Hálózatoknak és csoportoknak
Autóipari hálózati auditok
Akár öt márkakereskedése van egy országban, akár ötven tíz országban — egy módszertan, egy összevont jelentés a központnak.
Kinek szól
- Importőr vagy országos központ, amely a márkakereskedői és szervizhálózatért felel, és tudni szeretné, hol tart a hálózat — nem kereskedőnként, hanem egészében.
- Gyártó vagy csoport, amelynek saját követelményei vannak az ügyféladatok kezelésére és a rendszerekhez való hozzáférésre, és ezeket a hálózatban ellenőriztetni szeretné.
- Autóipari beszállító, amelynek az információbiztonságot a vevője felé kell igazolnia — ehhez szolgál a TISAX-felkészítés.
Az autóipar ma egyszerre kezeli az ügyféladatok védelmét, a beszállítói információbiztonságot (TISAX), a járművek és környezetük kiberbiztonságát (ISO/SAE 21434, UNECE R155) és a digitális elemeket tartalmazó termékekre vonatkozó követelményeket (Cyber Resilience Act). A márkakereskedői és szervizhálózat az a hely, ahol ezek a témák a napi működéssel találkoznak — és ahová a központ a legkevésbé lát be.
Miért működik országokon át
A GDPR vagy az ISO/IEC 27001 szerinti belső audit, illetve beszállítói audit nincs egy adott ország engedélyéhez kötve — ellentétben a NIS2-t átültető törvények szerinti audittal, ahol minden állam külön dönti el, ki auditálhat. A több országban működő hálózatot ezért egyetlen programmal tudjuk auditálni.
Hogyan zajlik a program — öt lépés
- Keret. A központtal meghatározzuk, mit ellenőrzünk: GDPR-követelmények, kiválasztott ISO/IEC 27001 intézkedések, gyártói szabványok vagy csoportszintű irányelvek.
- Egy ellenőrzőlista és egy skála minden szervezetre — hogy az eredmények összehasonlíthatók legyenek.
- Auditok helyszínen vagy távolról, helyi nyelven vagy angolul.
- Jelentés minden szervezetnek és összevont jelentés a központnak ugyanazon a skálán — hol erős a hálózat és hol ismétlődnek a megállapítások.
- A korrekciós intézkedések ellenőrzése a megállapodott idő után.
Négy modul (kombinálható)
- GDPR — ügyféladatok az értékesítési és szervizrendszerekben, kamerák a bemutatóteremben és a szervizben, marketing-hozzájárulások, adatfeldolgozói szerződések, tájékoztatási kötelezettségek.
- ISO/IEC 27001 — belső audit a 9.2. fejezet szerint vagy beszállítói audit az „A” melléklet kiválasztott intézkedéseivel szemben.
- Gyártói szabványok — a gyártó vagy a csoport követelményei az adatkezelésre, a rendszerekhez való hozzáférésre és az üzemeltetés biztonságára.
- Az autóipari környezet kiberbiztonsága — a diagnosztikai rendszerekhez való hozzáférés kezelése, a szerviztechnikusok fiókjai, a gyártói rendszerekhez való hozzáférés, a frissítések kezelése és az UNECE R155, az ISO/SAE 21434 vagy a gyártó belső szabványainak kiválasztott követelményei. A hálózat folyamatait ellenőrizzük — nem a jármű típusjóváhagyását és nem a termék megfelelőségét.
Ami a hálózatokban ismétlődik
- volt munkatársak aktív fiókjai,
- közös belépési adatok a szervizben,
- külső szerelők és beszállítók nem dokumentált hozzáférései,
- hiányzó adatfeldolgozói szerződések,
- a rendszereken kívül, helyben tárolt ügyféladatok,
- eltérő biztonsági szint ugyanazon hálózat országai között.
Három szint, egy jelentés
A gyártó határozza meg a szabványt, az importőr felel a hálózatért a saját országában, a márkakereskedő kezeli az ügyféladatokat. Minden szintnek más a kötelezettsége — a program egyszerre ellenőrzi őket, és a központ minden országot ugyanazon a skálán lát.
Mit kap a központ
Egy programot külön auditok helyett: összehasonlítható eredményeket országokon át egyetlen skálán, egyszer, az egész hálózatra megtervezett korrekciós intézkedéseket, és olyan terjedelmet, amely fokozatosan bővíthető — a márkakereskedők egy mintájától az egész hálózatig.
Hol végezzük az auditot
Az auditot nyolc országban — Szlovákia, Csehország, Lengyelország, Magyarország, Ausztria, Németország, Románia és Görögország — az IOSEC csoport tagja vagy partnere végzi. A többi országban helyi partner végzi a mi programunk szerint és a mi irányításunkkal. Magyarországon a szolgáltatást az IOSEC csoport partnere nyújtja.
Mi nem ez a program
- Nem tanúsító audit — az ISO/IEC 27001 szerinti tanúsítványt akkreditált tanúsító szervezet adja ki; a TISAX-értékelést az ENX által akkreditált szolgáltató végzi.
- Nem NIS2 szerinti audit — ott a nemzeti kiberbiztonsági törvény szerinti engedély dönt.
- Nem értékeljük a jármű típusjóváhagyását és a termék megfelelőségét a Cyber Resilience Act szerint — a hálózat folyamatait és hozzáféréseit ellenőrizzük.
- Azt a szervezetet, amelynek a rendszert bevezettük, nem ugyanaz a csapat auditálja.
Ugyanez a program más hálózatokra
A program nincs az autóiparhoz kötve: ugyanígy működik franchise-hálózatokra, kiskereskedelmi láncokra vagy egészségügyi intézménycsoportokra — mindenütt, ahol a központ több országban működő szervezetekért felel.
Írjon nekünk, hány szervezete van és mely országokban — javaslatot készítünk a programra és a terjedelemre.
Mondja el, mit kell megoldania.
Harminc perc egy tanácsadóval, aki ismeri az Ön ágazatát. Az eredmény egy egyoldalas összefoglaló javasolt lépésekkel és hozzávetőleges terjedelemmel — akkor is elküldjük, ha nem állapodunk meg.