname, proje dokümanı veya test verisine bu adreste çalışan personel erişiyorsa lokasyon adaydır.
• Prototip burada bulunuyor mu? Prototip parça, bileşen veya araç geçici olarak bile burada saklanıyor, işleniyor ya da test ediliyorsa prototip etiketleri için lokasyon kapsamda olmalıdır.
• Merkezi güvenlik süreçleri burada mı? BT yönetimi, kimlik yönetimi, sunucu odası veya bilgi güvenliği fonksiyonu başka bir adresteyse o lokasyon, kapsamdaki lokasyonların güvenliğini doğrudan etkiler.
• Müşteri sözleşmesi hangi adresi gösteriyor? Teklif veya sipariş belirli bir üretim ya da mühendislik lokasyonuna verildiyse müşteri o adresin etiketini arar.

Uzaktan çalışma ayrı lokasyon olarak tanımlanmaz; mobil cihazlar ve ev ofisleri kapsamdaki lokasyonun süreçleri içinde ele alınır. Dış sağlayıcının işlettiği veri merkezi veya bulut hizmeti de genellikle sizin lokasyonunuz değildir; tedarikçi yönetimi kontrolleri üzerinden değerlendirilir.

Kapsam dışı lokasyonu gerçekten ayırmak

Bir lokasyonu kapsam dışı bırakmak, o adresten müşteri verisine erişilemediğini gösterebilmek demektir. Ortak alan adı, ortak dosya sunucusu ve site-to-site VPN kullanan firmalarda bu ayrım çoğu zaman yalnız kâğıt üzerinde kalır. Sahada en sık gördüğümüz tablo şudur: satış ofisi “kapsam dışı” yazılmış, ama ofisin VLAN’ı merkezle düz bir tünel üzerinden konuşuyor ve proje paylaşımı “Domain Users” grubuna açık. Değerlendirmede “satış ofisindeki bir kullanıcı proje klasörünü açabiliyor mu?” sorusu geldiğinde yanıtı yetki grupları, firewall kuralları ve erişim kayıtları vermelidir.

Ayrımı teknik olarak kanıtlayamıyorsanız lokasyonu kapsama almak, sonradan müşteriye açıklama yapmaktan genellikle daha ucuzdur. Kâğıttaki ayrım ayrım değildir. Kapsam dışı lokasyonun gerekçesi BGYS dokümantasyonunda kapsam kararıyla birlikte saklanmalıdır.

Çok lokasyonlu firmalar için karar tablosu

Birden fazla tesisi olan firmada her lokasyonu kapsama almak süreyi ve maliyeti büyütür; hepsini dışarıda bırakmak müşteri talebini karşılamaz. Aşağıdaki tablo tipik lokasyon türleri için başlangıç kararını verir. Nihai karar, müşterinin istediği etiketler ve veri akışı şemasıyla birlikte çıkar.

Lokasyon türü	Tipik karar	Gerekçe
Mühendislik / Ar-Ge ofisi	Dahil	Müşteri verisinin ana işlendiği yer
Prototip üretim veya test tesisi	Dahil	Prototip etiketleri lokasyona bağlıdır
Genel merkez (BT ve İK burada)	Çoğunlukla dahil	Merkezi kontrol süreçleri burada işler
Seri üretim tesisi	Veri akışına bağlı	Çizim ve proje verisi sahaya iniyorsa dahil
Satış ofisi	Çoğunlukla hariç	Teknik müşteri verisine erişim yoksa
Lojistik deposu	Prototip varsa dahil	Seri parça deposu genellikle kapsam dışı
Dış sağlayıcı veri merkezi	Lokasyon olarak hariç	Tedarikçi yönetimi kapsamında ele alınır

Seri üretim tesisi en çok tartışılan satırdır. Hat başındaki operatör paneline CAD çizimi veya müşteri şartnamesi iniyorsa, ya da PLM istemcisi üretim ofisinde kuruluysa tesis kapsama girer. Yalnız iş emri ve parça numarası iniyorsa durum farklıdır. Bunu kâğıttan değil, sahadaki terminalden kontrol edin.

Merkezi ve olgun bir BGYS’si olan, çok sayıda lokasyonu bulunan kuruluşlar için TISAX, her lokasyonun ayrı ayrı tam değerlendirilmesi yerine basitleştirilmiş grup değerlendirmesi (Simplified Group Assessment) gibi yöntemler de tanımlar. Ön koşulları (merkezi yönetim, ortak süreçler, belirli olgunluk) sıkıdır ve sürümler arasında değişebilir. Uygunluğu sağlayıcıyla ve güncel el kitabıyla kontrol edin.

Müşteri kapsamı nasıl okur?

Müşteri sonucu ENX portalında gördüğünde üç şeye bakar: istediği etiket var mı, gerekli seviyede mi, işinin yürüdüğü lokasyonu kapsıyor mu? Biri eksikse sonuç talebi karşılamaz. En sık görülen sorun, müşterinin projesinin yürüdüğü ikinci tesisin kapsam dışında kalmasıdır.

Çözüm basittir: başvurudan önce kapsam taslağını müşteriye gönderin. Kısa bir e-postada lokasyon adresleri, planlanan etiketler ve seviye yazılır; müşterinin yazılı onayı alınır. Hangi etiketin hangi koruma hedefini temsil ettiği TISAX etiketleri yazısında açıklanıyor. Birden fazla müşterisi olan tedarikçide kapsam, tüm müşterilerin talep ettiği lokasyonların birleşimi olmalıdır.

Kapsam değişikliği

Etiket alındıktan sonra organizasyon değişir: yeni tesis açılır, mühendislik başka adrese taşınır, yeni bir müşteri prototip etiketi ister. Bu değişiklikler etiketleri kendiliğinden genişletmez. Yeni lokasyon veya yeni etiket için ek değerlendirme gerekir; bunun nasıl yapılacağı ve geçerlilik tarihlerinin hizalanıp hizalanamayacağı sağlayıcıyla netleştirilmelidir.

Lokasyonun kapanması veya faaliyetin taşınması da müşteriye bildirilmesi gereken bir değişikliktir; eski adresin etiketi yeni adresteki faaliyete güvence vermez. Pratik yöntem: BGYS değişiklik yönetimi formuna “TISAX kapsam etkisi var mı?” sorusunu ekleyin. Sunucu taşıması veya yeni bir WAN bağlantısı onaya gelirken soru da önünüze gelir.

ISO 27001 kapsamıyla ilişki

ISO 27001 sertifikalı firmalar TISAX kapsamını mevcut BGYS kapsamından kopyalamaya eğilimlidir. İki kapsam örtüşebilir, ama aynı mantıkla kurulmaz: ISO 27001’de kapsam sınırını gerekçesiyle kuruluş belirler, TISAX’te standart kapsam metni ve müşteri talebi belirler. BGYS kapsamının kurulması ISO 27001 kapsam belirleme yazısında ele alınıyor; iki çerçevenin genel farkları için TISAX hazırlık rehberi başlangıç noktasıdır.

Kapsam kararı için kontrol listesi

• Müşterinin istediği etiketler, seviye ve tarih yazılı olarak elde.
• Müşteri verisi ve prototip akışı lokasyon bazında çizildi.
• Merkezi BT, kimlik yönetimi ve bilgi güvenliği fonksiyonlarının adresi belirlendi.
• Her lokasyon için dahil/hariç kararı ve gerekçesi yazıldı.
• Kapsam dışı lokasyonlara müşteri verisinin akmadığı yetki grupları ve ağ kurallarıyla doğrulandı.
• Standart kapsam seçildi; özel kapsam düşünülüyorsa müşteri onayı alındı.
• Kapsam taslağı müşteriyle paylaşıldı ve onaylandı.

Kapsam ve lokasyon kararını müşteri talepleriyle birlikte değerlendirmek için TISAX danışmanlığı ve değerlendirme hazırlığı, seçilen kapsamın kanıt dosyası için TISAX denetim öncesi hazırlık hizmetlerimize bakabilirsiniz.

Sık sorulan sorular

TISAX’te özel kapsam seçmek mümkün mü?

Teknik olarak mümkün. Ancak sonuçlar standart kapsam varsayımıyla paylaşıldığı için özel kapsamın müşterilerce kabulü belirsizdir. Özel kapsam düşünüyorsanız sonucu talep eden müşteriden önceden yazılı teyit alın.

Uzaktan çalışan mühendisler için ev adresleri lokasyon olarak eklenir mi?

Hayır. Ev ofisleri lokasyon olarak kaydedilmez; uzaktan ve mobil çalışma, kapsamdaki lokasyonun süreçleri içinde politika, teknik kontroller ve farkındalıkla ele alınır. Değerlendirmede bu kuralların nasıl uygulandığı sorulur.

Dış kaynaklı veri merkezi kapsam lokasyonu olur mu?

Hizmeti üçüncü taraf veriyorsa veri merkezi genellikle sizin lokasyonunuz olarak eklenmez; tedarikçi yönetimi kontrolleri kapsamında değerlendirilir. Sağlayıcının güvenlik güvencesini, sözleşme hükümlerini ve varsa kendi sertifika veya etiketlerini kanıt olarak hazırlayın.

Etiket aldıktan sonra yeni bir lokasyon eklenebilir mi?

Eklenebilir, ama yeni lokasyon mevcut etiketlerden kendiliğinden yararlanmaz; ek değerlendirme gerekir. Bunun ayrı bir değerlendirme mi yoksa kapsam genişletmesi olarak mı yapılacağını ve geçerlilik tarihlerinin nasıl hizalanacağını değerlendirme sağlayıcısıyla netleştirin.