VDA TISAX 6.0标准

　　汽车信息安全评估标准— TISAX 6.0介绍

　　政府和企业越来越意识到信息安全至关重要，未来是信息化时代，信息安全至关重要，在这样的背景下，德国汽车工业联合会(VDA)信息安全要求ISA（ Information Security Assessment）的升级版——TISAX 6.0（Trusted Information Security Assessment Exchange

　　VDA联合ENX推出了得到大部分成员组织认可的信息安全评估流程，并将据此得到的审核结果放在一个可供信息交换的可信平台(TISAX)上，以替代之前各主机厂的频繁审核，供各需求方进行经授权的查询。

　　TISAX推出已经有差不多1年的时间，德国大众，宝马，保时捷总公司都在不遗余力的要求供应商获得TISAX认证，拿到Participant-ID，以便于信息数据的交换。

　　德国汽车工业协会（VDA）十多年前成立了“VDA信息安全委员会Information Security Committee”，开发了一个关于信息安全的标准ISA（ Information Security Assessment，简称VDA ISA），它是基于国际标准ISO/IEC 27001的主要内容修改而来。VDA信息安全委员会始终致力于开发成熟的适用于汽车行业的信息安全要求。近些年，不少标准都已成为适用于工业行业的信息安全标准，如IEC62443、NIST SP800、GB/T 30976等。

　　近年来，VDA ISA逐渐成为汽车行业信息安全的行业标准。目前，它由一个基本组件加上用于原型保护的附加模块，与第三方的连接（例如项目办公室和项目区域）和数据保护（联邦数据保护法BDSG关于委托处理数据的第11节），可以在审核期间使用。根据需要开发其他模块并将其添加到目录中。

　　作为VDA的成员，之前的ISA通常被用于组织的内部控制要求，或者是作为那些能接触组织敏感信息的供应商（服务商）的审核要求。从供应商（服务商）的角度来说，频繁的接受来自于不同客户的审核，且其审核要求大同小异，已经越来越成为供应商（服务商）自身运营的负担。为此，VDA联合ENX推出了得到大部分成员组织认可的信息安全评估流程，并将据此得到的审核结果放在一个可供信息交换的可信平台(TISAX)上，以替代之前各主机厂的频繁审核，供各需求方进行经授权的查询。

　　TISAX的参与方主要包括认可的审核服务方、汽车主机厂和众多的供应商（服务商），以及那些潜在的对此有兴趣的第三方。在TISAX上的参与方只有两种角色，访问评估结果方和提供评估结果方。一个参与组织可能受另一家参与组织的要求，进行了信息安全评估，并对其公布自己的评估结果。当然，其它的参与组织也可以向其提出查看评估结果的要求，但这取决于后者自身的决定和授权范围。这样，可以避免重复的、频繁的审核要求，并提供可信的评估结果供需求方查询。

　　TISAX 6.0 由3方面组成:

　　包括通用的信息安全要求，以及原型保护和数据保护。当然，其它的模块也将陆续地加入TISAX的评估要求中。在每个方面都有不同的安全控制点，

   当今世界正处于数字化的洪流中，从个人到企业，每天都面临着大量的数据交互。如何保护这些数据的安全，已成为当前不可回避的话题。汽车行业作为一个拥有复杂上下游供应链的行业，其中任何一家企业的信息安全问题都有可能对上下游整个供应链造成巨大影响。

为推动成员企业符合信息安全标准，德国汽车工业协会 (VDA) 多年前就基于ISO27000系列标准建立了VDA-ISA(Information Security Assessment)信息安全评估标准。之前，汽车行业成员多将VDA ISA用于其内部目的，对于信息安全审核，特别是服务提供商和供应商的审核，经常由公司自己进行。

为进一步推动企业（例如零部件厂商，供应商，服务商）在满足不同相关方（主要是汽车整车制造商）的VDA-ISA信息安全评估时，其评估结果能够进一步相互认可，交换和信任，从而减少不同整车制造商的频繁审核。

   推出新的”可信信息安全评估交换Trusted Information Security Assessment Exchange (TISAX)”机制，此机制可以实现汽车行业信息安全评估的相互认可，并提供通用的评估和交换机制。
TISAX评估流程
目前主流德国主机厂已强制要求通过TISAX认证才能够和他们交换数据。
为了通过机构的认证，企业通常需要通过以下步骤完成最终的评估工作。
评估准备
在TISAX网站注册，获取ID。并与客户确认评估范围及评估等级。选择评估机构并准备相关的自评估文件。准备过程中，也可视情况获得相应的咨询与培训服务。
评估执行
评估机构召开启动会议，开始正式的评估工作。通过文件审查，现场评估，得出企业信息安全的评估结果。
问题整改
末次会议后9个月内，需完成所有的问题整改，并视情况完成后续的现场跟踪评审。认证机构会完成最终的评估报告。
结果交互
认证机构在TISAX网站上上传最终的评估报告，并申请TISAX标签。企业可通过与客户分析评估结果，以获得与客户数据交互的权限。

TISAX认证的价值
通过TISAX认证企业，能够获取以下效益：
1、满足外部需求方直接要求，行业内相互认可：所有VDA成员和OEM都需要TISAX认证，TISAX认证为汽车行业内的信息安全评估提供了统一且有约束力标准，评估结果得到其他TISAX参与者共同认可从而实现汽车行业企业之间安全互信；
2、避免多次检查，降低管理成本：TISAX认证基于统一的VDA-ISA安全评估目录和标准，通常每三年只需要进行一次TISAX评估；
3、提升员工安全意识，员工是公司信息安全保护的重要资源与手段，他们的行为对公司内部的安全有重大影响，通过TISAX提高员工安全意识与能力。

　　     深圳中标,10年以上提供TISAX全过程辅导汽车供应链服务经验,助力信息安全/汽车数据交换安全（TISAX)/隐私保护/业务连续/IATF6949管理标准的落地方案解决，专注国际管理标准在工厂落地的研究、培训和项目建设。传道信息安全、云安全、敏感信息保护、数据治理，传承工业化精益管理包括质量、环境、职业 健康安全、能源和碳排放方案落地；致力实验室认可/测量体系，ESD等领域落地。经过多年的发展，中标管理学院从最初单一的认证培训课程提供者，逐渐发展成为一个多元化的培训与提供全面解决方案的专业服务机构。如需进一步了解详细信息。

　　敬请登录其下网址： www.csi-edu.cn