Podręcznik uczestnika TISAX

Opis zakresu określa zakres oceny. Na potrzeby opisu zakresu trzeba wybrać jeden z dwóch rodzajów zakresu:

Zakres standardowy omówimy w następnym punkcie. Zakres standardowy jest właściwym wyborem dla ponad 99% uczestników. Dlatego zakresy niestandardowe omówimy w Punkt 7.8, “Załącznik: Zakresy niestandardowe”.

Opis zakresu standardowego stanowi podstawę oceny TISAX. Inni uczestnicy TISAX akceptują jedynie wyniki oceny opartej na opisie zakresu standardowego.

Opis zakresu standardowego jest wstępnie określony i nie można go zmienić.

Główną zaletą zakresu standardowego jest brak konieczności opracowywania własnej definicji.

Oto opis zakresu standardowego (wersja 2.0):

Zdecydowanie zalecamy wybór zakresu standardowego. Wszyscy uczestnicy TISAX akceptują wyniki oceny bezpieczeństwa informacji opartej na zakresie standardowym.

Kolejnym zadaniem po określeniu rodzaju zakresu jest wskazanie lokalizacji wchodzących w zakres oceny.

W przypadku małej spółki (jedna lokalizacja) to proste zadanie. Po prostu należy dodać lokalizację do zakresu oceny.

W przypadku dużej spółki można rozważyć rejestrację więcej niż jednego zakresu oceny.

Jeden zakres obejmujący wszystkie lokalizacje ma pewne zalety:

Jeden zakres może także mieć następujące wady:

Tylko Państwo mogą udzielić odpowiedzi na pytanie, czy będzie to jeden zakres, czy też kilka zakresów. Pomoc w udzieleniu na nie odpowiedzi znajdą Państwo na poniższym schemacie.

Po podjęciu decyzji, jakie lokalizacje wchodzą w skład zakresu oceny, można dalej zbierać informacje dotyczące poszczególnych lokalizacji.

Dla każdej lokalizacji prosimy o takie informacje, jak nazwa i adres spółki. Prosimy także o dodatkowe informacje, które pozwolą naszym dostawcom usług audytu TISAX lepiej poznać strukturę Państwa spółki. Państwa odpowiedzi staną się podstawą szacowania ich nakładu pracy.

Należy się przygotować do podania następujących danych dla każdej z lokalizacji (czerwona gwiazdka * wskazuje obowiązkowe informacje w procesie online):

Dla każdej lokalizacji należy określić „location name” ( „nazwę lokalizacji”). Nazwa lokalizacji ułatwia odwoływanie się do niej podczas przypisywania do zakresu oceny.

Zalecamy przydzielanie nazw lokalizacji na podstawie poniższego wzorca:

Dla każdego zakresu należy określić „scope name” ( „nazwę zakresu”). Głównym celem nazwy zakresu jest ułatwienie Państwu identyfikacji zakresu na poglądowej liście zakresów na portalu ENX. Należy przypisać nazwę, która ułatwi życie zarówno czytelnikowi, jak i kolegom po fachu. w komunikacji zewnętrznej należy użyć Identyfikatora zakresu.

Można podać dowolną nazwę. Nie należy jednak nadawać tej samej nazwy zakresu więcej niż jednemu zakresowi.

W przypadku późniejszego odnowienia oceny TISAX należy utworzyć nowy zakres (być może identyczny z aktualnym). w związku z tym zalecamy, by do nazwy zakresu dodać rok oceny.

Zalecamy przydzielanie nazw zakresów na podstawie poniższego wzorca:

W celu komunikacji z Państwem, zbieramy dane osób do kontaktu w Państwa firmie.

Prosimy o co najmniej jedną osobę do kontaktu ogólnie dla Państwa firmy jako uczestnika TISAX oraz po jednej na każdy zakres oceny. Mogą Państwo wskazać dodatkowe osoby do kontaktu.

Podczas przygotowań do rejestracji należy zdecydować, kto będzie osobą do kontaktu w Państwa firmie.

Prosimy o następujące dane osób do kontaktu:

Głównym celem TISAX jest przekazanie wyniku Państwa oceny innym uczestnikom TISAX oraz udostępnienia wyniku Państwa oceny Państwa partnerowi/partnerom.

Decyzję o publikacji i udostępnianiu Państwa wyniku oceny mogą Państwo podjąć w trakcie procesu rejestracji lub w dowolnym późniejszym terminie.

Jeśli proces TISAX jest u Państwa etapem wstępnym, mogą Państwo podjąć decyzję o publikacji wyniku własnej oceny na potrzeby społeczności uczestników TISAX. w przeciwnym razie na tym etapie nie trzeba się do niczego przygotowywać.

Jeśli proces TISAX przechodzą Państwo na żądanie partnera, wcześniej czy później będą Państwo musieli udostępnić wynik oceny. Informacje na temat statusu mogą Państwo udostępnić partnerowi już na etapie rejestracji. Kiedy wynik oceny będzie dostępny, partner automatycznie otrzyma zgodę na dostęp^[6].

Aby udostępnić informacje dotyczące statusu, potrzebne są dwa elementy:

Warto się upewnić, czy posiadają Państwo takie informacje.

Bardziej szczegółowe informacje na temat publikacji i udostępniania wyniku oceny znajdują się w Punkt 6, “Wymiana (Etap 3)”.

Obecnie istnieje dwanaście celów oceny TISAX. Trzeba wybrać co najmniej jeden z nich. Można wybrać więcej niż jeden.

Cel oceny należy uznać za wzorzec porównawczy systemu zarządzania bezpieczeństwem informacji. Cel oceny stanowi kluczowe dane wejściowe procesu TISAX. Wszyscy dostawcy usług audytu TISAX opierają strategię oceny przede wszystkim na celu oceny.

Aktualne cele oceny TISAX są następujące:

Na przykład: jeśli prowadzą Państwo jazdy próbne na drogach publicznych, do Państwa celów oceny należy cel oceny „Test vehicles”.

ISA zawiera trzy katalogi kryteriów (bezpieczeństwo informacji, ochrona prototypów, ochrona danych). Każdy katalog kryteriów składa się z tzw. „pytań kontrolnych” i powiązanych wymogów.

Każdy cel oceny określa:

W przypadku niektórych celów oceny obowiązuje jedynie podzbiór pytań kontrolnych i wymagań.

Bardziej szczegółowe informacje kontekstowe na temat celów oceny TISAX oraz odpowiednich pytań kontrolnych i wymagań znajdują się w Punkt 5.2.2, “Rozumienie dokumentu ISA”.

Partner może wspomnieć o „etykietach TISAX”. „Cele oceny” i „etykiety TISAX” są niemal tym samym. Różnica polega na tym, że proces oceny zaczyna się od „celów oceny”, a w przypadku pomyślnego wyniku oceny otrzymuje się odpowiednie „etykiety TISAX”.

Przykład: partner żąda od Państwa uzyskania etykiety TISAX „Info high”. w tej sytuacji wybierają Państwo cel oceny „Info high”.

Poniższa ilustracja przedstawia dane wejściowe i wyjściowe procesu TISAX:

Bardziej szczegółowe informacje na temat etykiet TISAX znajdują się w Punkt 5.4.14, “Etykiety TISAX”.

W optymalnym przypadku partner dokładnie wskazuje cele oceny, które mają Państwo osiągnąć.

Cele oceny należy określić wedle własnego uznania w następujących przypadkach:

Jeśli muszą Państwo wybrać cel oceny wedle własnego uznania, być może warto uwzględnić następujące aspekty:

Dalsze wyjaśnienia:

Państwa partner posiada różne rodzaje informacji, z których niektóre mogą wymagać wyższego poziomu ochrony od innych. ISA uwzględnia ten fakt, rozróżniając trzy „potrzeby ochrony” ( „protection needs”): standardową, wysoką i bardzo wysoką. Państwa partner klasyfikuje własne informacje i zwykle przypisuje potrzeby ochrony.

Im wyższe potrzeby ochrony, tym bardziej Państwa partner jest zainteresowany zapewnieniem bezpieczeństwa przetwarzania jego informacji przez Państwa. Dlatego też TISAX rozróżnia trzy „poziomy oceny” (AL). Poziom oceny określi, jaką metodę oceny musi zastosować dostawca usług audytu. Wyższy poziom oceny wymaga większego wysiłku podczas oceny. To skutkuje wyższą starannością i rzetelnością oceny.

Poniższa tabela przedstawia poziomy oceny dotyczące celów oceny TISAX:

Poziom oceny 1 (AL 1):

Oceny na poziomie oceny 1 służą głównie do celów wewnątrzfirmowych w rozumieniu samooceny ( self-assessment).

W trakcie oceny na poziomie oceny 1, audytor sprawdza istnienie wypełnionej samooceny. Nie ocenia treści samooceny. Nie wymaga dalszych dowodów.

Wyniki oceny na poziomie oceny 1 mają niski poziom zaufania, a tym samym nie wykorzystuje się ich w ramach TISAX. Może się jednak zdarzyć, że partner zażąda takiej samooceny poza TISAX.

Poziom oceny 2 (AL 2):

W trakcie oceny na poziomie oceny 2, dostawca usług audytu sprawdza wiarygodność przeprowadzonej przez Państwa samooceny (dla wszystkich lokalizacji w zakresie oceny). Wsparciem tego procesu jest sprawdzenie dowodów^[8] i rozmowa z osobą odpowiedzialną za bezpieczeństwo informacji.

Dostawca usług audytu zwykle prowadzi taką rozmowę w formie konferencji przez Internet. Na Państwa żądanie może ją przeprowadzić osobiście.

Jeżeli nie chcą Państwo przekazywać dostawcy usług audytu wszystkich dowodów, mogą Państwo wystąpić o kontrolę na miejscu. Dzięki temu dostawca usług audytu może sprawdzić Państwa dowody przeznaczone wyłącznie dla Państwa oczu.

Poziom oceny 3 (AL 3):

W trakcie oceny na poziomie oceny 3, dostawca usług audytu prowadzi kompleksową weryfikację zgodności Państwa firmy z obowiązującymi wymogami. Audytor opracowuje ocenę na podstawie Państwa samooceny i przekazanych dokumentów. w przeciwieństwie jednak do poziomu oceny 2, audytor weryfikuje wszystkie dane. Audytor:

Poziomy oceny i metody oceny

Poniższa tabela zawiera uproszczony przegląd metod audytu związanych z poszczególnymi poziomami oceny:

Informacje dodatkowe:

TISAX nie musi wymagać od Państwa nałożenia jednakowych wymogów na wszystkich swoich dostawców. Cel oceny „Bezpieczeństwo informacji o bardzo wysokich potrzebach ochrony” NIE oznacza automatycznie, że Państwa dostawcy muszą zrealizować ten sam cel oceny. Nie oznacza nawet, że w ogóle muszą posiadać etykiety TISAX.

Mimo to jednak trzeba sprawdzić, czy korzystanie z usług poszczególnych dostawców zwiększa ryzyko lub wprowadza nowe.

Oto dwa mocno uproszczone przykłady:

Jednakże z oceny ryzyka może wynikać, że Państwa dostawca również musi spełnić wymogi dotyczące bardzo wysokich potrzeb ochrony. w takim przypadku etykiety TISAX stanowią opcję odpowiedniego udowodnienia Państwu tego faktu.

Identyfikator uczestnika:

Identyfikator zakresu:

ISA posiada obecnie trzy „katalogi kryteriów”^[12]:

Każdy katalog kryteriów posiada własny arkusz Excel:

Który katalog kryteriów odnosi się do Państwa? To zależy od Państwa celu/celów oceny.

Każdy cel oceny określa obowiązujące wymagania z określonego katalogu kryteriów. w przypadku niektórych celów oceny obowiązują wymagania jedynie z _jednego_ katalogu kryteriów, w przypadku innych z _więcej niż jednego_ katalogu kryteriów.

Wspomniane cele oceny przekładają się na te katalogi kryteriów:

Przykład: jeśli jako cel oceny wybrali Państwo „Ochronę danych”, będą Państwo musieli udzielić odpowiedzi na pytania w katalogach kryteriów „Bezpieczeństwo informacji” ORAZ „Ochrona danych”.

Być może zauważyli Państwo, że na każdy katalog kryteriów przypada więcej niż jeden cel oceny. Jak ustalić, które wymagania dotyczą poszczególnych celów oceny?

Poniższa tabela wskazuje obowiązujące wymagania:

Poniższy zrzut ekranu przedstawia główne elementy pytań kontrolnych w katalogu kryteriów „Bezpieczeństwo informacji”. (Pozostałe katalogi kryteriów zawierają jedynie podzbiór tych elementów.) Wszystkie elementy wyjaśnimy poniżej.

Każdy katalog kryteriów dzieli pytania na rozdziały.

Przykład: „2 Zasoby ludzkie”

Ten podział opiera się na typowych obowiązkach w spółce. Działy wskazano w kolumnie „Typowa osoba odpowiedzialna za wdrożenie procesu” (w powyższym przykładzie jest to „HR”).

Pytania dla każdego katalogu kryteriów znajdą Państwo w odpowiednich arkuszach Excel.

Przykład: „4.1.2 w jakim zakresie zabezpieczony jest dostęp użytkownika do usług sieciowych, systemów IT oraz aplikacji IT?”

Pytania kontrolne, na które muszą Państwo udzielić odpowiedzi, nazywane są też „kontrolami”. To „słowa audytora”. Termin „kontrola” używany jest także w normach ISO, na których opiera się ISA.

Między kolumną „Maturity level” ( „Poziom dojrzałości”) a „Control question” ( „Pytanie kontrolne”) znajdują się pola formularza, które należy wypełnić podczas samooceny:

Obowiązkowy jest jedynie krótki opis wdrożenia oraz odwołanie do Państwa dokumentacji. Te informacje pomogą dostawcom usług audytu TISAX lepiej zrozumieć Państwa spółkę i przygotować ocenę.

W celu wsparcia Państwa samooceny istnieją również inne kolumny opcjonalne:

W prawo od komórki „Pytanie kontrolne” znajduje się kolumna „Cel” (kolumna J). Jej treść opisuje, co trzeba osiągnąć w odniesieniu do tego aspektu swojego zarządzania bezpieczeństwem informacji.

Przykład (dla pytania kontrolnego 4.1.2): „Dostęp do systemów IT mogą uzyskać jedynie osoby po bezpiecznej identyfikacji (uwierzytelnieniu). w tym celu tożsamość użytkownika ustala się bezpiecznie za pomocą odpowiednich procedur.”

Wymagania określają, co mają Państwo zrealizować w celu realizacji celu.

Wymagania podzielono na cztery kolumny:

Należy spełnić wszystkie wymagania na potrzeby ochrony, którą chcą Państwo uzyskać (można ją znaleźć w celu oceny).

W przypadku niektórych celów oceny obowiązuje jedynie podzbiór wymagań. Bardziej szczegółowe informacje na temat obowiązujących wymagań znajdują się w Tabela 8, “Wymogi obowiązujące w przypadku celów oceny” w Punkt 5.2.2.1, “Katalogi kryteriów”, a szczególnie w note na końcu niniejszego punktu.

Bardziej szczegółowe informacje na temat przyjętych w ISA definicji poziomów wymagań „musi” i „powinien” znajdą Państwo w „Kluczowych terminach” w arkuszu Excel pt. „Definicje”.

ISA wykorzystuje koncepcję „maturity levels” ( „poziomy dojrzałości”) do oceny jakości wszystkich aspektów Państwa systemu zarządzania bezpieczeństwem informacji. Im bardziej rozbudowany jest Państwa system zarządzania bezpieczeństwem informacji, tym wyższy będzie Państwa poziom dojrzałości.

ISA wyróżnia sześć poziomów dojrzałości. Szczegółową definicję znajdą Państwo w arkuszu Excel „Maturity levels” ( „Poziomy dojrzałości”). Na potrzeby skonsolidowanego przeglądu poziomów dojrzałości cytujemy nieformalne opisy zawarte w ISA:

Poziom dojrzałości własnego systemu zarządzania bezpieczeństwem informacji należy ocenić zgodnie z pytaniem. Proszę wprowadzić swój poziom dojrzałości w kolumnie „Maturity level” ( „Poziom dojrzałości”) (kolumna E).

Bardziej szczegółowe informacje na temat docelowych poziomów dojrzałości i ich wpływu na wynik Państwa oceny znajdują się w Punkt 5.2.4, “Interpretacja wyniku samooceny”.

Lepsze rozumienie zapewnia Państwu teraz gotowość do rozpoczęcia samooceny.

Państwa punktacja stanowi podsumowanie wyniku samooceny.

Punktację („Wynik skorygowany docelowym poziomem dojrzałości”) można znaleźć w arkuszu Excel „Wyniki (ISA5)” (komórka D6). Termin „skorygowany” wyjaśnimy w dalszej części dokumentu.

Aby zrozumieć, a później zinterpretować Państwa wynik samooceny i punktację, należy rozróżnić dwa poziomy analizy:

Na poniższym rysunku przedstawiono poziomy analizy:

Poniższy rysunek przedstawia, gdzie znaleźć wyniki na poziomie punktacji oraz na poziomie pytań:

Kolejny rysunek przedstawia uproszczony widok poziomów analizy, definicje wartości docelowych ISA oraz Państwa wyników:

W poniższych punktach szczegółowo wyjaśniono wynik i jego analizę.

ISA określa „docelowy poziom dojrzałości” 3 dla każdego pytania.

Bardziej szczegółowe informacje na temat definicji każdego poziomu dojrzałości znajdują się w Punkt 5.2.2, “Rozumienie dokumentu ISA”.

ISA określa docelowe poziomy dojrzałości w arkuszu Excel „Wyniki (ISA5)” (począwszy od kolumny G, wiersz 22; patrz poniższy rysunek).

Aby otrzymać etykiety TISAX, zwykle potrzebują Państwo dla każdego pytania poziomów dojrzałości co najmniej równych docelowemu poziomowi dojrzałości.

Przykład: jeśli docelowy poziom dojrzałości dla pytania X wynosi „3”, Państwa poziom dojrzałości dla tego pytania powinien wynosić co najmniej „3”. Jeśli Państwa poziom dojrzałości dla tego pytania jest niższy niż „3”, mogą Państwo nie dostać etykiet TISAX.

Tak samo jest w przypadku wszystkich pytań. Jeśli docelowy poziom dojrzałości dla dwóch pytań wynosi „3”, nie mogą Państwo skompensować poziomu dojrzałości „2” dla jednego pytania poziomem dojrzałości „4” dla drugiego.

Dokument ISA automatycznie przenosi Państwa poziomy dojrzałości z arkusza Excel „Bezpieczeństwo informacji” (kolumna E) do arkusza „Wyniki (ISA5)” (począwszy od kolumny H, wiersz 23):

Państwa poziom dojrzałości oblicza się, zanim dokument ISA podsumuje go w Państwa punktacji. Zasadniczo Państwa poziom dojrzałości „koryguje się” do docelowego poziomu dojrzałości. Dzięki temu pytania, dla których Państwa poziom dojrzałości jest wyższy od docelowego poziomu dojrzałości nie kompensują pytań, dla których Państwa poziom dojrzałości jest niższy od docelowego poziomu dojrzałości.

Oto w jaki sposób ISA oblicza Państwa wynik na poziomie pytań:

Przykład (patrz poniższy rysunek): docelowy poziom dojrzałości wynosi „3”. Państwa poziom dojrzałości wynosi „4”. Państwa „wynik skorygowany” dla tego pytania wyniesie „3”.

Poniższy rysunek pokazuje, że jeśli Państwa poziom dojrzałości jest wyższy od docelowego poziomu dojrzałości, ISA skoryguje go w dół (kolory zielony, pomarańczowy i czerwony odpowiadają kolorom zastosowanym w kolumnie „Wynik”, patrz Rysunek 19, “Państwa poziomy dojrzałości w arkuszu Excel „Wyniki (ISA5)””).

Poniżej znajduje się kolejny sposób przedstawienia poziomów dojrzałości na poziomie pytań. Kolory kółek ilustrują docelowy poziom dojrzałości lub „odległość” do niego (np. kółko ma kolor pomarańczowy, kiedy poziom dojrzałości wynosi „-1” względem docelowego poziomu dojrzałości). Symbole zaznaczenia wskazują Państwa poziom dojrzałości.

ISA określa „idealny” ogólny poziom dojrzałości — „maksymalną punktację” (lub „Maksymalny wynik”, komórka G6).

W teorii ten ogólny poziom dojrzałości jest średnią wszystkich docelowych poziomów dojrzałości (na poziomie pytań). Dawałoby to maksymalną punktację „3,0”.

Jednakże „3,0” jest jedynie w przypadku, gdy do Państwa sytuacji odnoszą się wszystkie pytania. Jeśli jednak do Państwa sytuacji nie odnosi się jakieś pytanie, średnia się zmienia, a maksymalna punktacja jest niższa od „3,0”.

Na podstawie powyższego widoku (Rysunek 22, “Poziomy dojrzałości na poziomie pytań”), poniżej mogą Państwo sprawdzić, co wchodzi w skład średniej dla maksymalnej punktacji:

Państwa ogólna punktacja („Wynik skorygowany do docelowego poziomu dojrzałości”, komórka D6):

Na podstawie powyższego widoku (Rysunek 22, “Poziomy dojrzałości na poziomie pytań”), poniżej mogą Państwo sprawdzić, co wchodzi w skład średniej dla punktacji:

Punktacja wskazuje, czy Państwo:

Jeśli Państwa punktacja („Wynik skorygowany do docelowych poziomów dojrzałości”) jest niższa od „3,0”, Państwa poziom dojrzałości nie odpowiada docelowemu poziomowi dojrzałości dla co najmniej jednego pytania. w takim przypadku prawdopodobnie muszą Państwo ulepszyć swój system zarządzania bezpieczeństwem informacji, zanim będą Państwo gotowi do oceny TISAX.

Celem powyższej analizy jest ustalenie Państwa gotowości do oceny TISAX.

Z całą pewnością są Państwo gotowi do oceny TISAX, jeśli Państwa punktacja („Wynik skorygowany do docelowych poziomów dojrzałości) wynosi „3,0” lub jest bliska tej wartości. w takim przypadku wszystkie wartości w kolumnie „Wyniki” (H) mają kolor zielony (nie pomarańczowy ani czerwony).

Jeśli nie są zielone, wynik samooceny wymaga podjęcia działań (patrz Punkt 5.2.5, “Działanie na podstawie wyniku samooceny”).

Poniższy rysunek przedstawia schemat „pajęczynę” ISA w arkuszu Excel „Wyniki (ISA5)”. Zielona linia wskazuje docelowy poziom dojrzałości dla rozdziału. Jeśli Państwa poziomy dojrzałości znajdują się na lub powyżej tej linii, są Państwo gotowi do oceny TISAX. Jeśli są poniżej tej linii, może to nie wystarczyć do otrzymania etykiet TISAX.

Po „rozwinięciu” schematu pajęczyny ISA do poziomu pytań uzyskają Państwo podobny zielony/czerwony widok na poziomie pytań:

Podobnie jak wszystkie oceny TISAX, ocena wstępna zaczyna się formalnym spotkaniem otwierającym. Formalne spotkanie otwierające prowadzone jest zwykle w formie telekonferencji lub konferencji internetowej. w przypadku małych spółek, posiadających pewne doświadczenie zdobyte podczas wcześniejszych audytów, nie trwa ono długo.

To spotkanie ma następujące cele:

Dostawca usług audytu prowadzi ocenę wstępną zgodnie z opracowanym planem. Szczegóły oceny zależą od Państwa celów oceny. Ocena obejmuje przede wszystkim telekonferencje, rozmowy na miejscu oraz kontrole na miejscu o różnym poziomie szczegółowości^[22].

Dostawca usług audytu przedstawia wszystkie ustalenia podczas oceny wstępnej.

Podczas spotkania kończącego dostawca usług audytu ponownie podsumowuje wszystkie ustalenia.

Po spotkaniu kończącym dostawca usług audytu opracowuje i wysyła Państwu projekt „raportu z oceny TISAX”. Jeśli Państwa zdaniem dostawca usług audytu coś błędnie zrozumiał, mogą Państwo zgłosić zastrzeżenia.^[23] Wówczas dostawca usług audytu wydaje „raport z oceny TISAX”.

Na tym etapie aktualny całkowity wynik oceny ma postać:

Jeśli Państwa całkowity wynik oceny to „spełnia” już podczas oceny wstępnej, mogą Państwo pominąć dalszą część oceny i przejść do wymiany swojego wyniku.

Jeśli Państwa całkowity wynik oceny to „poważna niezgodność”, Państwa kolejnym zadaniem jest opracowanie planu podejścia do ustaleń oraz usunięcia luk stwierdzonych przez dostawcę usług audytu. Oficjalna nazwa tego planu to „plan działań korygujących” ( „corrective action plan”).

Powody „oceny planu działań korygujących” są następujące:

„Ocena planu działań korygujących” nie musi być niezależnym wydarzeniem. Swój „plan działań korygujących” mogą Państwo przedstawić już na spotkaniu kończącym ocenę wstępną. w takim przypadku dostawca usług audytu może bezpośrednio przeprowadzić „ocenę planu działań korygujących”.

Jeśli połączą Państwo „ocenę planu działań korygujących” z oceną wstępną, a Państwa „plan działań korygujących” spełni wymagania, mogą Państwo ustalić z dostawcą usług audytu brak konieczności „raportu z oceny wstępnej”. Zamiast niego Państwa dostawca usług audytu może opracować po prostu „raport z oceny planu działań korygujących”. Ten raport pozwala otrzymać tymczasowe etykiety TISAX.

Dostawca usług audytu oceni Państwa „plan działań korygujących” na podstawie następujących wymagań:

Jeśli Państwa całkowity wynik oceny to „drobna niezgodność”, otrzymują Państwo tymczasowe etykiety TISAX.

Państwa partner zasadniczo akceptuje tymczasowe etykiety TISAX pod warunkiem, że w późniejszym terminie otrzymają Państwo stałe etykiety TISAX. Może się to przydać, kiedy muszą Państwo w trybie pilnym udowodnić partnerowi skuteczność własnego systemu zarządzania bezpieczeństwem informacji.

Warunkiem wstępnym otrzymania tymczasowych etykiet TISAX jest raport z oceny planu działań korygujących z całkowitym wynikiem oceny „drobna niezgodność”.

Tymczasowe etykiety TISAX są równe stałym etykietom TISAX. Jedyną różnicą jest krótszy okres ważności tymczasowych etykiet TISAX.

Tymczasowe etykiety TISAX mogą zachować ważność przez najwyżej dziewięć miesięcy od spotkania kończącego ocenę wstępną. Okres ważności tymczasowych etykiet TISAX zależy od najdłuższego okresu wdrożenia działań korygujących.

Przykłady:

Bardziej szczegółowe informacje na temat wymogów dotyczących okresów wdrożenia znajdują się w Punkt 5.4.9.3, “Wymagania dotyczące planu działań korygujących”

Po zakończeniu wszystkich działań korygujących należy wystąpić o „ocenę kontrolną”.

Państwa dostawca usług audytu może przeprowadzić ocenę(-y) kontrolną(-e) w ciągu najwyżej dziewięciu miesięcy od zakończenia oceny wstępnej^[25].

Jeśli nie potrzebują Państwo tymczasowych etykiet TISAX, mogą Państwo od razu poprosić o ocenę kontrolną. Przed oceną kontrolną nie jest potrzebna „ocena planu działań korygujących”.

Jeśli potrzebują Państwo tymczasowych etykiet TISAX, mogą Państwo sprawdzić, czy nie ma luk uniemożliwiających ich otrzymanie. w związku z tym zalecamy wystąpienie o ocenę kontrolną znacznie przed ostatecznym terminem^[26]. Zapas czasu wynika z potrzeby usunięcia wszelkich drobnych ustaleń stwierdzonych podczas oceny kontrolnej.

Cele oceny i odpowiadające im etykiety TISAX są powiązane w dość prosty sposób. Trzeba jednak pamiętać o jeszcze jednej ważnej rzeczy: niektóre etykiety TISAX są związane z hierarchią. Oznacza to, że otrzymując daną etykietę TISAX, automatycznie otrzymują Państwo wszystkie etykiety TISAX „niższego” rzędu.

Przykład: w przypadku celu oceny „Very high availability” otrzymują Państwo odpowiadającą mu etykietę TISAX „Very high availability”. Ponieważ jednak cel oceny „Very high availability” stanowi nadzbiór „High availability”, automatycznie otrzymują Państwo także etykietę TISAX „High availability”.

Obecnie w przypadku etykiet TISAX obowiązuje następująca hierarchia:

Tą hierarchię można określić przez porównanie odpowiednich wymagań wskazanych w Tabela 8, “Wymogi obowiązujące w przypadku celów oceny”.

Nie każdemu uczestnikowi może się to wydawać ważne. Wyobraźmy sobie jednak, że jeden partner żąda od Państwa okazania etykiety TISAX „Very high availability”, a drugi „High availability”. w takim przypadku posiadanie obu etykiet TISAX ułatwia wszystkim życie, ponieważ nie trzeba wiedzieć, że „High availability” stanowi podzbiór „Very high availability”. Szczególnie prawdziwe może to być w przypadku partnerów, u których posiadanie określonych etykiet TISAX jest elementem rygorystycznego procesu zakupów. Zwykle nikt nie ma ochoty wyjaśniać, że „Very high availability” jest „lepsza” od „High availability”. Można po prostu przedstawić wszystkie posiadane etykiety TISAX, a osoba prowadząca ocenę może odhaczyć wymóg „musi posiadać etykietę TISAX «High availability»”.

Etykiety TISAX zasadniczo zachowują ważność przez trzy lata. Okres ważności rozpoczyna się z końcem procesu oceny (jeszcze przed wydaniem raportu z oceny TISAX).

Okres ważności etykiet może być krótszy w przypadku istotnych zmian zakresu oceny TISAX.

Przykłady: przeniesienie firmy, nowe lokalizacje. (Instrukcje dotyczące sposobu postępowania w takich przypadkach znajdują się w Punkt 7.9.3.2, “Wniosek o zmianę lokalizacji” oraz Punkt 7.9.3.4, “Dodawanie kolejnej lokalizacji”.)

Aby zachować etykiety TISAX na długi czas, trzeba je odnawiać^[29] co trzy lata.

Oznacza to właściwie konieczność ponownego przejścia procesu TISAX (rejestracji zakresu oceny, ponownego poddania się ocenie TISAX, udostępnienia wyniku oceny). Rejestracja jest nieco prostsza, ponieważ nie ma potrzeby ponownego tworzenia spółki jako uczestnika TISAX. Można wykorzystać ponownie wszystkie osoby do kontaktu i lokalizacje zapisane w bazie danych TISAX.

Po otrzymaniu etykiet TISAX mogą Państwo przejść do ostatniego etapu i udostępnić je partnerowi.