Otomotiv yan sanayi tedarikçileri için TISAX AL3 denetim kriterleri: Prototip koruma, VDA ISA soruları, veri sızıntısı önleme ve uyum rehberini inceleyin.
Hızlı Özet (TL;DR)
TISAX (Trusted Information Security Assessment Exchange), Alman Otomotiv Endüstrisi Birliği (VDA) tarafından oluşturulan VDA ISA (Information Security Assessment) soru kataloğuna dayanan ve ENX Derneği tarafından yönetilen uluslararası otomotiv bilgi güvenliği değerlendirme standardıdır. Volkswagen Group, BMW, Mercedes-Benz, Porsche, Audi ve Ford Otosan/TOGG gibi küresel OEM’ler (ana sanayi üreticileri) ile Tier-1 tedarikçiler; kalıp, parça, yazılım veya Ar-Ge hizmeti aldıkları yan sanayi firmalarından yeni araç projeleri öncesinde TISAX AL3 (Assessment Level 3) etiketi talep etmektedir. ISO 27001’den farklı olarak TISAX AL3; yalnızca sunucu odasını değil, henüz lansmanı yapılmamış araç parçalarının üretildiği Prototip Alanlarının fiziksel gizliliğini, CAD/CAM verilerinin sızdırılmazlığını ve üretim sahası (OT) ağ izolasyonunu yerinde denetler.
TISAX Değerlendirme Seviyeleri (AL1, AL2, AL3) ve Kapsam Farkları
ENX portalına kayıt olan bir otomotiv tedarikçisinin hangi seviyede denetleneceği, ana sanayiden (OEM) aldığı verinin ve fiziksel parçanın gizlilik derecesine (Normal, Yüksek, Çok Yüksek) göre belirlenir:
| Değerlendirme Seviyesi | Denetim Metodolojisi | Koruma Hedefi / Risk Düzeyi | Tipik Tedarikçi Profili | Etiket Geçerliliği ve ENX Paylaşımı |
|---|---|---|---|---|
| AL 1 (Assessment Level 1) | Firma içi öz değerlendirme (Self-Assessment); bağımsız denetçi incelemesi yoktur | Düşük / Standart Risk | Kritik veri erişimi olmayan yardımcı hizmet ve standart sarf malzeme tedarikçileri | ENX üzerinden resmi TISAX etiketi oluşturmaz |
| AL 2 (Assessment Level 2) | Kanıt dokümanları üzerinden uzaktan denetim (Plausibility Check) ve mülakat | Yüksek (High) Koruma İhtiyacı | Seri üretimdeki mevcut araç modellerine parça üreten Tier-1 ve Tier-2 yan sanayiciler | 3 yıl geçerli resmi TISAX etiketi (Uzaktan doğrulama) |
| AL 3 (Assessment Level 3) | Akredite denetim kuruluşu tarafından fabrikada yerinde fiziksel teftiş (On-Site Audit) | Çok Yüksek (Very High) + Prototip Koruma | Henüz piyasaya çıkmamış yeni kasa araçların kalıbını, prototip parçasını veya Ar-Ge verisini işleyenler | 3 yıl geçerli en üst düzey TISAX AL3 ve Prototype Protection etiketi |
AL3 Denetiminde “Prototip Koruma (Prototype Protection)” Kriterleri
VDA ISA kataloğunun en zorlayıcı modülü olan Bölüm 8: Prototip Koruma (Prototype Protection), rakiplerin veya otomotiv paparazzilerinin henüz tanıtılmamış bir aracın tasarım hatlarını, batarya mimarisini veya gövde parçalarını sızdırmasını engellemek için tasarlanmıştır. Denetçiler fabrikaya geldiklerinde şu 5 fiziksel güvenlik katmanını bizzat sahada test eder:
1. Fiziksel Görüş İzolasyonu ve Çevre Güvenliği
Prototip parçaların veya kalıpların işlendiği CNC tezgahları, CMM ölçüm odaları ve montaj istasyonları genel fabrika alanından fiziksel olarak ayrılmış (kafes, opak bölme duvar veya paravan) olmalıdır:
- Dış cepheye bakan pencereler buzlu film veya panjurla kapatılmalı; fabrika dışından, komşu binadan veya dron (İHA) ile yukarıdan içerdeki parçanın görülmesi engellenmelidir.
- Standart üretim hattında çalışan mavi yaka personelin dahi yetkisi yoksa prototip alanının içini görmesi (Line-of-Sight) imkansız hale getirilmelidir.
2. Turnike, Kartlı/Biyometrik Geçiş ve Ziyaretçi Yönetimi
Prototip alanına giriş-çıkışlar 7/24 kayıt altına alınan elektronik erişim kontrol sistemleri (kartlı geçiş veya biyometrik okuyucu) ile sınırlandırılmalıdır. “Kapı arkadan kilitli ama içeriden malzeme taşırken takoz koyup açık bırakıyoruz” yaklaşımı AL3 denetiminde doğrudan Major Non-Conformity (Büyük Uygunsuzluk) sebebidir:
- Giriş yetkisi yalnızca ilgili projede görevli ve Gizlilik Sözleşmesi (NDA) imzalamış minimum sayıdaki personele tanımlanmalıdır.
- Ziyaretçiler, bakım teknisyenleri veya alt yükleniciler prototip alanına yalnızca refakatçi eşliğinde, kimlik kontrolü yapılarak ve ziyaretçi log defterine (veya dijital sisteme) saat/dakika bazında kaydedilerek alınabilir.
3. Kamera, Akıllı Telefon ve Kayıt Cihazı Yasağı
Prototip sızıntılarının %90’ı cebindeki akıllı telefonla fotoğraf çeken personel veya ziyaretçiler kaynaklıdır. Bu nedenle prototip alanı girişinde:
- Akıllı telefon, akıllı saat ve kayıt cihazlarının kilitli telefon dolaplarına bırakılması veya cihaz kameralarının söküldüğünde iz bırakan özel güvenlik etiketleriyle (Tamper-Evident Camera Sticker) mühürlenmesi zorunludur.
- Alan içindeki güvenlik kameralarının (CCTV) görüş açıları doğrudan gizli prototip parçanın detaylarını yakın çekim kaydetmeyecek, yalnızca giriş-çıkış kapılarını ve çevre güvenliğini izleyecek şekilde konumlandırılmalıdır.
4. Fiziksel Taşıma, Gizleme (Camouflage) ve Hurda İmhası
Prototip parça CNC tezgahından çıkıp CMM ölçüm odasına veya sevkiyat alanına taşınırken fabrika koridorlarından açıkta geçirilemez. Parçalar kapalı, kilitli veya üstü opak örtüyle (branda/kutulama) gizlenmiş taşıma arabalarıyla nakledilmelidir.
Daha da önemlisi Hatalı Üretim ve Hurda (Scrap) Yönetimidir: Ölçü hatası nedeniyle hurdaya ayrılan bir prototip parça standart hurda konteynerine atılamaz! Parça, tasarım formu tamamen tanınmaz hale gelecek şekilde fiziksel olarak parçalanmalı (ezme, kesme veya eritme) ve imha işlemi tutanakla (veya fotoğraflı imha loguyla) kayıt altına alınmalıdır.
Bilgi Güvenliği ve CAD/CAM Veri Sızıntısı Önleme (DLP & Ağ İzolasyonu)
TISAX AL3 denetiminin ikinci büyük ayağı, OEM’den gelen .step, .iges, .catpart uzantılı 3 boyutlu teknik çizimlerin ve kalite raporlarının siber güvenliğidir:
- Güvenli Veri Alışverişi ve Şifreleme: Ana sanayiden gelen teknik veriler açık e-posta ekleriyle paylaşılamaz; OFTP2, şifreli müşteri portalları veya uçtan uca şifreli kanallar kullanılmalıdır. Tasarım mühendislerinin dizüstü bilgisayarlarında ve mobil iş istasyonlarında Tam Disk Şifreleme (BitLocker) zorunludur.
- Merkezi Dosya Sunucusu ve Yetki Matrisi: CAD dosyaları mühendislerin yerel masaüstünde (
C:\Desktop) dağınık tutulamaz. Veriler, departman ve proje bazlı erişim yetkisi (ACL) tanımlanmış, anlık görüntüsü (Snapshot) alınan merkezi bir sunucuda barındırılmalıdır. Bu yapı için Ortak Dosya Sunucusu ve Yedekleme çözümlerimiz tam uyumluluk sağlar. - USB Engelleme ve DLP (Veri Sızıntısı Önleme): Tasarım bilgisayarlarında harici USB bellek, taşınabilir disk ve kişisel bulut depolama (Google Drive, WeTransfer, WhatsApp Web) kullanımı kapatılmalıdır. Hassas CAD dosyalarının yetkisiz kopyalanmasını engelleyen mimariler için DLP Veri Güvenliği sayfamızı inceleyebilirsiniz.
- OT / CNC Ağı Segmentasyonu: CNC tezgahlarına program aktarımı USB bellekle değil, izole edilmiş bir üretim VLAN’ı (DNC / Güvenli SMB paylaşımı) üzerinden yapılmalıdır. Fabrika ağ mimarisinin VLAN’lara bölünmesi ve güvenlik duvarı sıkılaştırması için Güvenlik Duvarı (Firewall) Çözümleri ve Savunma Sanayii Ağ ve Siber Güvenlik sayfalarımıza göz atabilirsiniz.
TISAX AL3 Denetim Süreci: Başvurudan Etikete 5 Aşama
- ENX Portal Kaydı ve Kapsam (Scope) Belirleme: Şirket ENX portalına kaydolur, denetlenecek fabrika lokasyonlarını ve değerlendirme hedeflerini (Örn: Information with Very High Protection Needs + Protection of Prototypes) seçer.
- Boşluk Analizi (Gap Analysis) ve VDA ISA Hazırlığı: Mevcut fiziksel ve dijital altyapı VDA ISA 5.1 / 6.0 soru kataloğuna göre incelenir, olgunluk seviyeleri (Maturity Level 0–5) ölçülür ve eksikler giderilir.
- İlk Denetim (Initial Assessment - On-Site): Akredite denetim firması fabrikaya gelerek hem Bilgi İşlem / İK dokümanlarını hem de üretim/prototip sahasını denetler.
- Düzeltici Faaliyet Planı (CAP - Corrective Action Plan): Denetimde tespit edilen uygunsuzluklar için kök neden analizi ve düzeltici aksiyon planı sunulur; bu süreçte geçici TISAX etiketi alınabilir.
- Takip Denetimi (Follow-up) ve Nihai TISAX AL3 Etiketi: En geç 9 ay içinde tüm bulgular kapatılarak 3 yıl geçerli nihai TISAX AL3 etiketi ENX üzerinden müşteri OEM’lerle paylaşılır.
Kaynaklar
Sıkça Sorulan Sorular
Fabrikamızda halihazırda ISO 27001 belgesi var. TISAX AL3 almamız yine de zorunlu mu?
Evet. ISO 27001 genel bir Bilgi Güvenliği Yönetim Sistemi çerçevesi sunar ve TISAX hazırlığında işinizi yaklaşık %50 kolaylaştırır. Ancak otomotiv ana sanayicileri (VW, BMW, Mercedes vb.) ISO 27001 belgesini TISAX yerine kabul etmez; çünkü ISO 27001 içerisinde VDA ISA kataloğundaki otomotiv sektörü özel gereksinimleri, Prototip Koruma (Prototype Protection) kuralları ve ENX puanlama (Maturity Level 3.0 hedefi) mekanizması bulunmaz.
TISAX AL3 denetiminde “Olgunluk Seviyesi (Maturity Level)” nasıl hesaplanır?
VDA ISA soru kataloğunda her kontrol maddesi 0’dan 5’e kadar puanlanır. Denetimden başarıyla geçebilmek için yalnızca bir prosedür yazmış olmak (Seviye 1 veya 2) yeterli değildir; ilgili güvenlik kuralının tanımlanmış, tüm personele duyurulmuş, sahada aktif olarak uygulanıyor ve düzenli kayıtlarla/loglarla kanıtlanıyor olması, yani en az Olgunluk Seviyesi 3 (Established Process) standardını karşılaması gerekir.
Sadece tek bir CNC tezgahında prototip işliyoruz; tüm fabrikayı AL3 standardında kapatmak zorunda mıyız?
Hayır. Maliyet ve operasyonel verimlilik açısından tüm fabrikayı yüksek güvenlikli alana dönüştürmek yerine, yalnızca prototip parçanın geçtiği istasyonları (ilgili CNC tezgahı, kalite ölçüm odası ve kilitli prototip deposu) kapsayan İzole Prototip Hücresi (Prototype Island / Zone) kurmak hem denetimden tam puan almanızı sağlar hem de fiziksel yatırım maliyetini minimize eder.