Nachfolgend eine kleine Einführung zum Thema TISAX® und Informationssicherheit.
 

Was ist TISAX®

TISAX® (Trusted Information Security Assessment Exchange) ist ein von der Automobilindustrie etablierter Standard zum Nachweis von Informationssicherheit. Er ermöglicht Unternehmen, ihr Informationssicherheitsniveau anhand einheitlicher Kriterien prüfen zu lassen und die Ergebnisse vertrauenswürdig mit Kunden und Partnern auszutauschen. Ziel von TISAX® ist es, Transparenz zu schaffen und Mehrfachprüfungen zu vermeiden. 

Worum geht es bei Informationssicherheit?

Informationssicherheit befasst sich mit dem Schutz von Informationen unabhängig von ihrer Form oder ihrem Träger. Ziel ist es, Vertraulichkeit, Integrität und Verfügbarkeit sicherzustellen, also Informationen vor unbefugtem Zugriff, Manipulation und Verlust zu schützen. Dabei geht es nicht nur um IT-Systeme, sondern ebenso um Prozesse, Menschen und organisatorische Rahmenbedingungen.

Was sind Informationswerte?

Informationswerte sind schützenswerte Informationen selbst, unabhängig davon, wo sie gespeichert sind oder wie sie verarbeitet werden. Beispiele sind Kundendaten, Entwicklungsdaten, Quellcode, Vertragsunterlagen, Finanzdaten, interne Richtlinien, technische Dokumentationen oder know-how. Dazu zählen alle Informationen, die für das jeweilige Unternehmen von hoher Bedeutung sind und deren Verletzung der Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit) eine schädigende Wirkung für das Unternehmen hätte.

Was sind Informationsträger

Informationsträger sind alle Mittel, auf oder durch die Informationswerte gespeichert, verarbeitet, übertragen oder genutzt werden. Sie stellen nicht die Information selbst dar, sondern sind das Medium, das die Information trägt. 

Dazu zählen beispielsweise IT-Systeme und Anwendungen, Server, Datenbanken, Netzwerke, Cloud-Dienste, Papierdokumente, mobile Endgeräte sowie auch Menschen, sofern Informationen nur in ihrem Wissen vorhanden sind.

Informationsträger gelten im ISMS und TISAX®-Kontext als unterstützende Assets, deren Schutz notwendig ist, um die Informationswerte wirksam zu sichern.

Was ist der Unterschied zwischen einem Informationswert und einem Asset?

Ein Informationswert ist die Information selbst, unabhängig davon, wo oder wie die Information gespeichert oder verarbeitet wird. Ein Asset ist der übergeordnete Begriff für alle Werte, die geschützt werden müssen. Dazu gehören neben Informationswerten auch Informationsträger und unterstützende Mittel.

Der Informationswert ist das Schutzobjekt. Das Asset ist der Sammelbegriff, der sowohl den Informationswert als auch die Mittel zu dessen Verarbeitung oder Speicherung umfasst. 

Was ist der Unterschied zwischen IT-Sicherheit und Informationssicherheit?

IT-Sicherheit bezieht sich auf den Schutz von IT-Systemen, Anwendungen, Netzwerken und technischen Infrastrukturen. Ziel ist es, diese Systeme vor Angriffen, Ausfällen oder Missbrauch zu schützen. Der Fokus liegt dabei primär auf technischen Maßnahmen.

Informationssicherheit ist weiter gefasst. Sie schützt die Information selbst, unabhängig davon, ob sie digital, auf Papier oder nur im Wissen von Mitarbeitenden vorliegt. Neben technischen Aspekten umfasst sie auch organisatorische Maßnahmen, Prozesse, Regeln und das Verhalten von Menschen. 

IT-Sicherheit schützt die Technik.
Informationssicherheit schützt die Information, und schließt IT-Sicherheit mit ein.

Was ist ein Scope?

Der TISAX® Scope ist der Anwendungsbereich. Er beschreibt den Geltungs- und Betrachtungsbereich und definiert den Umfang der Prüfung. 

Was sind TISAX®-Labels?

TISAX®-Labels sind das offizielle Ergebnis eines bestandenen TISAX®-Assessments. Sie bestätigen, dass ein Unternehmen definierte Anforderungen an die Informationssicherheit, den Prototypenschutz oder den Datenschutz erfüllt. 

Jedes TISAX®-Label entspricht einem zuvor gewählten Prüfziel. Nach Abschluss der Prüfung werden die erreichten Labels im TISAX®-Austauschportal hinterlegt und können dort gezielt mit Kunden und Partnern geteilt werden.

TISAX®-Labels sind in der Regel 3 Jahre gültig, und dienen als standardisierter, branchenweit anerkannter Nachweis, um Mehrfachprüfungen zu vermeiden und Vertrauen in die Informationssicherheit eines Unternehmens zu schaffen