TISAX Denetim Hazırlığında Teknik Kanıtlar: Otomotiv Tedarikçileri İçin Uygulamalı Rehber

Avrupa ve küresel otomotiv ekosisteminde (Volkswagen Grubu, BMW, Mercedes-Benz, Porsche, Audi vb.) faaliyet gösteren parça üreticileri, yazılım evleri ve mühendislik ofisleri için TISAX® (Trusted Information Security Assessment Exchange) etiketi artık bir opsiyon değil, doğrudan tedarikçi yeterlilik koşuludur.

Ancak TISAX hazırlığı yürüten otomotiv tedarikçilerinin düştüğü en büyük hata; süreci yalnızca doküman yazmaktan ibaret sanmak ve teknik kanıt toplamayı son haftaya bırakmaktır. Oysa akredite denetçiler (TÜV, DQS, DEKRA vb.) politika dokümanlarının varlığından ziyade, bu kuralların BT sistemlerinde, bulut ortamlarında ve üretim sahasında fiilen işletildiğini gösteren nesnel kanıtları (objective evidence) sorgular.

Bu yazıda; resmî ENX TISAX Participant Handbook kuralları ve yürürlükteki VDA ISA 6.0.3 (ve 6.0.x serisi) soru kataloğuna göre denetçiye sunulması gereken kritik teknik kanıtları, AL2/AL3 farklarını ve ISA2027 geçişinin etkilerini adım adım inceliyoruz.

1. Değerlendirme Hedefi (Assessment Objective) Gereksinimleri Nasıl Belirler?

TISAX sürecinde duvara asılacak tek tip bir "sertifika" yoktur; ENX Portalı üzerinde tescillenen ve OEM müşterileriyle paylaşılan TISAX Etiketleri (TISAX Labels) vardır. Bu etiketlerin kapsamını müşterinizin talep ettiği Değerlendirme Hedefleri belirler:

• Info High (Yüksek Koruma İhtiyacı): Gizli teknik şartnameler ve parça maliyet çizelgeleri için uygulanır.
• Info Very High (Çok Yüksek Koruma İhtiyacı): Henüz piyasaya sürülmemiş gizli AR-GE projeleri ve stratejik tasarımlar için aranır.
• Availability High / Very High: OEM montaj hattına tam zamanında (JIT / JIS) sevkiyat yapan, duruş maliyeti kritik tedarikçilerde istenir.
• Prototype Protection (Prototip Koruması): Prototip parça (Proto Parts), prototip araç (Proto Vehicles) veya test araçları (Test Vehicles) barındıran tesislerde zorunludur.

2. AL2 ve AL3 Arasındaki Kanıt İnceleme Farklılıkları

Değerlendirme Hedefi, denetimin derinliğini gösteren Değerlendirme Seviyesini (Assessment Level - AL) doğrudan belirler:

• AL2 (İnandırıcılık Denetimi - Plausibility Check): Temel olarak uzaktan video konferansla yürütülür. Denetçi sunulan belgelerin, ekran görüntülerinin ve süreçlerin inandırıcılığını test eder. AL2, Genellikle uzaktan yürütülen inandırıcılık değerlendirmesidir. İhtiyaca ve ilgili ENX kurallarına göre yerinde görüşme veya kanıt incelemesi de gerçekleştirilebilir.
• AL3 (Kapsamlı Yerinde Doğrulama - On-Site Verification): Denetçi bizzat fabrikanıza ve AR-GE ofisinize gelir. Sistem odalarını, kamera kayıtlarını, çitleri ve üretim makinelerini sahada teftiş eder.

⚠️ 1 Ocak 2025 Kural Değişikliği: Resmî ENX rehberinde yapılan son güncelleme ile, daha önce AL3 zorunluluğu olan Test Vehicles (Test Araçları) ve Proto Events (Prototip Etkinlikleri) hedefleri için 1 Ocak 2025 itibarıyla AL2 (uzaktan denetim) seçeneği yürürlüğe girmiştir. Ancak fiziksel prototip parça üreten tesislerde AL3 yerinde teftiş şartı sürmektedir.

3. Denetimde Sorgulanan 5 Temel Teknik Kanıt Alanı

A. Kimlik ve Erişim Yönetimi (IAM) Kanıtları

• Active Directory / IdP Logları: Tüm kullanıcıların yılda en az bir kez yapılan yetki gözden geçirme tutanağı.
• İşten Ayrılan Personel: İK çıkış tarihi ile hesabın pasif edilme zaman damgası (timestamp) arasındaki farkın 24 saati aşmadığını gösteren denetim logu.
• Zorunlu MFA: İstisnasız tüm VPN ve bulut yönetim erişimlerinde Çok Faktörlü Kimlik Doğrulama (TOTP/FIDO2) konfigürasyon dökümü.

B. Ağ Güvenliği ve Endüstriyel İzolasyon (OT / IT)

• Üretim sahasındaki PLC, CNC ve robot hatlarının (OT ağı) ofis çalışanlarının kullandığı kurumsal LAN'dan endüstriyel firewall ile izole edildiğini gösteren kural setleri ve topoloji şeması.
• Misafir Wi-Fi ağının şirket sunucularına tamamen kapalı olduğunu kanıtlayan VLAN izolasyon test raporu.

C. Tedarikçi ve Bulut Güvenliği

• Tasarım verilerini işleyen harici kalıpçı ve mühendislik firmalarıyla imzalanmış güncel Gizlilik Sözleşmeleri (NDA).
• CAD/ERP verilerini barındıran bulut sağlayıcılarının güncel SOC 2 Type II veya ISO/IEC 27001 uygunluk raporları.

D. Yedekleme ve Değişmezlik (Immutability)

• Fidye yazılımı (ransomware) saldırılarına karşı yedeklerin değiştirilemez (WORM depolama veya AWS S3 Object Lock) olduğunu gösteren konfigürasyon çıktısı.
• Son 6 ay içerisinde yapılmış başarılı bir "Yedekten Geri Yükleme" (Restore Test) tutanağı.

E. Prototip Alanı ve Fiziksel Güvenlik

• AR-GE ve prototip alanına girişlerde iki faktörlü biyometrik / kartlı geçiş kayıtları.
• Prototip pencerelerinde dışarıdan görünmeyi engelleyen opak film/jaluzi kanıtı ve 7/24 çalışan asgari 60 günlük CCTV kayıt arşivi.

4. Düzeltici Faaliyet Planı (CAP) Süreci Nasıl İşler?

Denetim gününde her şey mükemmel gitmeyebilir. TISAX sisteminde tespit edilen minör uygunsuzluklar denetimin başarısız olduğu anlamına gelmez:

1. Denetim sağlayıcısı geçici bir rapor düzenler ve uygunsuzlukları listeler.
2. Tedarikçi, Düzeltici Faaliyet Planı (Corrective Action Plan - CAP) hazırlayarak kök neden analizi ve aksiyon takvimini sunar.
3. CAP kabul edildiğinde tedarikçiye geçici bir etiket verilebilir; nihai aksiyonların kapatılması için azami 9 aylık bir süre tanınır.

5. VDA ISA Sürümleri ve ISA2027 Geçişinde Bilinmesi Gerekenler

ENX ve VDA, otomotiv sektörünün gelecekteki güvenlik mimarisini şekillendirecek olan ISA2027 kataloğunu duyurmuştur.

Buradaki en kritik standart ve takvim kuralları şunlardır:

• Yürürlükteki Ana Sürüm: Değerlendirmelerde aktif olarak kullanılan en güncel standart ana sürümü VDA ISA 6.0.3 (ve ilgili 6.0.x revizyonları)'dır.
• Sipariş Tarihi ve Uygulanabilirlik Kuralı: TISAX denetimlerinde hangi ISA sürümünün uygulanacağı; akredite denetim sağlayıcısı ile akdedilen değerlendirme sipariş sözleşmesi tarihine (assessment ordering date), değerlendirmenin ilk denetim veya yeniden belgelendirme durumuna ve ENX geçiş takvimine göre belirlenir. Yürürlükteki bir sipariş kapsamında başlayan süreçler, sözleşme tarihindeki geçerli sürüm şartlarına göre sonuçlandırılır.
• ISA2027 Geçişi: ENX takvimine göre ISA2027, 2027 yılından itibaren başlayacak yeni değerlendirme siparişlerinde kademeli olarak bağlayıcı standart haline gelecektir.
• Hazırlık Stratejisi: Tesisler mevcut değerlendirme süreçlerini VDA ISA 6.0.3 şartlarına göre planlarken, 3 yıllık TISAX etiket döngüsünün devamlılığı için ISA2027 ile gelen güncel bulut ve tedarik zinciri kontrollerini şimdiden yönetim sistemlerine dahil etmelidir.

🛠️ Açık Kaynak TISAX Hazırlık ve GAP Analizi Kiti

Tesisinizin denetim hazırlığını adım adım yürütmek, kontrol listelerini incelemek ve nesnel kanıt matrisini indirmek için GitHub üzerinde yayımladığımız açık kaynaklı kiti kullanabilirsiniz:

📂 GitHub: TISAX Değerlendirme Hazırlığı ve GAP Analizi Çalışma Kiti

🤝 Profesyonel TISAX Danışmanlığı ve Denetim Eşliği

Tesisinizin ENX Portal kaydından doğru Değerlendirme Hedefi (Assessment Objective) seçimine, VDA ISA boşluk analizinden denetim günü eşliğine kadar akredite denetim firmalarıyla çıkar çatışmasından uzak, bağımsız danışmanlık almak isterseniz:

👉 Burak Ekşi — TISAX Danışmanlığı ve Değerlendirme Hazırlığı sayfamız üzerinden metodolojimizi inceleyebilir ve kurumunuza özel hazırlık teklifi alabilirsiniz.