1、汽車行業(yè)TISAX體系認證
為保護汽車行業(yè)數(shù)據(jù)交互的安全，德國汽車工業(yè)協(xié)會 (VDA) 多年前就基于ISO27000系列標(biāo)準(zhǔn)建立了VDA-ISA（Information Security Assessment）信息安全評估標(biāo)準(zhǔn)。VDA于2017年聯(lián)合ENX推出新的”可信信息安全評估交換“Trusted Information Security Assessment Exchange (TISAX) ”機制，此機制可以實現(xiàn)汽車行業(yè)信息安全評估的相互認可，并提供通用的評估和交換機制。
自TISAX評估推出以來，很多小伙伴都收到德系主機廠落實TISAX的要求。可以說，通過TISAX認證，將是未來進入德系主機廠，獲得數(shù)據(jù)交互權(quán)限的必經(jīng)之路。
經(jīng)過3年的推廣實施，已有數(shù)千家企業(yè)獲得了TISAX標(biāo)簽。通過收集各家機構(gòu)在評估過程中對于標(biāo)準(zhǔn)內(nèi)容的反饋，為了推動TISAX標(biāo)準(zhǔn)更好的適用于全球汽車產(chǎn)業(yè)鏈，VDA于2020年7月正式推出了VDA-ISA 5.0.1版本（之前的最新版本為4-1-1版），并更新了對應(yīng)的TISAX 用戶手冊V 2.2版本。
小伙伴們注意啦?。?！自2020年10月1日起，認證機構(gòu)已接受最新版VDA-ISA 5.0.4審核申請。
老版的VDA-ISA 4.1.1版本，仍將適用至2021年3月31日。
2021年3月31日起，認證機構(gòu)證書開始按最新版VDA-ISA 5.0.1開始審核。審核完成后以電子標(biāo)簽形式發(fā)放評估結(jié)果，電子標(biāo)簽有效期3年。
國際社會對信息安全越來越重視，其中汽車行業(yè)因其自身影響力本身就擁有極其復(fù)雜的上下游供應(yīng)鏈，隨著車輛網(wǎng)聯(lián)化發(fā)展，跨界入局者也與日俱增，其中任何一家企業(yè)發(fā)生信息安全問題都可能會對整個供應(yīng)鏈造成巨大影響，帶來安全隱患。
在此背景下，TISAX（可信信息安全評估交換）應(yīng)運而生，它是由德國汽車工業(yè)協(xié)會（VDA）與ENX協(xié)會聯(lián)合推出的可靠交換機制，旨在幫助主機廠確保其供應(yīng)鏈的信息安全，在汽車行業(yè)具有標(biāo)桿地位。
TISAX改版要點搶先看
2020年7月，ENX對TISAX的要求進行了重要改版，TISAX手冊從2.1版本升級到2.2版本，VDA-ISA評估標(biāo)準(zhǔn)從4.1.1版本升級到5.0版本，其中評估標(biāo)準(zhǔn)的章節(jié)、要求和檢查項等都發(fā)生了重大變化。
VDA ISA 5.0改版要點包括：
新版只保留了must和should項，取消了may的項目，評估要求更清晰且嚴格新版自評表結(jié)構(gòu)更簡潔，內(nèi)容更清晰準(zhǔn)確，填寫難度加大原型保護的編號從25修改為8，評分體系更直觀數(shù)據(jù)保護24不變，修改了部分審核內(nèi)容，如數(shù)據(jù)識別、合同事項等第三方連接的要求點融入了ISMS部分，增加了IS模塊的通過難度增加了遠程辦公，員工資質(zhì)等特定的控制要求。
以上更新都體現(xiàn)了TISAX新版的難點，這無疑對企業(yè)通過TISAX認證提出了更多新的挑戰(zhàn)，建議有TISAX認證需求或即將續(xù)證的客戶，積極關(guān)注并早做準(zhǔn)備。
常見Q&A
2、哪些企業(yè)需要進行TISAX認證？
TISAX認證適用于汽車行業(yè)上下游供應(yīng)鏈中的所有組織。奔馳、寶馬、大眾、奧迪等主機廠都已強制要求其各個級別的供應(yīng)商必須通過TISAX認證，才能與之進行數(shù)據(jù)交換；國內(nèi)眾多零部件供應(yīng)商也都接到了主機廠的通知而紛紛著手準(zhǔn)備。
3、TISAX認證與ISO 27001的關(guān)系是什么？
兩者都旨在提升組織的信息安全能力。ISO 27001是適用于各個行業(yè)的信息安全管理體系認證。TISAX基于ISO 27001，但在許多方面專注于汽車行業(yè)的特定要求，如：TISAX采用三種審核等級，AL1為自評、AL2和AL3需要第三方審核員進行現(xiàn)場審核；在關(guān)注點方面，TISAX必須實施好ISMS體系的控制點要求，并能證明PDCA循環(huán)在發(fā)生作用以及提供足夠的支持文檔。
4、什么是TISAX認證中的獨立性原則？
ENX曾多次對審核的獨立性進行說明，明確同一組織機構(gòu)，不能同時為客戶提供TISAX審核和咨詢，或類似于咨詢的培訓(xùn)服務(wù)。
5、TISAX描述
申請級別 | ¨LEVEL2（遠程審核） | ¨LEVEL 3（現(xiàn)場審核） | |
涉及類型 | ¨信息安全 | ¨原型保護 | ¨數(shù)據(jù)安全 |
現(xiàn)場地址1 | 雇員數(shù)： | ||
現(xiàn)場地址2 | 雇員數(shù) | ||
現(xiàn)場地址3 | 雇員數(shù)： | ||
IT人員數(shù) | IT安全人員數(shù) | ||
6、TISAX的證明材料和周期
ISO/IEC27001:2013 | TISAX? | |
Audit frequency 審核頻率 | Annually 每年 | Every three years 每三年一次 |
Proof 證明 | Certificate 證書 | Electronic label (only available in the ENX data base) 電子標(biāo)簽（僅在ENX平臺中發(fā)布） |
sphere of application 適用范圍 | Generic 通用 | Automobile industry 汽車行業(yè) |
Dealing with deviations 不符合項處理規(guī)則 | Major deviations must be closed before the certificate is issued 獲證前必須關(guān)閉嚴重不符合 | All major and minor deviations must be closed before the label is issued 所有嚴重和輕微不符合都必須關(guān)閉后才能獲得標(biāo)簽 |
7、可能涉及的費用，僅為常規(guī)客戶，以300人左右為例：
注冊費用：405歐元
(1) 認證費用，僅信息安全類別，約12-15萬。
(2) 認證費用，如增加原型保護和數(shù)據(jù)安全，每一類增加約3萬元。
(3) 咨詢費，僅信息安全約15萬元增加原型保護和數(shù)據(jù)安全，每類增加約3萬元。
(4) 企業(yè)自身信息安全改造也會產(chǎn)生費用。
在線客服1號