02 / Conformité et certification
TISAX, prêt avant l'arrivée du prestataire d'audit
Nous aidons les fournisseurs et prestataires de l'industrie automobile à parcourir le catalogue VDA ISA, à combler les écarts et à aborder l'évaluation avec des preuves plutôt qu'avec des intentions.
Présentation
Ce qu'est TISAX
TISAX (Trusted Information Security Assessment Exchange) est le mécanisme d'évaluation et d'échange utilisé dans l'industrie automobile. Il est exploité par l'association ENX, et les évaluations reposent sur le catalogue VDA ISA (Information Security Assessment) publié par la fédération allemande de l'industrie automobile (VDA).
C'est en général votre client qui indique les objectifs d'évaluation attendus, par exemple des informations à besoin de protection élevé ou très élevé, la protection des prototypes ou la protection des données. Les objectifs déterminent le niveau d'évaluation et la profondeur de l'audit. Vous vous inscrivez sur le portail ENX, réalisez une auto-évaluation selon le catalogue et êtes évalué par l'un des prestataires d'audit agréés par ENX.
Les résultats prennent la forme de labels, et c'est vous qui décidez sur le portail ENX quels partenaires peuvent les voir. Black Fox n'est pas un prestataire d'audit TISAX. Nous vous préparons, vous aidons à combler les écarts, coordonnons l'évaluation avec nos partenaires d'audit de longue date ou un prestataire agréé par ENX de votre choix, et vous accompagnons pendant celle-ci si vous le souhaitez.
À qui s'adresse ce service
Les équipementiers, bureaux d'études et de design, prestataires logistiques et prestataires informatiques dont les clients de l'industrie automobile exigent un label TISAX, souvent avant qu'un contrat puisse démarrer ou se poursuivre.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Objectifs et périmètre
Nous vous aidons à confirmer les objectifs d'évaluation exigés par vos clients et les sites et processus concernés.
Auto-évaluation VDA ISA
Nous parcourons le catalogue avec vous, fixons des niveaux de maturité réalistes et consignons la preuve derrière chaque réponse.
Traitement des écarts
Politiques, procédures et mesures techniques pour ce que révèle l'auto-évaluation, priorisées selon ce que l'évaluation examinera.
Protection des prototypes
Lorsque vos objectifs l'incluent, des mesures physiques et organisationnelles pour la manipulation des prototypes, véhicules et composants.
Protection des données
Lorsque vos objectifs l'incluent, l'alignement des questions de protection des données sur vos obligations au titre du RGPD.
Vérifications techniques
Si utile, des revues de durcissement et des tests d'intrusion, pour que les mesures décrites existent aussi dans vos systèmes.
Déroulement de la mission
Lancement
Nous convenons des objectifs, des sites, des interlocuteurs et de l'échéance de votre client, et signons d'abord un accord de confidentialité si vous le souhaitez.
Auto-évaluation
Un parcours accompagné du catalogue VDA ISA, avec à la clé une liste d'écarts priorisée.
Traitement des écarts
Nous travaillons avec vos responsables sur les documents, les mesures et les preuves.
Revue préalable
Nous examinons vos preuves comme le ferait un évaluateur et signalons ce qui ne tiendrait pas.
Évaluation
Nous coordonnons l'évaluation avec l'un de nos partenaires d'audit de longue date ou le prestataire agréé par ENX de votre choix, et vous aidons à traiter les plans d'actions correctives qui suivent.
Ce que vous recevez
- Objectifs d'évaluation et périmètre confirmés
- Auto-évaluation VDA ISA complétée avec renvois vers les preuves
- Rapport d'écarts et plan d'action priorisé
- Politiques et procédures adaptées à votre organisation
- Constats de la revue préalable
- Appui pour les plans d'actions correctives
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Êtes-vous prestataire d'audit TISAX ?
Non. Les évaluations sont menées par des prestataires d'audit agréés par l'association ENX, indépendamment de notre travail de préparation. Nous vous préparons, coordonnons l'évaluation avec l'un de nos partenaires d'audit de longue date ou un prestataire de votre choix, et vous accompagnons pendant celle-ci.
TISAX, est-ce la même chose que l'ISO/IEC 27001 ?
Non, mais les deux sont liés. Le catalogue VDA ISA s'appuie sur l'ISO/IEC 27001 et ajoute des sujets propres à l'automobile, comme la protection des prototypes. Un SMSI ISO/IEC 27001 est une bonne base, mais ne remplace pas une évaluation TISAX.
De quel niveau d'évaluation avons-nous besoin ?
Il découle des objectifs d'évaluation exigés par votre client. Demandez-lui quels objectifs il attend, et nous vous aiderons à comprendre ce que cela implique pour l'audit.
Qui voit notre résultat ?
Vous, et les partenaires avec qui vous choisissez de le partager. C'est vous qui décidez sur le portail ENX qui peut voir vos labels et avec quel niveau de détail.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Gouvernance et risquesGestion des risques tiersRisques fournisseurs avec Black Fox Security : inventaire, classement, questionnaires, revue des preuves et clauses contractuelles, en lien avec NIS 2 et DORA.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
Commencez par ce que votre client a demandé
Dites-nous quels objectifs votre client exige et pour quand. Nous vous montrerons où vous en êtes par rapport au catalogue.