TISAX Etiketleri: Bilgi, Prototip ve Veri Koruma Hedefleri

TISAX’te başvurduğunuz şey bir sertifika değil, bir veya daha fazla değerlendirme hedefidir; başarılı değerlendirmenin sonunda her hedef için bir etiket verilir. Hangi etiketi seçtiğiniz, değerlendirmenin hangi VDA ISA bölümlerini kapsayacağını, hangi seviyede yapılacağını ve ne kadar hazırlık gerekeceğini belirler. Yanlış seçim ya eksik kapsam ya da boşa harcanan aylar demektir. Aşağıda bilgi güvenliği, erişilebilirlik, prototip koruma ve veri koruma etiket gruplarını ve müşteri talebinden doğru etiket listesine nasıl inildiğini anlatıyoruz.

Değerlendirme hedefi (etiket) kavramı

Değerlendirme hedefi, korunacak nesneyi ve koruma ihtiyacını birlikte tanımlar: “çok yüksek gizlilikteki bilgi”, “prototip parçalar” veya “özel nitelikli kişisel veri” gibi. Her hedef üç şeyi sabitler:

• Kapsanan katalog modülleri: VDA ISA’da bilgi güvenliği, prototip koruma ve veri koruma modülleri ayrı bölümlerdir. Hedef, hangi modüllerin ve hangi ek gerekliliklerin değerlendirileceğini belirler.
• Değerlendirme seviyesi: Hedefin koruma ihtiyacına göre AL2 veya AL3.
• Etiketin anlamı: Müşteri ENX portalında etiketi gördüğünde neyin doğrulandığını bilir.

ENX etiket adlarını zaman içinde sadeleştirdi; “Info high” ve “Info very high” hedefleri güncel adlarıyla “Confidential” ve “Strictly confidential” olarak geçer. Eski talep yazılarında eski adları, yenilerinde yeni adları görürsünüz. Başvurudan önce güncel adlandırmayı ENX’in TISAX dokümantasyonundan doğrulayın.

Bilgi güvenliği etiketleri

Çoğu tedarikçinin karşılaştığı temel grup budur. İki eksende tanımlanır: gizlilik ve erişilebilirlik.

Hedef	Koruma ihtiyacı	Seviye
Confidential (Info high)	Yüksek gizlilik	AL2
Strictly confidential (Info very high)	Çok yüksek gizlilik	AL3
High availability	Yüksek erişilebilirlik	AL2
Very high availability	Çok yüksek erişilebilirlik	AL3

Gizlilik etiketleri, müşterinin paylaştığı teknik çizim, şartname, yazılım, fiyat ve proje bilgisinin korunmasına odaklanır. “Strictly confidential” hedefi katalogdaki çok yüksek koruma ihtiyacına ait ek gereklilikleri devreye sokar; şifreleme, erişim kısıtlaması ve kayıt tutma tarafında beklenti sertleşir.

Erişilebilirlik hedefleri sonradan eklendi ve tedarikçinin hizmet ya da üretim sürekliliğinin müşteri için belirleyici olduğu durumlar için tanımlandı. Tipik örnek: müşteriye tam zamanında (JIT) parça sağlayan, sistem kesintisi müşterinin hattını durdurabilecek bir tedarikçi. Bu hedefler seçildiğinde iş sürekliliği, yedekleme ve kurtarma süreçleri değerlendirmede ağırlık kazanır. Geri yükleme testi yapılmamış bir yedek burada kanıt sayılmaz.

Prototip koruma etiketleri

Prototip koruma hedefleri, henüz piyasaya çıkmamış araç ve parçaların fiziksel korunmasıyla ilgilidir. Tamamı AL3 gerektirir. Fiziksel güvenlik ancak yerinde doğrulanır.

Hedef	Tipik faaliyet
Proto parts	Prototip parça ve bileşen üretimi, depolanması
Proto vehicles	Prototip araçların saklanması ve üzerinde çalışma
Test vehicles	Kamufle test araçlarının kullanımı, test sürüşleri
Events and shootings	Prototiplerle etkinlik, foto ve film çekimi

Bu hedefler katalogun prototip koruma modülünü kapsar: fiziksel ve çevresel güvenlik, organizasyonel gereklilikler, araç ve parça taşıma, test araçları, etkinlikler. Prototip etiketleri bilgi güvenliği modülünden bağımsız değildir; hangi bilgi güvenliği gerekliliklerinin prototip hedefleriyle birlikte değerlendirildiğini güncel ENX kurallarından teyit edin. Ayrıntılar TISAX prototip koruma gereklilikleri yazısında.

Seçimi faaliyet bazında yapın. Prototip kapı paneli kalıbı üreten bir tedarikçi “Proto parts” etiketine ihtiyaç duyar; test aracı kullanmıyorsa “Test vehicles” gereksizdir. Yalnızca CAD verisi işleyen ve fiziksel prototiple hiç temas etmeyen bir mühendislik firması, prototip etiketi yerine bilgi güvenliği etiketiyle yetinebilir. Bu durumu müşteriyle yazılı olarak teyit edin.

Veri koruma etiketleri

Veri koruma hedefleri, tedarikçinin müşteri adına kişisel veri işlediği durumlar içindir. Değerlendirme, AB Genel Veri Koruma Tüzüğü’nün (GDPR) 28. maddesindeki veri işleyen yükümlülüklerine dayanır.

• Data (AL2): Müşteri adına kişisel veri işleme. Örnek: OEM çalışanlarına yönelik bir uygulamanın işletilmesi veya bayi ağı verisiyle çalışan bir CRM hizmeti.
• Special data (AL3): GDPR 9. maddede tanımlı özel nitelikli kişisel verilerin işlenmesi. Örnek: sağlık verisi içeren bir iş sağlığı hizmeti veya biyometrik veriyle çalışan bir sistem.

Türkiye’deki bir tedarikçi için veri koruma etiketi KVKK uyumunun yerine geçmez. Etiket, AB’li müşterinin veri işleyen tedarikçisini GDPR çerçevesinde değerlendirmesini kolaylaştırır. KVKK ayrı yönetilir.

Müşteri talebinden etiket seçimine

Etiket seçimini müşteri talebine dayandırmak için aşağıdaki karar tablosunu kullanın. Her satır bir soru; “evet” cevabı eklenmesi gereken hedefi gösterir.

Soru	Evet ise
Müşteri gizli bilgi paylaşıyor mu?	Confidential
Bilgi müşteri tarafından “çok yüksek” sınıflandırılıyor mu?	Strictly confidential
Kesintimiz müşterinin operasyonunu doğrudan etkiliyor mu?	Availability hedefleri (müşteri talep ederse)
Prototip parça veya araç fiziksel olarak bizde mi?	İlgili prototip hedefi
Müşteri adına kişisel veri işliyor muyuz?	Data veya Special data

Son söz yine müşterinindir. Erişilebilirlik gibi yorum gerektiren hedeflerde kendi tahmininizle değil, müşterinin yazılı talebiyle hareket edin. Birden fazla müşteri varsa taleplerin birleşim kümesini çıkarın ve hangi etiketin hangi müşteriden geldiğini kaydedin; yenileme döneminde gereksiz etiketi ayıklamak bu kayıtla dakikalar sürer.

Etiket seçimi seviyeyi de belirler; AL2 ile AL3 arasındaki yöntem farkı için TISAX AL1, AL2 ve AL3 farkları yazısına bakın.

Gereksiz etiketin maliyeti

• Ek katalog gereklilikleri için doküman, süreç ve kanıt üretimi.
• AL3 hedefleri için yerinde inceleme ve buna bağlı denetim günleri.
• Bulgu riskinin artması: kullanılmayan bir faaliyet için bile kontrollerin uygulanmış olması beklenir.
• Yenilemede aynı yükün tekrar taşınması.

Etiket seçiminde sahada en sık görülen hatalar

• Rakibin etiketlerini kopyalamak: Aynı sektördeki başka bir tedarikçinin yayımlanmış etiketleri sizin müşteri ilişkinizi yansıtmaz. Seçim kendi sözleşmelerinize dayanır.
• Seviyeyle etiketi karıştırmak: “AL3 istiyoruz” cümlesi bir hedef belirtmez. Strictly confidential, Very high availability, prototip hedefleri ve Special data’nın hepsi AL3 gerektirir; hazırlık yükleri ise birbirinden çok farklıdır.
• Prototip etiketlerini toplu seçmek: Dört prototip hedefini birden seçmek, test aracı veya etkinlik faaliyeti olmayan bir firmada değerlendirilemeyen ya da bulgu üreten kontroller yaratır.
• Veri koruma hedefini atlamak: Müşteri çalışanlarının veya bayi ağının kişisel verisini işleyen BT hizmetlerinde bu hedef çoğu zaman gözden kaçar; müşteri sonradan ek değerlendirme ister.
• Eski etiket adlarıyla yazışmak: Müşteriye yanıt verirken eski ve güncel adı birlikte yazın. Yanlış anlaşılma biter.

Seçilen etiketlerin gerekçesini kısa bir karar kaydında tutun: hangi müşteri, hangi talep yazısı, hangi tarih, hangi hedef. Aynı kayıt TISAX denetim öncesi hazırlık sürecinde, değerlendirme sağlayıcısıyla ön görüşmede ve iç yönetim onayında da işe yarar; kapsam sorusu geldiğinde dayanağınız hazırdır.

Etiket kapsamının genişletilmesi

Yeni bir müşteri veya proje yeni bir hedef gerektirdiğinde mevcut kapsama ek hedef eklenebilir. Bunun ENX kaydında nasıl yapılacağı (mevcut kapsamın güncellenmesi veya yeni değerlendirme kaydı) güncel ENX kurallarına bağlıdır; her durumda değerlendirme sağlayıcısı ek değerlendirme yapar. Kontrol sırası:

1. Ek hedefin seviyesine bakın; AL2 kapsamına AL3 hedefi eklemek yerinde inceleme demektir.
2. Mevcut etiketlerin geçerlilik süresini hesaba katın; yenileme tarihi yakınsa ek hedefi yenilemeyle birlikte planlamak genellikle daha verimlidir.
3. Yeni hedefin lokasyonlara etkisini değerlendirin; prototip hedefi kapsamdaki lokasyonlara bağlandığı için prototip işi yapılmayan lokasyonları ayrı kapsamda tutmanın uygun olup olmadığını sağlayıcıyla konuşun.
4. Müşteriye, ek etiketin ne zaman paylaşılabileceğine dair gerçekçi bir tarih verin.

Etiket seçimini bağımsız bir gözle doğrulatıp hazırlık planını buna göre kurmak isterseniz TISAX danışmanlığı sayfasından başlayın. Genel yol haritası TISAX hazırlık rehberi yazısında.

Sık sorulan sorular

Prototip etiketi almak için şirketimizde araç bulunması gerekir mi?

Hayır, ama etiketin konusu olan faaliyetin gerçekten yürütülmesi gerekir. Yalnızca prototip parça üreten veya depolayan bir tedarikçi parça etiketine ihtiyaç duyar; araç, test aracı ve etkinlik etiketleri bu faaliyetler yoksa anlamsızdır ve gereksiz kapsam yaratır.

Veri koruma etiketi KVKK uyumunu kanıtlar mı?

Hayır. Veri koruma etiketleri, müşteri adına kişisel veri işleyen tedarikçinin AB Genel Veri Koruma Tüzüğü’ndeki veri işleyen yükümlülükleri açısından değerlendirilmesi içindir. KVKK ayrı bir yasal çerçevedir ve ayrıca ele alınır.

Etiketleri sonradan eklemek mümkün mü?

Evet. Mevcut kapsam için ek değerlendirme hedefleri seçilerek kapsam genişletilebilir. Ancak yeni hedefler ek değerlendirme gerektirir, AL3 hedefleri de yerinde inceleme demektir; bilinen talepleri ilk başvuruda birlikte planlayın.

Müşteri yalnızca “TISAX olsun” diyorsa hangi etiketi seçmeliyiz?

Bu bilgi seçim için yetmez. Müşteriden paylaşacağı bilginin koruma ihtiyacını, prototip içerip içermediğini ve kişisel veri işlenip işlenmeyeceğini yazılı olarak isteyin. Belirsiz talebe tahminle etiket seçmek ya eksik ya da gereksiz maliyetli bir kapsamla biter.