TISAX Yeniden Değerlendirmesi: Etiket Süresi Dolmadan Hazırlık

TISAX etiketi alınınca proje ekibi dağılır, bilgi güvenliği gündemi günlük operasyona döner. Geçerlilik tarihi yaklaştığında tablo bellidir: ilk değerlendirmenin kanıtlarının bir kısmı eskimiş, sorumlular değişmiş, katalog sürümü güncellenmiştir. Aşağıda yeniden değerlendirmenin etiket geçerliliğine göre nasıl zamanlanacağını, ara dönemde sistemin nasıl işletileceğini, katalog ve kapsam değişikliklerinin etkisini ve uygulanabilir bir hazırlık takvimini anlatıyoruz.

Etiket geçerliliği ve yenileme zamanlaması

TISAX etiketleri sınırlı süre geçerlidir; ENX’in katılımcı el kitabında bu süre genel olarak üç yıl olarak tanımlanır. Sürenin hangi tarihten başlayarak hesaplandığını ve geçici etiketlerin bu hesaba nasıl yansıdığını kendi değerlendirme raporunuzdan ve ENX’in güncel dokümanlarından doğrulayın; geçerlilik tarihi ENX portalında her etiket için görünür.

Yeniden değerlendirme ENX portalında yeni bir değerlendirme olarak kaydedilir ve ilk değerlendirmeye benzer adımlarla ilerler: kayıt, kapsam teyidi, sağlayıcı seçimi, değerlendirme ve gerekirse düzeltici eylem planı. Asıl tuzak şurada: yeni değerlendirmede bulgu çıkarsa düzeltici eylem planı ve takip değerlendirmesi için de zaman gerekir. “Değerlendirme günü etiket bitmeden önce olsun” hedefi yetmez. Bulgu kapanışı da geçerlilik süresine sığmalıdır. Düzeltici eylem sürecinin işleyişi TISAX düzeltici eylem planı ve geçici etiket yazısında anlatılıyor.

Önceki raporun kullanımı ve sağlayıcı seçimi

Önceki değerlendirme raporu yeniden değerlendirmenin en değerli girdisidir. Raporda gözlem veya iyileştirme alanı olarak not edilen konular, sağlayıcının ilk bakacağı yerlerdir; bunların ara dönemde ele alındığını gösteren kayıtları hazırlayın. Yeniden değerlendirmede sağlayıcı değiştirilebilir. Değişiklik düşünüyorsanız teklif sürecini erken başlatın; önceki raporun ve bulgu kapanış kanıtlarının yeni sağlayıcıya hangi gizlilik koşullarıyla sunulacağını belirleyin. Sağlayıcı aynı kalsa bile değerlendirme ekibi değişebilir. Önceki görüşmelerde sözlü anlatılan konuları bu kez yazılı kanıtla destekleyin.

Ara dönemde sistemi işletmek

ISO 27001 belgelendirmesinin aksine TISAX’te etiket süresi boyunca yıllık gözetim değerlendirmesi yapılmaz. Dışarıdan zorlayan kimse yoktur; sistem kendi iç mekanizmalarıyla ayakta kalmalıdır. Yeniden değerlendirmede sağlayıcı yalnız bugünkü durumu değil, kontrollerin dönem boyunca işletildiğini de görmek ister; hedef olgunluk seviyesi 3 (“yerleşik”) için düzenli işletim kaydı belirleyicidir. Kayıt yoksa işletim de yok sayılır.

Ara dönemde sürdürülmesi gereken asgari faaliyetler:

• Yıllık iç denetim: VDA ISA kontrollerinin tamamını dönem içinde kapsayan bir program; bulguların DÖF sürecine bağlanması.
• Yönetimin gözden geçirmesi: TISAX kapsamına özgü gündem maddeleri (müşteri talepleri, prototip projeleri, olaylar) ile.
• Periyodik kontroller: Erişim gözden geçirmeleri, yedekleme ve geri yükleme testleri, zafiyet taramaları, tedarikçi değerlendirmeleri gibi kayıt üreten faaliyetlerin takvime bağlanması.
• Risk değerlendirmesinin güncellenmesi: Yeni sistemler, yeni lokasyonlar ve yeni müşteri projeleri için.
• Farkındalık ve gizlilik taahhütleri: Yeni çalışanlar ve prototip projesine katılanlar için kayıtların eksiksiz tutulması.

Sahada en sık kopan halka periyodik teknik kontrollerdir. Yedekleme işi her gece yeşil görünür, ama son geri yükleme testi ilk değerlendirme haftasında yapılmıştır. Yeşil job, geri yükleme kanıtı değildir. Zafiyet taraması da aynı durumdadır: tarama aracı çalışıyor, raporlar bir klasörde birikiyor, ama bulguların kapatıldığına dair kayıt yok. Her periyodik kontrol için “çalıştı” kaydını değil, “sonuç değerlendirildi ve aksiyon alındı” kaydını saklayın.

ISO 27001 sertifikası da olan kuruluşlar ara dönemde avantajlıdır; gözetim denetimi döngüsüne TISAX’e özgü kontrolleri ekleyerek iki çerçeveyi aynı takvimle işletebilirler. Gözetim döngüsünün planlanması için gözetim denetimi hazırlığı yazısı bu açıdan da kullanılabilir.

Katalog sürümü değişikliğinin etkisi

Yeniden değerlendirme o tarihte geçerli VDA ISA sürümüne göre yapılır. Üç yıllık bir dönemde katalogun güncellenmesi olasıdır; kontrol numaraları, ifadeler, gereklilik düzeyleri değişmiş ya da yeni kontroller eklenmiş olabilir. İlk değerlendirmenin öz değerlendirme dosyasını olduğu gibi yeniden sunmak bu yüzden risklidir.

Etkiyi yönetmenin yolu fark analizidir: eski ve yeni sürüm kontrolleri eşlenir, değişen veya eklenen her gereklilik için mevcut uygulamanın yetip yetmediği değerlendirilir, açıklar iş planına dönüştürülür. Hangi katalog sürümüyle değerlendirileceğinizi sağlayıcıyla erkenden teyit edin; sürüm geçişlerinde ENX belirli bir dönem için birden fazla sürümü kabul edebilir. Sürüm geçişinin ayrıntıları VDA ISA 2027 geçişi yazısında ele alınıyor.

Kapsam ve organizasyon değişiklikleri

Üç yılda organizasyonda olan değişiklikler yeniden değerlendirmenin kapsamını doğrudan etkiler. Tipik değişiklikler ve etkileri:

Değişiklik	Yeniden değerlendirmeye etkisi	Yapılacak
Yeni lokasyon	Kapsama eklenmesi gerekebilir	Müşteri talebi ve veri akışına göre karar
Kapatılan lokasyon	Kapsamdan çıkarılır	Müşteriye bilgi verilmesi
Yeni etiket talebi	Ek kontroller ve seviye değişikliği	Prototip veya veri koruma hazırlığı
Bulut hizmetine geçiş	Tedarikçi ve teknik kontrollerin değişmesi	Sağlayıcı güvencesi ve sözleşme kanıtı
Satın alma veya birleşme	Yeni süreçler ve sistemler	Kapsamın yeniden tanımlanması
Kilit personel değişikliği	Süreç bilgisinin kaybı	Rol tanımları ve devir kaydı

Kapsam kararı ilk değerlendirmedeki mantıkla yeniden verilmelidir. Mevcut kapsamı otomatik kopyalamak, yeni bir tesiste yürüyen müşteri işini dışarıda bırakabilir. Bulut geçişinde de benzer bir kayma olur: dosya sunucusu SharePoint’e veya başka bir bulut depolamaya taşındıysa erişim kontrolü, kayıt tutma ve yedekleme kontrollerinin kanıtı artık başka bir konsoldan gelir. Eski kanıt klasörü işe yaramaz. Lokasyon kararı için kriterler TISAX kapsamı ve lokasyon seçimi yazısında açıklanıyor.

Hazırlık takvimi

Aşağıdaki takvim, etiket geçerlilik tarihini “T” kabul ederek geriye doğru planlama için bir örnektir. Süreleri kuruluşun büyüklüğüne, değerlendirme seviyesine ve sağlayıcının takvimine göre uyarlayın.

Zaman	Faaliyet	Çıktı
T − 12 ay	Kapsam ve etiket ihtiyacının müşterilerle teyidi	Onaylı kapsam taslağı
T − 10 ay	Güncel katalogla öz değerlendirme ve fark analizi	Açık listesi ve iş planı
T − 9 ay	Sağlayıcı teklifleri ve ENX kaydı	Planlanmış değerlendirme tarihi
T − 8 ila T − 5 ay	Açıkların kapatılması, iç denetim	Kapanmış açıklar, iç denetim raporu
T − 4 ay	Kanıt dosyası ve görüşme hazırlığı	Kontrol bazında kanıt klasörü
T − 3 ay	Değerlendirme	Rapor ve varsa bulgular
T − 3 ay ila T	Düzeltici eylem planı ve takip	Yenilenmiş etiketler

Bu örnek, bulgu çıkarsa takip değerlendirmesi için yaklaşık üç aylık tampon bırakır. Tampon daraldıkça etiketin süresi içinde yenilenememe riski büyür. Sağlayıcıların yoğun dönemlerde takvim bulmakta zorlanabileceğini de hesaba katın. Takvimdeki her adımın sahibi ve tarihi BGYS faaliyet planına işlenmeli, ilerleme yönetim gözden geçirmesinde düzenli raporlanmalıdır.

Değişiklik kontrol listesi

Hazırlığın başında “ilk değerlendirmeden bu yana ne değişti?” sorusunu sistematik sormak için şu liste kullanılabilir:

• VDA ISA katalog sürümü değişti mi; değiştiyse fark analizi yapıldı mı?
• Kapsamdaki lokasyonlarda açılış, kapanış veya taşınma oldu mu?
• Müşteriler yeni etiket veya daha yüksek seviye talep etti mi?
• Bilgi güvenliği sorumlusu, BT yöneticisi veya süreç sahipleri değişti mi; rol tanımları güncel mi?
• Önemli altyapı değişiklikleri (bulut geçişi, yeni ERP/PLM, yeni dış hizmet sağlayıcı) oldu mu?
• Önceki değerlendirmenin bulguları için uygulanan eylemler dönem boyunca işletildi mi; kayıtları var mı?
• Dönem içinde yaşanan güvenlik olayları ve dersler BGYS’ye yansıtıldı mı?
• Politika ve prosedürlerin gözden geçirme tarihleri geçmiş mi?
• Prototip projeleri için gizlilik taahhütleri ve alan erişim kayıtları güncel mi?

Her maddeye bir sorumlu ve tarih atanırsa liste doğrudan yeniden değerlendirme iş planına dönüşür. Güncel katalogla mevcut durumu ölçmek için VDA ISA gap analizi ve olgunluk değerlendirmesi, yenileme sürecinin bütünü için TISAX danışmanlığı ve değerlendirme hazırlığı hizmetlerimize bakabilirsiniz.

Sık sorulan sorular

TISAX’te ISO 27001’deki gibi yıllık gözetim denetimi var mı?

Hayır. TISAX etiketleri geçerlilik süresi boyunca ara değerlendirme olmadan geçerlidir; süre sonunda yeniden değerlendirme yapılır. Ara dönemde sistemin işletilmesi tamamen kuruluşun kendi iç denetimine, yönetim gözden geçirmesine ve kontrol takvimine bağlıdır.

Yeniden değerlendirmede farklı bir değerlendirme sağlayıcısı seçebilir miyiz?

Evet. Yeniden değerlendirme ENX portalında yeni bir değerlendirme olarak kaydedilir ve sağlayıcı seçimi yeniden yapılır. Sağlayıcı değişirse önceki raporun ve bulgu kapanışlarının yeni sağlayıcıya nasıl sunulacağını önceden planlayın.

Etiket süresi dolarsa ne olur?

Etiket ENX portalında geçerliliğini yitirir ve müşteriler sonucu geçerli olarak göremez. Sözleşmede geçerli etiket şartı varsa yeni projeler veya veri paylaşımı durabilir. Bunu önlemek için yeniden değerlendirmeyi, olası düzeltici eylem planı süresini de hesaba katarak erken planlayın.

Önceki değerlendirmede kapatılan bulgulara yeniden bakılır mı?

Değerlendirme tüm kapsamı yeniden ele alır; önceki bulguların konuları da buna dahildir. Uygulanan düzeltici eylemlerin üç yıl boyunca işletildiğini gösteren kayıtlar, olgunluk seviyesinin korunduğunun en güçlü kanıtıdır.