Otomotiv Müşteri Bilgi Güvenliği Anketlerine Nasıl Yanıt Verilir?

Otomotiv tedarikçisi yalnız TISAX değerlendirmesiyle değil, müşterilerin kendi bilgi güvenliği anketleri ve denetimleriyle de uğraşır. Aynı yıl farklı müşterilerden benzer ama aynı olmayan onlarca soru gelir. Her biri başka bir kişi tarafından, başka ifadelerle yanıtlanırsa tutarsızlık kaçınılmazdır ve bu tutarsızlık ilk müşteri denetiminde ortaya çıkar. Aşağıda anket türlerini, tekrar kullanılabilir bir cevap kütüphanesinin kurulmasını, kanıt eki seçimini, aşırı taahhüt tuzaklarını ve TISAX sonucunun ankette nasıl kullanılacağını anlatıyoruz.

Anket ve müşteri denetimi türleri

Müşteri güvence talepleri biçim olarak farklılaşsa da birkaç ana gruba ayrılır. Hangi grupla karşı karşıya olduğunuz, yanıtın derinliğini ve kanıt ihtiyacını belirler.

Tür	Tipik içerik	Kanıt beklentisi
Genel tedarikçi öz değerlendirmesi	Politika, organizasyon, temel teknik kontroller	Çoğunlukla beyan, seçili belge
VDA ISA temelli öz değerlendirme	ISA kontrol soruları ve olgunluk seviyesi	Seviye beyanı, gerekçe
Projeye özgü güvenlik anketi	Veri değişim kanalları, erişim, prototip	Proje kurgusuna dair açıklama
BT hizmeti veya bulut anketi	Barındırma, şifreleme, kayıt, olay bildirimi	Mimari özet, sertifikalar
Müşteri yerinde veya uzaktan denetimi	Anket yanıtlarının doğrulanması	Kayıt, sistem görüntüsü, saha gözlemi

Bazı müşterilerde bu türler sırayla gelir: önce öz değerlendirme, ardından müşterinin risk modeline göre puanlama, zayıf görülen tedarikçi için denetim. Anket yanıtı bu yüzden ileride doğrulanacak bir beyandır. Öyle yazılmalıdır.

Cevap kütüphanesi kurmak

Cevap kütüphanesi, sık gelen soruların onaylı yanıtlarını, dayandıkları belgeleri ve sahiplerini bir arada tutan yapıdır. Hedef her soruyu sıfırdan yazmak değil, onaylı bir yanıtı soruya uyarlamaktır. Omurga olarak VDA ISA kontrol yapısını kullanmak pratiktir; otomotiv müşterilerinin soruları büyük ölçüde bu katalogun konu başlıklarıyla örtüşür. ISO 27001 kontrolleriyle eşleme de eklenirse aynı kütüphane otomotiv dışı müşterilerin anketlerinde de iş görür. İki çerçeve arasındaki ilişki TISAX ve ISO 27001 farkları yazısında açıklanıyor.

Her kütüphane kaydında şu alanlar bulunmalıdır:

• Konu ve eşleme: VDA ISA kontrolü, ISO/IEC 27001 Ek A kontrolü.
• Kısa yanıt: Evet / Kısmen / Hayır ve tek cümlelik özet.
• Uzun yanıt: Kontrolün nasıl uygulandığını anlatan, müşteriye gönderilebilir iki–dört cümle.
• Dayanak belge: Politika veya prosedür adı ve sürümü.
• Paylaşılabilir kanıt: Gizlilik anlaşması olmadan, gizlilik anlaşmasıyla veya yalnız denetimde gösterilebilecek kanıtlar.
• Sahip ve son gözden geçirme tarihi.

Kütüphane kanıt matrisiyle aynı kaynaktan beslenirse bakımı kolaylaşır: bir kontrolün kanıtı değiştiğinde ilgili yanıt da aynı yerde güncellenir. Kontrol–kanıt eşlemesinin kurulması kanıt matrisi nasıl hazırlanır yazısında anlatılıyor. Tarihsiz yanıt eskimiş yanıttır. Bir yanıtın son gözden geçirme tarihi bir yılı geçtiyse göndermeden önce ilgili birime yeniden onaylatın.

Yanıt yazım ilkeleri

İyi yanıt kontrolün varlığını değil, işleyişini anlatır. “Erişim yetkilerimiz kontrol edilmektedir” bilgi taşımaz. “Mühendislik dosya sunucusundaki proje klasörlerinin yetkileri, klasör sahibi tarafından üç ayda bir gözden geçirilir; gözden geçirme kaydı bilgi güvenliği sorumlusunca saklanır” ise kimin, neyi, ne sıklıkla yaptığını ve kanıtın nerede durduğunu söyler. Denetçi ikinci cümleyi okuyunca ne isteyeceğini bilir; siz de ne göstereceğinizi.

Yanıtlarda şirket içi sistem adları, IP adresleri, VLAN numaraları ve güvenlik ürünlerinin yapılandırma ayrıntıları gerekmedikçe verilmez. “Hangi firewall modelini, hangi yazılım sürümüyle kullanıyorsunuz?” sorusuna ürün sınıfı ve yönetim yöntemiyle yanıt vermek çoğu zaman yeter; tam sürüm bilgisi bir saldırganın da işine yarar.

Anket alım ve onay akışı

Anketler satışa, satın almaya veya kaliteye dağınık gelir. Tek bir giriş noktası (ortak e-posta adresi veya talep kaydı) hem son tarihlerin kaçmasını hem de aynı anketin iki kişi tarafından farklı yanıtlanmasını önler. Akış basit kalabilir: anket kaydedilir, kütüphaneden ön yanıtlar doldurulur, karşılığı olmayan sorular ilgili birime gider, bilgi güvenliği sorumlusu tutarlılığı kontrol eder, gönderim öncesi yetkili yönetici onaylar. Gönderilen anketin son sürümü, gönderim tarihi ve alıcısıyla birlikte arşivlenir; müşteri denetiminde ilk istenecek belge budur. Yeni sorulara verilen onaylı yanıtlar da kütüphaneye eklenir.

Kanıt eki seçimi ve gizlilik

Müşteriler sıkça kanıt eki ister. Seçim iki hedef arasında denge kurar: müşteriyi ikna etmek ve iç bilginizi gereğinden fazla açmamak. Aşağıdaki sınıflandırma kütüphanedeki “paylaşılabilir kanıt” alanını doldurmak için kullanılabilir:

Sınıf	Örnek	Paylaşım koşulu
Açık paylaşım	Politika özeti, sertifika, etiket bilgisi	Ankete doğrudan eklenebilir
Gizlilik anlaşmasıyla	Tam politika, prosedür, eğitim planı	Gizlilik anlaşması sonrası
Yalnız denetimde gösterim	Ağ şeması, sistem raporları, olay kayıtları	Ekran paylaşımı veya yerinde, kopya verilmez
Paylaşılmaz	Sızma testi bulgu ayrıntıları, parola politikası istisnaları	Özet bilgi verilir

Başka bir müşteriye ait bilgi içeren kanıtı maskelemeden paylaşmayın. Bir müşterinin proje adı ya da çizimi, diğer müşterinin anketine eklenen bir ekran görüntüsünün köşesinde görünüyorsa, tam da ankette sorulan gizlilik kontrolünü ihlal etmişsiniz demektir. Sahada en sık görülen sızıntı budur. Dosya gezgini penceresindeki klasör adları, e-posta istemcisindeki konu satırları ve görev çubuğundaki açık dosya isimleri ekran görüntülerinin olağan şüphelileridir.

Aşırı taahhütten kaçınmak

Anket yanıtları çoğu zaman sözleşme ekine dönüşür veya müşteri denetiminde referans alınır. Yanıt mevcut durumu anlatır, hedeflenen durumu değil. En sık görülen aşırı taahhüt biçimleri:

• Kısmen uygulanan bir kontrolün “evet” işaretlenmesi.
• Yalnız merkez lokasyonda geçerli bir uygulamanın bütün şirkete aitmiş gibi anlatılması.
• Müşterinin önerdiği sürelerin (örneğin olay bildirimi süresi) iç süreçler kontrol edilmeden kabul edilmesi.
• “Tüm verileri şifreliyoruz” gibi kapsamı belirsiz genellemeler.
• Bir dış hizmet sağlayıcının kontrolünü kendi kontrolünüz gibi sunmak.

“Tüm verileri şifreliyoruz” cümlesini sahada test edin: dizüstü bilgisayarlarda BitLocker açık olabilir, ama dosya sunucusunun yedekleri şifresiz bir NAS’a yazılıyor ve yerinde tutulan eski yedek diskler şifrelenmemiş olabilir. Denetçi tam bu soruyu sorar. Yanıtı veri türü ve ortam bazında yazın: hangi cihazda, hangi aktarımda, hangi yedekte.

Kısmi uygulamayı dürüstçe bildirmek çoğu zaman kabul görür; yeter ki açıklama alanında mevcut durum, telafi edici önlem ve planlanan tarih yazılsın. Müşterinin istediği bir taahhüt iç süreçlerle karşılanamıyorsa bunu yanıt aşamasında söylemek, sözleşme sonrası bir ihlalden daha ucuzdur.

TISAX sonucunun ankette kullanımı

Geçerli bir TISAX etiketi varsa, ankette VDA ISA kapsamına giren sorular için sonuca atıf yapılabilir. Anketin başına kısa bir bilgi notu ekleyin: etiketler, değerlendirme seviyesi, kapsamdaki lokasyonlar, geçerlilik tarihi ve sonucun ENX portalı üzerinden paylaşılabileceği. Paylaşım katılımcının onayıyla ENX portalında yapılır; müşterinin sonucu orada görmesi, ekteki bir ekran görüntüsünden daha güvenilirdir.

Atıfın sınırları vardır. Etiket yalnız kapsamdaki lokasyonlar için geçerlidir; müşterinin işi kapsam dışı bir lokasyonda yürüyorsa etiket o soruyu yanıtlamaz. Projeye özgü sorular (hangi veri değişim kanalının kullanılacağı gibi) ve kişisel verilere ilişkin sorular da çoğu zaman ayrıca yanıtlanır. Etiket henüz yoksa müşteri talebinin nasıl yönetileceği müşteri TISAX istediğinde yazısında ele alınıyor.

Müşteri yerinde denetimine hazırlık

Anket sonrası gelen müşteri denetimi, verilen yanıtların doğrulanmasıdır. Hazırlığın merkezinde anket yanıtlarınız durur: denetçi büyük olasılıkla yanıtları sırayla açıp kanıt ister.

1. Yanıtları yeniden okuyun: Gönderilen anketin son sürümünü bulun; o tarihten bu yana değişen uygulamaları işaretleyin.
2. Kanıt klasörü hazırlayın: Her yanıt için gösterilecek kaydı önceden belirleyin; yalnız denetimde gösterilecek kanıtlar için ekran paylaşımı veya yerinde gösterim düzenini planlayın.
3. Görüşmecileri belirleyin: Her konu için anlatacak süreç sahibini seçin ve anket yanıtıyla tutarlı konuşmasını sağlayın.
4. Saha turunu planlayın: Prototip alanları, sunucu odası ve giriş kontrol noktaları için güzergâh ve refakat düzeni belirleyin; diğer müşterilere ait alan ve bilgiler görünmemelidir.
5. Bulgu sürecini kararlaştırın: Denetim raporunun kime geleceğini, düzeltici eylem planının ne zaman ve nasıl gönderileceğini belirleyin.

Süreç sahiplerinin görüşmeye hazırlanması denetçi görüşmesine hazırlık yazısında anlatılıyor; aynı ilkeler müşteri denetiminde de geçerlidir. Anket yanıtları ve müşteri denetimleri için otomotiv tedarikçi bilgi güvenliği ve müşteri denetimleri, kanıt dosyasının yapılandırılması için TISAX denetim öncesi hazırlık ve kanıt dosyası hizmetlerimize bakabilirsiniz.

Sık sorulan sorular

TISAX etiketimiz varken müşteri neden ayrıca anket gönderiyor?

Etiket, VDA ISA temelinde belirli bir kapsam ve lokasyon için güvence verir. Müşterinin kendi anketi ise çoğu zaman belirli bir projeye, bulut hizmetine, kişisel veriye veya sözleşmeye özgü sorular içerir. Etiketle karşılanan sorularda sonuca atıf yapın, kalanları ayrıca yanıtlayın.

Ankete politika belgelerimizin tamamını eklemeli miyiz?

Genellikle hayır. Soruyu doğrudan yanıtlayan bölümü veya bir özet belgeyi eklemek yeterlidir. İç yapı, IP adresleri, sistem adları gibi ayrıntılar içeren belgeler gizlilik anlaşması olmadan paylaşılmamalı, gerekiyorsa maskelenmelidir.

Henüz uygulanmamış bir kontrole “evet” yazıp tarih vermek doğru mu?

Hayır. Doğru yanıt “kısmen” veya “hayır” olup planlanan tarihi açıklama alanında belirtmektir. Ankete verilen yanıt sözleşmenin parçası sayılabilir; uygulanmamış bir kontrolü uygulanmış gibi göstermek müşteri denetiminde ciddi bir güven sorununa dönüşür.

Cevap kütüphanesini kim güncellemeli?

Kütüphanenin bir sahibi olmalı, genellikle bilgi güvenliği sorumlusu. Her yanıtın içerik sahibi ise ilgili birimdir. Politika revizyonu, altyapı değişikliği veya denetim bulgusundan sonra etkilenen yanıtlar gözden geçirilmeli ve tarihi güncellenmelidir.