1、汽車行業(yè)TISAX體系認(rèn)證
為保護(hù)汽車行業(yè)數(shù)據(jù)交互的安全，德國汽車工業(yè)協(xié)會 (VDA) 多年前就基于ISO27000系列標(biāo)準(zhǔn)建立了VDA-ISA（Information Security Assessment）信息安全評估標(biāo)準(zhǔn)。VDA于2017年聯(lián)合ENX推出新的”可信信息安全評估交換“Trusted Information Security Assessment Exchange (TISAX) ”機(jī)制，此機(jī)制可以實(shí)現(xiàn)汽車行業(yè)信息安全評估的相互認(rèn)可，并提供通用的評估和交換機(jī)制。
自TISAX評估推出以來，很多小伙伴都收到德系主機(jī)廠落實(shí)TISAX的要求。可以說，通過TISAX認(rèn)證，將是未來進(jìn)入德系主機(jī)廠，獲得數(shù)據(jù)交互權(quán)限的必經(jīng)之路。
經(jīng)過3年的推廣實(shí)施，已有數(shù)千家企業(yè)獲得了TISAX標(biāo)簽。通過收集各家機(jī)構(gòu)在評估過程中對于標(biāo)準(zhǔn)內(nèi)容的反饋，為了推動TISAX標(biāo)準(zhǔn)更好的適用于全球汽車產(chǎn)業(yè)鏈，VDA于2020年7月正式推出了VDA-ISA 5.0.1版本（之前的最新版本為4-1-1版），并更新了對應(yīng)的TISAX 用戶手冊V 2.2版本。
小伙伴們注意啦?。?！自2020年10月1日起，認(rèn)證機(jī)構(gòu)已接受最新版VDA-ISA 5.0.4審核申請。
老版的VDA-ISA 4.1.1版本，仍將適用至2021年3月31日。
2021年3月31日起，認(rèn)證機(jī)構(gòu)證書開始按最新版VDA-ISA 5.0.1開始審核。審核完成后以電子標(biāo)簽形式發(fā)放評估結(jié)果，電子標(biāo)簽有效期3年。
國際社會對信息安全越來越重視，其中汽車行業(yè)因其自身影響力本身就擁有極其復(fù)雜的上下游供應(yīng)鏈，隨著車輛網(wǎng)聯(lián)化發(fā)展，跨界入局者也與日俱增，其中任何一家企業(yè)發(fā)生信息安全問題都可能會對整個供應(yīng)鏈造成巨大影響，帶來安全隱患。
在此背景下，TISAX（可信信息安全評估交換）應(yīng)運(yùn)而生，它是由德國汽車工業(yè)協(xié)會（VDA）與ENX協(xié)會聯(lián)合推出的可靠交換機(jī)制，旨在幫助主機(jī)廠確保其供應(yīng)鏈的信息安全，在汽車行業(yè)具有標(biāo)桿地位。
TISAX改版要點(diǎn)搶先看
2020年7月，ENX對TISAX的要求進(jìn)行了重要改版，TISAX手冊從2.1版本升級到2.2版本，VDA-ISA評估標(biāo)準(zhǔn)從4.1.1版本升級到5.0版本，其中評估標(biāo)準(zhǔn)的章節(jié)、要求和檢查項(xiàng)等都發(fā)生了重大變化。
VDA ISA 5.0改版要點(diǎn)包括：
新版只保留了must和should項(xiàng)，取消了may的項(xiàng)目，評估要求更清晰且嚴(yán)格新版自評表結(jié)構(gòu)更簡潔，內(nèi)容更清晰準(zhǔn)確，填寫難度加大原型保護(hù)的編號從25修改為8，評分體系更直觀數(shù)據(jù)保護(hù)24不變，修改了部分審核內(nèi)容，如數(shù)據(jù)識別、合同事項(xiàng)等第三方連接的要求點(diǎn)融入了ISMS部分，增加了IS模塊的通過難度增加了遠(yuǎn)程辦公，員工資質(zhì)等特定的控制要求。
以上更新都體現(xiàn)了TISAX新版的難點(diǎn)，這無疑對企業(yè)通過TISAX認(rèn)證提出了更多新的挑戰(zhàn)，建議有TISAX認(rèn)證需求或即將續(xù)證的客戶，積極關(guān)注并早做準(zhǔn)備。
常見Q&A
2、哪些企業(yè)需要進(jìn)行TISAX認(rèn)證？
TISAX認(rèn)證適用于汽車行業(yè)上下游供應(yīng)鏈中的所有組織。奔馳、寶馬、大眾、奧迪等主機(jī)廠都已強(qiáng)制要求其各個級別的供應(yīng)商必須通過TISAX認(rèn)證，才能與之進(jìn)行數(shù)據(jù)交換；國內(nèi)眾多零部件供應(yīng)商也都接到了主機(jī)廠的通知而紛紛著手準(zhǔn)備。
3、TISAX認(rèn)證與ISO 27001的關(guān)系是什么？
兩者都旨在提升組織的信息安全能力。ISO 27001是適用于各個行業(yè)的信息安全管理體系認(rèn)證。TISAX基于ISO 27001，但在許多方面專注于汽車行業(yè)的特定要求，如：TISAX采用三種審核等級，AL1為自評、AL2和AL3需要第三方審核員進(jìn)行現(xiàn)場審核；在關(guān)注點(diǎn)方面，TISAX必須實(shí)施好ISMS體系的控制點(diǎn)要求，并能證明PDCA循環(huán)在發(fā)生作用以及提供足夠的支持文檔。
4、什么是TISAX認(rèn)證中的獨(dú)立性原則？
ENX曾多次對審核的獨(dú)立性進(jìn)行說明，明確同一組織機(jī)構(gòu)，不能同時(shí)為客戶提供TISAX審核和咨詢，或類似于咨詢的培訓(xùn)服務(wù)。
5、TISAX描述
申請級別 | ¨LEVEL2（遠(yuǎn)程審核） | ¨LEVEL 3（現(xiàn)場審核） | |
涉及類型 | ¨信息安全 | ¨原型保護(hù) | ¨數(shù)據(jù)安全 |
現(xiàn)場地址1 | 雇員數(shù)： | ||
現(xiàn)場地址2 | 雇員數(shù) | ||
現(xiàn)場地址3 | 雇員數(shù)： | ||
IT人員數(shù) | IT安全人員數(shù) | ||
6、TISAX的證明材料和周期
ISO/IEC27001:2013 | TISAX? | |
Audit frequency 審核頻率 | Annually 每年 | Every three years 每三年一次 |
Proof 證明 | Certificate 證書 | Electronic label (only available in the ENX data base) 電子標(biāo)簽（僅在ENX平臺中發(fā)布） |
sphere of application 適用范圍 | Generic 通用 | Automobile industry 汽車行業(yè) |
Dealing with deviations 不符合項(xiàng)處理規(guī)則 | Major deviations must be closed before the certificate is issued 獲證前必須關(guān)閉嚴(yán)重不符合 | All major and minor deviations must be closed before the label is issued 所有嚴(yán)重和輕微不符合都必須關(guān)閉后才能獲得標(biāo)簽 |
7、可能涉及的費(fèi)用，僅為常規(guī)客戶，以300人左右為例：
注冊費(fèi)用：405歐元
(1) 認(rèn)證費(fèi)用，僅信息安全類別，約12-15萬。
(2) 認(rèn)證費(fèi)用，如增加原型保護(hù)和數(shù)據(jù)安全，每一類增加約3萬元。
(3) 咨詢費(fèi)，僅信息安全約15萬元增加原型保護(hù)和數(shù)據(jù)安全，每類增加約3萬元。
(4) 企業(yè)自身信息安全改造也會產(chǎn)生費(fèi)用。
在線客服1號