Schlagwort-Archiv Automobil

Aktualisierung – VDA ISA 5.1

Was hat sich geändert?

Gerade noch im Zertifizierungsaudit zur VDA ISA 5.0.4 gesessen und bereits eine Woche später schleicht sich klammheimlich und unerwartet die Version 5.1 heran. Mein erster Gedanke „Was hat sich denn nun schon wieder verändert?“, denn gefühlt wird keine andere Norm so häufig aktualisiert, wie die VDA ISA.

Laut dem Registerblatt Änderungshistorie im VDA ISA Katalog 5.1 wurde gar nicht so viel verändert. Hier ein kurzer Überblick:

  • Korrektur Rechtschreibung und Ausdruck, sprachliche Klarstellung, Beseitigung von Uneindeutigkeiten
  • Neustrukturierung Tabellenblatt „Willkommen“, Definition der Teballenblätter in „Definition“ verschoben
  • Ergänzung der Schutzziele bezüglich Anforderungen für hohen und sehr hohen Schutzbedarf im Tabellenblatt „Informationssicherheit“
  • Entfernen der Spalte „Adressierte Schutzziele“ in den Tabellenblätter „Informationssicherheit“ und „Prototypenschutz“
  • Inhalte der Spalte „Üblicher Prozessverantwortlicher“ in den Tabellenblättern „Informationssicherheit“ und „Prototypenschutz“ geleert

Halten wir fest, kleine Schönheitsreperaturen wurden durchgeführt, die addressierten Schutzziele (Vertraulichkeit, Verfügbarkeit, Integrität) wurden an die Anforderungen direkt rangehängt sowie die Hilfestellungen durch Vorbefüllung der üblichen Prozessverantwortlichen herausgenommen.

War das wirklich schon alles?

Bei einem zweiten Blick erhasche ich jedoch noch weitere Punkte, die in der Änderungshistorie glatt vergessen wurden. Kommt also bald die Version 5.1.1 mit Korrektur der Änderungshistorie heraus? Wir werden es sehen.

Welche wichtigen Änderungen gab es noch zur Vorgängerversion 5.0.4?

  • Anforderung 3.1.3 unter sehr hohem Schutzbedarf scheint zukünftig nicht mehr erforderlich zu sein und wurde herausgenommen (zur Erinnerung: „Die Entsorgung von Informationsträgern erfolgt gemäß eines der gängigen Standards (z. B. ISO21964, mind. Sicherheitsstufe 5)“)
  • Anforderung 4.2.1 unter hohem Schutzbedarf wurde nun zu sehr hohem Schutzbedarf verschoben
  • Anforderung 5.1.2 unter hohem Schutzbedarf wurde ebenfalls zu sehr hohem Schutzbedarf verschoben

Aktualisiserung NormTracker – Normen-Modul 5.0 zu 5.1

Natürlich haben wir im NormTracker bereits auf die Aktualisierung reagiert, die Änderungen entsprechend angepasst und den neuen Audit-Report VDA ISA 5.1 für Ihre Auswertung der Gesamtergebnisse hinterlegt.

NormTracker Anwender bekommen die durchgeführte Aktualisierung gar nicht mit. Genau so still und heinlich wie die Aktualisiserung des VDA ISA Katalogs 5.1 fand auch die Aktualisierung im Tool statt. Als NormTracker Anwender nutzen Sie Ihre Datenbank wie gewohnt weiter und müssen nichts weiter tun.

Für alle Neukunden, Interessenten und Partnerberater gillt: Ergebnisse früherer Versionen ab 4.1. sowie Auditreports und Auswertungen, können problemlos in die aktuelle NormTracker VDA ISA 5.1 übernommen werden, sprechen Sie mich gerne auf Datenübernahme und Importe an.

Entscheiden Sie sich jetzt noch für einen kostenlosen Testaccount. Wenden Sie sich an hello@certvision.de!

Mobiles Arbeiten (2.1.4)

VDA 5.0.1 ist draußen und damit verbunden einige Änderungen zur Vorgängerversion 4.1. Neben Umstrukturierungen innerhalb der Norm, gibt es auch einige neue Controls, wie zum Beispiel 2.1.4 mobiles Arbeiten. Halt stopp, gab es den nicht schon? Direkt mal kurz nachgeschlagen…

Wer bereits die VDA ISA Anforderungen umgesetzt hat, hat sich einige Gedanken zum Punkt 6.3 machen müssen „Mobile Endgeräte“. Dieser Punkt scheint nun in der neuen Version futsch zu sein. Oder wurde er jetzt nur in den Bereich Human Ressources verschoben und unter dem Begriff „mobiles Arbeiten“ umdefiniert?

In Zeiten des Cloud-Computings und den damit verbundenen, angebotenen und auch sicheren Services, scheint der Punkt obsolet zu sein, sodass in 2.1.4 zukünftig nur noch auf den generellen Umgang von mobilen Arbeiten eingegangen werden muss. So unsere Annahme, denn der Punkt 6.3 ja noch nicht einmal in der Änderungshistorie wiederzufinden.

Was steht genau in der VDA TISAX® 5.0.1 zum mobilen Arbeiten?

Ziel: Beim Arbeiten außerhalb der dafür definierten Sicherheitszonen (mobiles Arbeiten) entstehen besondere Risiken, die entsprechende Schutzmaßnahmen erfordern.

Aha, also Risikoanalyse durchführen und Maßnahmen definieren, um das Gefahrenpotenzial zu senken!

MUSS:

  • Ermittlung und Erfüllung der Anforderungen an mobiles Arbeiten. Dazu zählt:
  • Sicherer Umgang mit und Zugriff auf Informationen (sowohl elektronisch als auch auf Papier) unter Berücksichtigung des Schutzbedarfs und der vertraglichen Anforderungen in privaten (z. B. im Home-Office) und öffentlichen Bereichen (z. B. auf Reisen)
  • Verhalten in privaten Bereichen
  • Verhalten in öffentlichen Bereichen
  • Maßnahmen zum Schutz vor Diebstahl (z. B. in öffentlichen Bereichen)
  • Der Zugang zum Netzwerk der Organisation erfolgt über eine gesicherte Verbindung (z. B. VPN) und über eine starke Authentifizierung.

Auch wenn nicht explizit erwähnt, ist hier die Rede von einer Richtlinie, in der genau beschrieben wird, WAS mit welchem ZIEL geregelt wird. Ebenso wird ein oder werden mehrere Verfahren erforderlich, die genau beschreiben, WIE es umgesetzt wird und WARUM.

SOLLTE:

Berücksichtigung folgender Aspekte:

  • Maßnahmen bei Reisen (z. B. bei Einsichtnahme durch Behörden)
  • Maßnahmen bei Reisen in sicherheitskritische Länder
  • Mitarbeitersensibilisierung.

Was sind Ihre nächsten Steps und wie können wir Sie unterstützen?

  1. Fragen Sie uns nach Mustervorlagen für Richtlinien und Verfahren für mobiles Arbeiten!
  2. Führen Sie entsprechend der ermittelten Anforderungen Ihr Risk Assessment und definieren Sie neben Maßnahmen auch Mitarbeiterschulungen!
  3. Ergänzen Sie Ihren jährlichen Schulungs- und Auditplan um den Punkt „2.1.4 mobiles Arbeiten“. Vermeiden Sie so vor allem Auditspitzen und vergessen Sie keine anfallenden Aufgaben!
  4. Führen Sie über die Schulung / Audits Protokolle, sodass Sie im Audit diese transparent darlegen können.
  5. Nutzen Sie bewährte Systeme wie den NormTracker, um zu jeder Zeit compliant zu sein. Testaccounts und Demos auf Anfrage verfügbar.
  6. Besuchen Sie auch unbedingt unsere Web-Seminarreihe Readiness Check Step by Step.

Bei Fragen zu diesem Thema können Sie uns eine E-Mail. Wir freuen uns von Ihnen zu hören!

In nur 5 Minuten wird eine perfekt vorbereitete Datenbank generiert. Der Implementierungsaufwand eines ISMS wird mit dem NormTracker spürbar reduziert.“

TISAX® ist eine eingetragene Marke der ENX Association.

Eignung von Mitarbeitern (2.1.1)

Mit der überarbeiteten Version VDA 5.0.1 kommt ein ganzer Schwung neuer Anforderungen und Controls hinzu. Unter anderem wird in 2.1.1 auf die Sicherstellung der Eignung von Mitarbeitern für sensible Tätigkeitsbereiche eingegangen, dieser Control ist neu. Aber mal unter uns, ist der Punkt „Eignung der Mitarbeiter“ nicht selbstverständlich und schließt dieser nicht auch die Eignung des Mitarbeiters für sensible Tätigkeiten erst recht mit ein?

Erst am vergangenen Montag haben wir über die Sensibilisierung der Mitarbeiter für ihren Arbeitsbereich in unserem #20minutes Intensivkurs gesprochen. Selbst eine kleine kompakte Norm wie die VdS10000 geht auf diesen Punkt ein. Doch tatsächlich sieht die Realität in den Betrieben ganz anders aus. Vor allem dann, wenn es sich um Organisationsgrößen handelt, in denen nur wenige IT-Mitarbeiter tätig sind und langsam in die Informationssicherheit hereingewachsen sind. Dieser Zustand ist in vielen, nein sogar bei der Mehrzahl der kleinen und mittleren Organisationen so kritisch, dass der Punkt 2.1.1 in der Tat seine absolute Berechtigung hat.

Was steht genau in der VDA TISAX® 5.0.1 zur Eignung der Mitarbeiter?

Ziel: Kompetente, verlässliche und vertrauenswürdige Mitarbeiter sind ein Schlüssel für die Informationssicherheit in der Organisation. Aus diesem Grund ist es wichtig, die Eignung von potenziellen Mitarbeitern (z. B. Bewerbern) in einem angemessenen Maß zu überprüfen.

MUSS:

  • Ermittlung der sensiblen Tätigkeitsbereiche und Stellen in der Organisation (=IST Aufnahme und Gefahrenpotenzial)
  • Im Rahmen der ermittelten sensiblen Tätigkeitsbereiche werden konkrete Anforderungen an die Mitarbeiter festgelegt und das Stellenprofil ggf. angepasst. (=Weisen die bestehenden Mitarbeiter nicht das erforderliche Know-How auf, so muss nachgeschult werden.)
  • Die Erfüllung des Stellenprofils wird regelmäßig überprüft.

Interessant ist auch unter diesem Aspekt der vierte Punkt „Die Identität von potenziellen Mitarbeitern wird überprüft (z. B. Prüfung von Ausweisdokumenten).“ Hier sei anzumerken, dass insbesondere auch die angegebenen Qualifikationen zu hinterfragen sind, genauso wie die Aktualität der erworbenen Qualifikationen, auch wenn sie konkret erst unter den SOLLTE-Anforderungen zu finden sind. Was sagt ein Ausweis über die Eignung aus?

SOLLTE:

  • Von potenziellen Mitarbeitern wird mit einfachen Methoden die persönliche Eignung überprüft (z. B. Einstellungsgespräch).
  • Eine erweiterte Prüfung der Eignung abhängig vom Tätigkeitsbereich und Stelle findet statt. (z. B. Assessment-Center, psychologische Analyse, Prüfung von Referenzen, Zeugnissen und Diplomen, Einsichtnahme in Führungszeugnisse, Prüfung des beruflichen und privaten Hintergrunds).

Die regelmäßige Prüfung auf Eignung der Mitarbeiter kann über Fragebogen geprüft werden, z.b. per Multiple Choice. Auch im Rahmen eines internen Audits wird die Eignung des Mitarbeiters über offen gestellte Fragen (keine ja/nein-Antworten) geprüft und somit Schulungsbedarf ermittelt.

Was sind Ihre nächsten Steps und wie können wir Sie unterstützen?

  1. Fragen Sie uns nach Fragebögen für die Prüfung der Mitarbeiter bei Einstellung und für interne Audits.
  2. Führen Sie über die Prüfung / Audits Protokolle, sodass Sie im Audit diese transparent darlegen können.
  3. Planen Sie für ein Jahr im Voraus die erforderlichen Prüfungen / Audits ein und legen Sie Termine hierfür fest, so vermeiden Sie nicht nur Auditspitzen sondern vergessen auch kein erforderliches ToDo.
  4. Nutzen Sie bewährte Systeme wie den NormTracker, um zu jeder Zeit compliant zu sein. Testaccounts und Demos auf Anfrage verfügbar.
  5. Besuchen Sie unbedingt auch unsere kostenlose Seminarreihe Readiness Check Step by Step, um mehr über die Änderungen in VDA 5.0.1 und Ihre ToDos zu erfahren.

Bei Fragen erreichen Sie uns per E-Mail. Wir freuen uns von Ihnen zu hören!

In nur drei Wochen haben wir Dank NormTracker ein komplettes ISMS einführen können. Ein kleiner Invest für eine große Aufwandseinsparung.“

TISAX® ist eine eingetragene Marke der ENX Association.

Warum Zulieferer der Automobilbranche mit NormTracker erfolgreich durchstarten

VDA TISAX® ist nicht nur ein Qualitätssiegel, sondern steht für sichere und geprüfte Informationssicherheit. Dabei wird in vier Bereiche unterteilt: Informationssicherheit, Anbindung Dritter, Datenschutz, Prototypenschutz. Je nach Branche und Art der Produkte können die zu erfüllenden Anforderungen variieren.

Können Sie sich vorstellen, dass ein Informationssicherheits-Zertifikat darüber entscheidet, ob Sie als Lieferant gelistet werden oder nicht?

Längst reicht eine Managementzertifizierung nach ISO9001 nicht mehr aus, um auf dem Markt bestehen zu können. Informationssicherheit ist der Brandschutz des 21. Jahrhunderts und erlangt einen Stellenwert, der mit Arbeitssicherheit und Brandschutz gleichzusetzen ist. Ein gelebtes ISMS (Informationssicherheits-Managementsystem) sorgt selbst in der Krise dafür, dass die Prozesse aufrecht gehalten und somit die Lieferung nicht gefährdet wird. Kein Wunder, dass besonders die Automobilindustrie, die dafür bekannt ist, eine Just-in-Time-Produktion zu unterhalten, äußert viel Wert auf die Erfüllung von TISAX® bei ihren Lieferanten legt. Mittlerweile ist es bei den meisten Zulieferern Vertragsbestandteil. Sollten Sie nicht sicher sein, ob es auch für Sie eine Verpflichtung gibt, hilft Ihnen einer unser zahlreichen Partnerberater gerne kostenlos weiter!

Dank NormTracker sparen Sie bei der Planung, Organisation und Umsetzung Ihrer Konformität Zeit und Energie ein und somit auch viel Geld. Der umfangreiche Werkzeugkasten und das durchdachte Aufgabenpaket wird sie umfassend bei der Einführung unterstützen und sicher zu Ihrem individuellen Ziel führen.

NormTracker Kunde: „Der Auditor von o-s hat ausdrücklich das Tool noch einmal gelobt.“

Möchten auch Sie sich das bewehrte System ansehen, dann erreichen Sie uns per E-Mail oder telefonisch unter +49 911 14 885 202. Wir freuen uns von Ihnen zu hören und Sie in einem so wichtigen Thema unterstützen zu dürfen.

Melden Sie sich jetzt zum Newsletter an und sichern Sie sich damit auch einen Platz in unseren attraktiven und kostenlosen Intensivkursen!

Bei TISAX® handelt es sich um eine eingetragene Marke der ENX Association.