مقابلة شخصية مع روبرت براون، الرئيس العالمي لقطاع صناعة السيارات، المعهد البريطاني للمعايير
يقدم TISAX® ISA2027 دورة إصدار أكثر قابلية للتوقع ومتطلبات أوضح وأكثر تركيزاً على أمن سلسلة التوريد. سألنا روبرت براون عن التعديلات ومتي ستُطبّق المتطلبات الجديدة وماذا على العميل أن يفعل الآن.
الحقائق الأساسية: جرت تحديثات على تقييم أمن معلومات TISAX® ليصبح VDA ISA2027 في 1 يوليو 2026.
- سيتم تحديث TISAX® ISA سنوياً مع إعادة نشره في شهر يوليو من كل عام على أن يسري مفعوله في شهر يناير الذي يليه
- بداية من يناير 2027، سيصبح ISA2027 هو دليل التقييم الافتراضي لتقييمات TISAX® الجديدة
- تعتبر علامات TISAX® سارية حتى تاريخ انتهاء الصلاحية المحدد
- ستُجرى عمليات إعادة التقييم وفقاً لآخر إصدار من ISA
لماذا يعد TISAX® مهماً للمؤسسات العاملة في قطاع صناعة السيارات؟
يمنح TISAX® (تبادل تقييم أمن المعلومات الموثوق به) الشركات العاملة في تصنيع وتوريدات السيارات وسيلة مشتركة لتقييم وتبادل المعلومات حول أمن المعلومات. وهو من أهم الأمور في صناعة تنتقل فيها كميات كبيرة جداً من البيانات الحساسة عبر سلاسل توريد عالمية معقدة.
شهد المخطط نمواً سريعاً منذ التقييم الأول في عام 2016. وأصبح مورّدو المستوى الأول يمررون متطلبات TISAX بشكل متزايد إلى مورّديهم.
أفادت تقارير جمعية ENX، منظمة حوكمة TISAX®، أن أكثر من 21 ألف موقع خضعوا للتقييم، وأن هذه التقييمات أدت إلى ما يزيد عن 100 ألف تحسين أمني تم تحديده وتنفيذه. واليوم، أكثر من عشرة من مصنعي المعدات الأصلية يفرضون TISAX®، مستعينين بنتائج التقييم لتقييم شركاء العمل وحماية سلاسل توريدهم من التهديدات التي تمس أمن المعلومات.
ما المقصود بـ TISAX® ISA تحديداً؟
يرمز الاختصار ISA إلى تقييم أمن المعلومات. وهو دليل المتطلبات المستخدم كأساس لتقييمات TISAX®.
وُضع هذا الدليل بصفة جوهرية كتعديل لمعيار إدارة أمن المعلومات ISO/IEC 27001 المعمول به في قطاع السيارات. ولكن تطور تقييم ISA الآن ليصبح معياراً مستقلاً للصناعة، ولا يزال متوافقاً في الوقت ذاته مع أطر عمل أمن المعلومات المعترف بها دولياً.
يستعين المشاركون بتقييم ISA للاستعداد للتقييم، وإذا نجحوا به، فإنهم يشاركون نتائج تقييم TISAX® التي حصلوا عليها مع عملاء وشركاء محددين من خلال بوابة ENX.
إذاً ما التعديلات التي ستُجرى على TISAX® ISA؟
الإجابة باختصار هي أن ISA2027 يجعل الدليل أكثر وضوحاً واتساقاً وتوافقاً مع المخاطر الأمنية الموجودة في الوقت الحالي.
إليك أبرز خمسة تعديلات أساسية:
- إدارة جديدة للإصدارات على أساس سنوي. فيخبرك الاسم الآن بالموعد الذي سيصبح فيه الدليل ساري المفعول، علماً بأن ISA2027 سيُطبّق على التقييمات التي صدرت أوامر بها في عام 2027.
- تخطيطات محدّثة. حدّثت ENX التخطيطات إلى إطار الأمن السيبراني NIST 2.0 ومعيار ISO/IEC 27001 لعام 2022، والتخطيطات الموضّحة إلى معايير ISA/IEC 62443، والمراجع المحذوفة إلى معيار ISO/IEC 27001:2013.
- لغة أوضح. راجعت ENX الصياغة والترجمات والتنسيق وهياكل المتطلبات. كما عرّفت رسمياً العبارة "يتم النظر في الجوانب التالية"، بحيث يجب على المؤسسات نظر كل جانب من الجوانب المدرجة بوعي وشرح قرار التنفيذ لكل منها أثناء أي تقييم.
- ضمان أقوى لسلاسل التوريد. يجب على المؤسسات التي لها احتياجات حماية عالية توثيق امتثال الموردين والأدلة الداعمة ومراجعتها ومراقبتها بشكل وثيق. أما بالنسبة للمؤسسات التي لها احتياجات حماية عالية جداً، فمن المتوقع من الموردين أن يثبتوا قدراً كافياً من أمن المعلومات من خلال علامة TISAX®، فهي بمثابة تقييم مكافئ من طرف ثالث أو تدقيق ملائم للموردين.
- حماية نماذج أولية معاد هيكلتها. أصبحت مجموعات الضوابط الخمسة السابقة نطاقين اثنين الآن: المتطلبات المؤسسية والأمن المادي والبيئي. فتشمل الضوابط الجديدة قابلية التتبع وتتبع دورة الحياة، بالإضافة إلى التخلص من النماذج الأولية والأجزاء والأدوات المحمية أو إعادة تدويرها أو استعادتها.
ملاحظة: لم يتغير استبيان حماية البيانات بين ISA 6 وISA2027، وفقاً لمقارنة ENX بتقنية الخط الأحمر.
متي تدخل التعديلات الحاصلة على TISAX® ISA حيز التنفيذ؟
من المقرر أن يتم تحديث ISA في 1 يوليو من كل عام على أن يتم تطبيقها في 1 يناير من العام الذي يليه. فتسمح فترة الستة أشهر لجهات التدقيق المعترف بها والمشاركين بالاستعداد للتقييم وفقاً للإصدار الجديد.
يصبح ISA2027 الدليل الافتراضي لتقييمات TISAX® المتعاقد عليها من 1 يناير 2027. بينما يستمر التعامل مع التقييمات التي تم التعاقد عليها قبل هذا التاريخ أو التي تقرر موعد التقييم الأولي لها (المرحلة 2) قبل يوم 1 أبريل 2027، وفقاً للتقييم ISA 6. فلا يحدد تاريخ تسجيل النطاق أي إصدار سيتم تطبيقه.
لا يزال بالإمكان تنفيذ التقييمات التي صدرت أوامر بها قبل 1 يناير 2027 وفقاً للتقييم ISA 6. كما صرحت ENX بأن مارس 2027 هو الموعد النهائي لفتح تقييم أولي وفقاً للتقييم ISA 6.
أما بالنسبة إلى التقييمات الجماعية المبسّطة وتمديدات النطاق، فسيستمر تطبيق إصدار ISA المستخدم في التقييم الأولي. ويجب تقييم كل المواقع داخل نطاق واحد وفقاً لنفس الإصدار.
هل دورة الإصدار السنوية تعني تقييمات سنوية؟
لا، وهذه نقطة مهمة. تخطط ENX لنشر أدلة ISA المستقبلية سنوياً، لكن ستظل علامات TISAX® سارية لمدة تصل إلى ثلاثة أعوام.
فتتيح الدورة السنوية تطور الدليل بخطوات أصغر وأكثر قابلية للتوقع. ومن ثم لا تصير هناك حاجة إلى تقييم سنوي.
من الناحية العملية، تنتقل العديد من المؤسسات عبر عدة إصدارات من ISA بين التقييمات الكاملة.
ما الذي يحتاج مشاركو TISAX® الحاليون إلى القيام به؟
لا يوجد إجراء فوري مطلوب. تظل علامة TISAX® الحالية سارية إلى أن يحين موعد انتهاء صلاحيتها.
مع ذلك، يعد الآن هو الوقت المناسب لمراجعة الموعد الذي سيحين فيه تقييمك التالي وتحديد أي متطلبات لتقييم ISA2027 قد تؤثر على مؤسستك. ويتوقف إصدار ISA المستخدم في تقييمك التالي على موعد صدور أمر به، وبالتالي قد تتحول بعض المؤسسات مباشرةً إلى ISA2027، بينما قد تنتقل مؤسسات أخرى إلى إصدار سنوي لاحق.
ما المواضع التي ينبغي لفِرق العمل التركيز عليها في استعداداتهم؟
نود أن نبدأ بأربعة إجراءات عملية:
- تنزيل ISA2027 ومقارنة ENX بالخط الأحمر من بوابة ENX.
- التوفيق بين التعديلات والضوابط الحالية ونطاق التقييمات الخاص بمؤسستك.
- مراجعة ضمان المورّدين ومتطلبات حماية النماذج الأولية.
- تحديث السياسات والإثباتات والملكية الداخلية إذا لزم الأمر.
وعلى نفس القدر من الأهمية، التأكد من أن فِرق العمل لديك بإمكانهم شرح الأساس المنطقي وراء النهج الذي يتبعونه. يركز ISA2027 تركيزاً أكبر على إثبات أن القرارات تم النظر فيها بوعي مع توثيقها.
هل يغير ISA2027 تدقيق ENX للأمن السيبراني للسيارات (VCS)؟
ليس بطريقة مباشرة. ENX VCS، تدقيق الأمن السيبراني للسيارات، هو تخطيط تدقيق قائم على معيار ISO/SAE 21434.
بالرغم من ذلك، صرحت ENX بأنه يتعين أن يكون لديك علامات TISAX® سارية لكل موقع في نطاق تدقيق VCS عندما يتم تنفيذ تدقيق VCS.
إذا كنت تخطط للقيام بالنشاطين، فعليك تنسيق الجداول الزمنية. وتأكد من أن علامات TISAX® الضرورية لا تزال سارية مع التأكد من إصدار ISA الذي يتم تطبيقه على أي تقييم TISAX® قادم.
ما نصيحتكم الأخيرة للمشاركين في TISAX®؟
ابدأ بالتواريخ الرئيسية، ثم ركز على التعديلات التي سيكون لها أكبر تأثير على مؤسستك. وتحقق من تاريخ انتهاء سريان العلامة، وتاريخ طلب التقييم المتوقع، والموردين واحتياجات الحماية وأي أنشطة لحماية النماذج الأولية.
تذكر أنISA2027 هو بمثابة تطور وليس سبباً للبدء من جديد. وقد تساعدك المراجعة المركّزة للفجوات على حماية الضوابط التي أثبتت نجاحها وتوجيه الجهود إلى المواضع التي حدث تعديل بها.
اتخذ الخطوة التالية:
- نزّل ISA2027 ومقارنة ENX بتقنية الخط الأحمر – راجع الدليل الرسمي وحدد التعديلات ذات الصلة بنطاق مؤسستك.
- استكشف تدريب VDA ISA بناءً على TISAX® – احرص على بناء فهم فريق عملك بمتطلبات ISA وISMS.
- تواصل مع المعهد البريطاني للمعايير – ناقش مواعيد التقييمات وأولويات الاستعداد مع فريق عملك.
