Ab Assessment-Level 2 gehört eine Gebäudebegehung zum TISAX-Ablauf, bei AL3 sogar ein vollständiges Vor-Ort-Audit. Genau dabei wird geprüft, ob Werksgelände, Entwicklungsbereiche und die Lagerung von Prototypen einem echten Zutrittsversuch standhalten. Ein realistisches Physical- und Social-Engineering-Assessment bereitet euch deshalb genau auf das vor, was der Auditor vor Ort sehen will.
Ein Tester gibt sich am Werkstor als Mitarbeiter eines bekannten Zulieferers oder als Lieferfahrer aus, mit Warnweste, Klemmbrett und einer plausiblen Lieferung im Gepäck.
An einer stark frequentierten Schleuse oder einem Seiteneingang zum Entwicklungsflügel reicht oft, kurz hinter einem Mitarbeiter mit Badge durchzugehen. Tailgating funktioniert dort besonders gut, wo viele Menschen gleichzeitig ein- und ausgehen.
Einmal im Entwicklungsbereich zeigt sich, ob Abdeckungen, Zutrittszonen und Kamerabereiche tatsächlich verhindern, dass ein Unbefugter unbemerkt in Sichtweite eines getarnten Testfahrzeugs gelangt.
Drei Bereiche fallen bei Automotive-Zulieferern immer wieder auf, wenn wir Werksgelände und Netzwerke prüfen.
CAD-Daten, Testfahrzeuge und Konzeptunterlagen liegen hier dicht beieinander, oft mit mehr internem Publikumsverkehr, als von außen sichtbar ist.
Fertigungslinien und Steuerungstechnik laufen häufig neben klassischer IT, über gewachsene Verbindungen, die bei der letzten Netzwerkplanung niemand mehr auf dem Schirm hatte.
Kleinere Zulieferer geraten zunehmend ins Visier, gerade weil sie als leichterer Weg in das Ökosystem der großen OEMs gelten.
Diese Seite bleibt bewusst schlank. Für das vollständige VDA-ISA-Mapping, die Assessment-Level-Details (AL1 bis AL3) und die Vorbereitung auf euer TISAX-Zertifizierungsaudit: unsere ausführliche TISAX-Seite.
2022 wurde Continental, einer der größten Tier-1-Zulieferer der deutschen Automobilindustrie, laut Medienberichten Ziel eines Angriffs der Ransomware-Gruppe LockBit. Der Fall zeigt: Auch etablierte, gut abgesicherte Zulieferer sind vor Ransomware nicht gefeit, unabhängig von Größe oder TISAX-Reifegrad.
Angaben nach öffentlicher Berichterstattung. accessgranted war an diesem Vorfall nicht beteiligt.
Für den physischen und netzwerkseitigen Teil eures Sicherheitsnachweises hat sich diese Kombination bei Automotive-Zulieferern bewährt.
Simulierter Zutritt zu Werksgelände, Entwicklungsflügeln und Prototypenbereichen, genau der Teil, den eure Gebäudebegehung erwartet.
Sicherheitsprüfung von Fertigungslinien und Steuerungstechnik, ohne Risiko für den laufenden Produktionsbetrieb.
Netzwerksegmentierung zwischen Entwicklung, Produktion und Verwaltung, inklusive Zugriffsrechten und Fernwartungszugängen.