# tisax-namespace-isolation.yaml
# Trennung nach Schutzbedarf gemaess VDA ISA
apiVersion: v1
kind: Namespace
metadata:
  name: tisax-protected
  labels:
    tisax-label: info-high
    data-classification: confidential
    compliance: tisax-al2
---
# Default-Deny NetworkPolicy (VDA ISA 9: Kommunikationssicherheit)
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: tisax-protected
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress
---
# Erlaubte Kommunikation explizit freigeben
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-internal-and-monitoring
  namespace: tisax-protected
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              tisax-label: info-high
    - from:
        - namespaceSelector:
            matchLabels:
              role: ingress-controller
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              tisax-label: info-high
    - to:
        - namespaceSelector:
            matchLabels:
              role: monitoring
      ports:
        - protocol: TCP
          port: 9090
    # DNS-Aufloesung erlauben
    - to: []
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53
---
# Resource Quotas (VDA ISA 12: Betriebssicherheit)
apiVersion: v1
kind: ResourceQuota
metadata:
  name: tisax-quota
  namespace: tisax-protected
spec:
  hard:
    requests.cpu: "8"
    requests.memory: 16Gi
    limits.cpu: "16"
    limits.memory: 32Gi
    pods: "50"
    services: "10"

# tisax-rbac.yaml
# VDA ISA 5: Zugriffskontrolle nach Need-to-know
# Vier Rollen: Admin, Entwickler, Operator, Auditor

# Entwickler: Kann deployen, aber keine RBAC oder Secrets aendern
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: tisax-developer
  namespace: tisax-protected
rules:
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets"]
    verbs: ["get", "list", "watch", "create", "update", "patch"]
  - apiGroups: [""]
    resources: ["pods", "pods/log", "services", "configmaps"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["pods/exec"]
    verbs: []  # Kein exec in Production (TISAX-Anforderung)
---
# Auditor: Nur Lesezugriff fuer TISAX-Assessment
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: tisax-auditor
rules:
  - apiGroups: ["", "apps", "networking.k8s.io", "rbac.authorization.k8s.io"]
    resources: ["*"]
    verbs: ["get", "list", "watch"]
  - apiGroups: ["policy"]
    resources: ["podsecuritypolicies"]
    verbs: ["get", "list", "watch"]
---
# RoleBinding: Auditor an TISAX-Namespace binden
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: tisax-auditor-binding
  namespace: tisax-protected
subjects:
  - kind: Group
    name: tisax-assessors
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: tisax-auditor
  apiGroup: rbac.authorization.k8s.io

#!/bin/bash
# tisax-compliance-check.sh
# Automatisierter TISAX-Compliance-Check fuer Kubernetes
# Kann als CronJob oder in der CI/CD-Pipeline laufen

echo "=== TISAX Compliance Report ==="
echo "Datum: $(date -u +%Y-%m-%dT%H:%M:%SZ)"
echo "Cluster: $(kubectl config current-context)"
echo ""

# VDA ISA 5: Zugriffskontrolle pruefen
echo "--- VDA ISA 5: Zugriffskontrolle ---"
kubectl get roles,rolebindings -n tisax-protected -o wide
kubectl get clusterroles | grep -i tisax

# VDA ISA 9: Netzwerksegmentierung pruefen
echo "--- VDA ISA 9: Netzwerksegmentierung ---"
kubectl get networkpolicies -n tisax-protected
for ns in $(kubectl get ns -o jsonpath='{.items[*].metadata.name}'); do
  count=$(kubectl get networkpolicies -n "$ns" --no-headers 2>/dev/null | wc -l)
  [ "$count" -eq 0 ] && echo "  WARNUNG: $ns hat keine Network Policies"
done

# VDA ISA 6: Verschluesselung pruefen
echo "--- VDA ISA 6: Kryptographie ---"
echo "Secrets: $(kubectl get secrets -n tisax-protected --no-headers | wc -l) (muessen encrypted at rest sein)"

# VDA ISA 10: Image-Sicherheit pruefen
echo "--- VDA ISA 10: Systembeschaffung ---"
echo "Images ohne SHA-Digest:"
kubectl get pods -n tisax-protected \
  -o jsonpath='{range .items[*]}{range .spec.containers[*]}{.image}{"\n"}{end}{end}' \
  | grep -v '@sha256:' | sort -u

echo ""
echo "=== Report Ende ==="

Monat 1: Gap-Analyse und Planung
├── VDA ISA Self-Assessment durchfuehren
├── Gaps identifizieren und priorisieren
├── Kubernetes-Architektur reviewen
└── Massnahmenplan erstellen

Monat 2: Technische Umsetzung (Kubernetes)
├── Namespace-Isolation implementieren
├── RBAC nach Berechtigungskonzept umsetzen
├── Network Policies ausrollen
├── Audit Logging konfigurieren
└── Image Scanning in CI/CD integrieren

Monat 3: Technische Umsetzung (Organisatorisch)
├── Informationssicherheits-Richtlinien erstellen
├── Incident-Response-Plan dokumentieren
├── Backup/Recovery-Prozess testen
└── Lieferanten-Bewertung durchfuehren

Monat 4: Dokumentation und Nachweisfuehrung
├── Alle VDA-ISA-Kontrollen dokumentieren
├── Nachweise sammeln und strukturieren
├── Internes Audit durchfuehren
└── Nachbesserungen umsetzen

Monat 5: Assessment-Vorbereitung
├── Pruefdienstleister beauftragen (ENX-Portal)
├── Assessment-Termin vereinbaren
├── Dokumentation finalisieren
└── Team auf Assessment vorbereiten

Monat 6: Assessment und Nachbereitung
├── Assessment durch Pruefdienstleister
├── Eventuelle Nachforderungen bearbeiten
├── TISAX-Label im ENX-Portal erhalten
└── Kontinuierlichen Verbesserungsprozess starten