贯标集团-江苏汽车行业企业应对TISAX信息安全认证

背景

     众所周知汽车行业是一个拥有广泛而复杂的供应链的行业，其拥有整车制造商，不同层级的零部件供应商等众多企业，在这个链条上，其中任何一家企业的网络安全问题不管是数据泄密还是内外部攻击都有可能导致对上下游整个供应链造成巨大影响，任何一个企业都不能独善其身，需要整车制造商及其上游所有企业都能协调一致采取共同行动应对日趋严峻的网络安全威胁。

       德国汽车工业协会(VDA)多年前就推动成员企业符合信息安全标准，很多年前建立VDA-ISA信息安全评估标准，于2017年联合ENX推出新的”可信信息安全评估交换“TrustedInformationSecurity Assessment Exchange(TISAX)”机制，此机制推动企业（例如零部件厂商，供应商，服务商）在满足不同相关方（主要是汽车整车制造商）的VDA-ISA信息安全评估时，其评估结果能够相互认可，交换和信任，从而减少不同整车制造商的频繁审核。

TISAX运作模式

     此图展示了TISAX运行模式，通常大型汽车整车制造商例如大众，戴姆勒，宝马都会要求其供应链企业和相关服务方必须获得TISAX资质才与其建立业务联系，各类企业需要到VDA和ENX注册成为TISAX机制参与方，通过由VDA/ENX授权认证的审核服务机构（例如德勤）执行审核，审核结果会发布在TISAX平台上，一旦发布后TISAX的其他参与方可以在平台上进行访问和查阅其结果，通过这些步骤建立起相互共享，相互信任的平台机制。

TISAX审核服务内容

在具体执行TISAX审核之前需要企业与授权认证审核服务机构（例如德勤）确定TISAX审核的对象，审核的范围和审核的程度。

审核对象：是指企业组织范围，部门范围，物理地点等范围；

审核范围：是指标准范围，压缩范围还是扩展范围；请注意压缩范围是无法获得TISAX审核标签的；

审核级别：分为3个级别，不同的审核级别是由参与方期望达到的保护级别所决定的，TISAX区分三种不同的“保护级别”（正常，高和非常高），其对应AL1，AL2和AL3的审核级别；如果只是AL1级别的审核，不需要外部审核方参与企业执行自我评估即可，但注意此级别无法获得TISAX标签；企业通常都需要外部认证审核方（例如德勤）执行AL2或AL3级别审核从而实现高和非常高的保护级别；

对于TISAX审核时的具体技术标准依据是VDA-ISA标准，这个标准是VDA组织基于ISO/IEC27不同信息安全相关标准定制而来，主要包括信息安全体系，第三方联系，数据保护，原型保护等四个领域，包括多个控制检查点组成。

TISAX认证的价值

通过TISAX认证企业，能够获取以下效益：

1. 满足外部需求方直接要求，行业内相互认可：所有VDA成员和OEM都需要TISAX认证，TISAX认证为汽车行业内的信息安全评估提供了统一且有约束力标准，评估结果得到其他TISAX参与者共同认可从而实现汽车行业企业之间安全互信；

2. 避免多次检查,降低管理成本：TISAX认证基于统一的VDA-ISA安全评估目录和标准，通常每三年只需要进行一次TISAX评估；

3. 提升员工安全意识，员工是公司信息安全保护的重要资源与手段，他们的行为对公司内部的安全有重大影响，通过TISAX提高员工安全意识与能力；