TISAX ile ISO 27001 Karşılaştırması ve Entegre Bilgi Güvenliği Uyum Rehberi

Otomotiv tedarik zincirinde faaliyet gösteren yedek parça üreticileri, yazılım geliştiriciler, mühendislik büroları ve lojistik firmaları için bilgi güvenliği artık ticari bir ön şarttır. Bu alanda en sık karşılaşılan iki standart ISO/IEC 27001 ve TISAX (Trusted Information Security Assessment Exchange) sistemleridir.

Birçok kurum, bu iki sistemin birbirinin alternatifi mi olduğu yoksa birlikte mi yürütülmesi gerektiği konusunda tereddüt yaşamaktadır.

---

1. Temel Mimariler ve Karşılaştırma Tablosu

ISO/IEC 27001:2022 yatay, sektör bağımsız ve kurumsal yönetim odağına sahipken; TISAX, Alman Otomotiv Sanayi Derneği (VDA) tarafından geliştirilen VDA ISA 6.0 kontrol kataloğunu esas alan dikey bir sektör standardıdır.

---

2. TISAX Değerlendirme Seviyeleri (Assessment Levels - AL)

Otomotiv müşteriniz (Volkswagen, BMW, Mercedes-Benz, Stellantis vb.) sizden TISAX uyumu talep ettiğinde, işlenen bilginin gizlilik sınıfına göre bir değerlendirme seviyesi şart koşar:

• AL1 (Assessment Level 1): Yalnızca kurum içi öz değerlendirme (self-assessment). ENX portalında yayınlanmaz, ticari geçerliliği son derece kısıtlıdır.
• AL2 (Assessment Level 2): Yüksek güvenlik ihtiyacı (High Protection Need). Akredite denetçi (TÜV SÜD, DEKRA, DQS vb.) tarafından dokümanların makuliyet kontrolü (plausibility check) ve uzaktan video konferans mülakatları ile yürütülür.
• AL3 (Assessment Level 3): Çok yüksek güvenlik ihtiyacı (Very High Protection Need) veya kritik prototip geliştirme alanları. Denetçinin firmanın tesisine bizzat gelerek yerinde fiziksel inceleme, kamera/kartlı geçiş kontrolü ve yüz yüze mülakat yapmasını zorunlu kılar.

---

3. Ortak Kontrol Kapsamı ve Kanıt Setlerinin Kullanımı

TISAX VDA ISA 6.0 kataloğu, temel yapı olarak ISO/IEC 27001 Ek A kontrollerini temel almıştır. ISO 27001 sertifikasına sahip bir şirket, TISAX gereksinimlerinin yaklaşık %70'ini doğrudan karşılamış kabul edilir.

``mermaid graph TD A["ISO/IEC 27001:2022 BGYS Temeli<br/>(Politikalar, Varlık Yönetimi, Erişim, Şifreleme)"] A --> B["Ortak Çekirdek Alan (~%70 Uyumluluk)"] B --> C["TISAX VDA ISA 6.0 Özel Şartları<br/>• Prototip Parça ve Test Aracı Koruması (AL3)<br/>• CAD/CAM Veri İletişim Güvenliği<br/>• Özel ENX Portal Kapsam Tanımları (Scope ID)<br/>• Otomotiv Tedarikçi Risk Kriterleri"] ``

Ortaklaşan Kontrol Alanları:

1. Politikalar ve Organizasyonel Güvenlik: Bilgi güvenliği politikası, roller ve sorumluluklar iki sistemde birebir örtüşür.
2. Erişim Kontrolü ve Kimlik Yönetimi: MFA, ayrıcalıklı hesap yönetimi (PAM) ve şifreleme mekanizmaları ortaktır.
3. Olay Yönetimi ve İş Sürekliliği: Güvenlik olaylarının kaydı ve felaket kurtarma planları aynı prosedürlerle yürütülür.

TISAX'a Özgü Ayrışan Alanlar:

• Prototip Koruması (Prototype Protection): Kamuoyuna henüz açıklanmamış araç modelleri, kamuflajlı test parçaları, özel test odaları, fotoğraf çekim yasakları ve parça imha süreçleri.
• VDA ISA Olgunluk Seviyesi (Maturity Levels): TISAX kontrollerinde 0'dan 5'e kadar olgunluk puanlaması yapılır; her kontrol için hedef seviye asgari 3 (Established) olmalıdır.

---

4. İki Sistemi Entegre Yönetmenin Stratejik Adımları

Kurumunuzda hem ISO 27001 sertifikasını koruyup hem de TISAX etiketlerini en az eforla almak için şu metodoloji izlenmelidir:

1. Tek Dokümantasyon Mimarisi: Bilgi güvenliği el kitabı ve prosedürleri ikiye bölmeyin; ISO 27001 ana prosedürlerine TISAX özel ek maddelerini (örneğin "Prototip Depolama Talimatı") ilave edin.
2. Çapraz Kontrol Matrisi (Cross-Reference Matrix): ISO 27001 Ek A maddeleri ile VDA ISA 6.0 sorularını eşleyen tek bir matris hazırlayın.
3. Entegre İç Tetkik: Yıllık iç denetim planında ISO 27001 ve VDA ISA sorularını aynı denetim oturumunda sorgulayın.
4. Denetçi Seçimi: TISAX denetimini gerçekleştirecek onaylı denetim firmasını, kurumunuzun ISO 27001 belgelendirme kuruluşuyla aynı seçerek ortak denetçi görevlendirmesi talep edin.

---

Sıkça Sorulan Sorular (FAQ)

ISO 27001 sertifikamız varsa doğrudan TISAX etiketi alabilir miyiz?

Hayır. ISO 27001 sertifikası TISAX yerine geçmez. ENX portalına kayıt olunmalı ve akredite bir TISAX denetçisi tarafından VDA ISA denetimi tamamlanmalıdır. Ancak ISO 27001 hazırlık süresini yarı yarıya kısaltır.

TISAX etiketi ne kadar süreyle geçerlidir?

TISAX etiketleri denetimin tamamlanmasından itibaren 3 yıl boyunca geçerlidir. 3 yılın sonunda yeniden kapsamlı bir değerlendirme (re-assessment) yapılması şarttır.

TISAX AL2 denetiminde fiziksel saha ziyareti yapılır mı?

Standart AL2 denetimlerinde fiziksel saha ziyareti yapılmaz; denetim uzaktan kanıt incelemesi ve mülakatlarla yürütülür. Ancak denetçi şüpheli bir durum görürse veya AL2 kapsamına prototip koruması dahil edilmişse sahayı görmek isteyebilir.

---