信息技術認證
首頁 >> TISAX德國汽車信息安全評估

TISAX德國汽車信息安全評估

[日期:2023-09-24] [閱讀:834] [關閉] [返回]

TISAX德國汽車行業(yè)通用信息安全評估


01.TISAX起源

        TISAX(德國汽車行業(yè)通用信息安全評估)最早起源于德國汽車OEMs對其供應商的信息安全內部審計,目的是評估整個汽車供應鏈所達到的信息安全水平。目前已通過VDA(德國汽車工業(yè)協(xié)會,評估標準制定者)和ENX(TISAX注冊和標簽共享平臺)逐漸擴展到所有的德國汽車行業(yè),成為一種評價供應商信息安全能力的通用評估和交換機制。TISAX和相應的信息安全評估機制在2017年開始成為強制性要求,全球所有供應商(包括零部件廠商、服務提供商等)均應實施和維持其信息安全管理體系(ISMS),并通過與之相應級別的TISAX審計,作為與OEMs簽約和德系汽車行業(yè)的市場準入條件。

       國際社會對信息安全越來越重視,其中汽車行業(yè)因其自身影響力本身就擁有極其復雜的上下游供應鏈,隨著車輛網聯(lián)化發(fā)展,跨界入局者也與日俱增,其中任何一家企業(yè)發(fā)生信息安全問題都可能會對整個供應鏈造成巨大影響,帶來安全隱患。在此背景下,TISAX(可信信息安全評估交換)應運而生,它是由德國汽車工業(yè)協(xié)會(VDA)與ENX協(xié)會聯(lián)合推出的可靠交換機制,旨在幫助主機廠確保其供應鏈的信息安全,在汽車行業(yè)具有標桿地位。汽車行業(yè)的很多供應商和服務提供商都會處理來自客戶的高度敏感信息。為此,客戶經常要求他們提供符合嚴格信息安全要求的證明。


02.TISAX審核內容

      1、信息安全制度與組織:內容涉及信息安全策略的創(chuàng)建、發(fā)布或分發(fā)及定期審查,資產管理,信息安全風險管理。

      2、人力資源安全:內容涉及內外部員工遵循信息安全規(guī)定的程度,內外部員工遵守信息安全策略的程度。

      3、物理環(huán)境安全:內容涉及對敏感信息處理設施的安全區(qū)域的定義、保護和監(jiān)測,對自然災害、故意襲擊或事故產生影響的應對,信息安全要求和危機事件下的ISMS的連續(xù)性的界定、實施、核實和評估。

      4、訪問控制:內容涉及訪問IT系統(tǒng)政策和程序的適用性,特權用戶和技術賬戶的分配和使用的監(jiān)督審查,用戶遵守創(chuàng)建和處理機密信息約束性政策的情況,授權人員的信息和應用程序的獲取,與其他組織共享的環(huán)境中的數據分離。

      5、信息安全與網絡安全:內容涉及密碼學,操作安全,系統(tǒng)采購、需求管理和開發(fā)。

      6、供應商關系:內容涉及供應商獲得公司信息資產時的風險控制,供應商服務的定期檢測、審查和審計。

      7、合規(guī):內容涉及相關法律(特定國家)法規(guī)和合同要求的符合情況,個人身份信息的保護,獨立第三方定期或發(fā)生重大變化時對ISMS的審核。

      8、樣件保護:除物理及環(huán)境要求、組織架構要求外,內容還涉及整車及零配件處理(車輛或部件在運輸過程中根據客戶要求的保護情況,停放/存放需要保護車輛或部件的實施情況),測試車要求(預先定義的偽裝法規(guī)的實施情況,測試場地的保護措施,公開批準試駕的保護措施),活動拍攝及拍照要求(涉及車輛、部件或配件的演示和活動的安全要求,涉及車輛、部件或配件的膠片和照片拍攝的保護措施)。

      9、數據保護:內容涉及數據保護的實施程度,個人身份數據處理的合法性保障措施,內部或工作流程在數據保護法規(guī)下進行,有關處理流程在何種程度上記錄了其可受理性。


03.TISAX認證流程

     1、定義:OEM確定評估級別,例如原型保護、數據保護等; 

     2、注冊:申請企業(yè)需要在ENX網站進行注冊,并獲得注冊號; 

     3、初步評估:第三方審核機構審查文件,然后進行2級遠程評估或者3級現(xiàn)場評估; 

     4、闡述結果:編制報告并向認證組織闡述評估結果;

     5、整改研究結果:認證組織根據評估結果制定改進方案,并在有效期內提交整改結果;

     6、后續(xù)評估:在交換平臺上形成最終報告。

     審核完成后以電子標簽形式發(fā)放評估結果,電子標簽有效期3年。


04.TISAX評估等級


      保護需求越高,您的合作伙伴就越希望確保能夠放心地讓您處理他們的信息。因此,TISAX定義了三大“評估級別(Assessment Level, 簡稱AL)”。

評估級別 1(AL 1):

      主要針對公司內部用途,是真正意義上的自我評估(self-assessment)。
評估級別 2(AL 2):
      為確認是否符合級別2,審計服務提供商會對您的自我評估結果(針對評估范圍內的所有地點)執(zhí)行合理性檢查。此外,審計服務提供商通常會以電話會議的形式完成談話過程。
      該級別一般不包含現(xiàn)場檢查。但如果您選擇了其中一個“原型”評估對象,則評估過程將總是包含一次現(xiàn)場檢查。

評估級別 3(AL 3):
      為確認是否符合級別3,審計服務提供商會執(zhí)行評估級別 2 所要求的所有檢查,只不過,相關檢查的范圍會更廣,并且審計服務提供商將通過深入開展現(xiàn)場檢查以及面對面談話等形式,來全面核查您的自我評估結果。

      評估級別規(guī)定了我們的TISAX審計服務提供商所執(zhí)行的審核深度以及使用的審計方法。


05.獲得TISAX認證的價值 

      ?行業(yè)內的相互認可:所有VDA成員和OEM都需要獲得TISAX認證,以證明其能夠滿足外部需求方的直接要求,TISAX認證為汽車行業(yè)內的信息安全評估提供了統(tǒng)一且有約束力的標準,評估結果得到其他TISAX參與者的共同認可,從而實現(xiàn)行業(yè)企業(yè)之間的安全互信;

      ?避免多次檢查降低管理成本:TISAX認證基于統(tǒng)一的VDA-ISA安全評估目錄和標準,獲得TISAX標簽后,通常每三年只需要進行一次TISAX評估;

      ?提升安全意識:員工的行為對公司內部安全有重大影響,通過TISAX能夠有效提高員工安全意識與能力。


06.哪些企業(yè)可以申請TISAX認證

      整個汽車供應鏈的組織均可申請TISAX認證。

      通過TISAX認證,將是未來進入德系主機廠,獲得數據交互權限的必經之路。經過這幾年的推廣實施,已有數千家企業(yè)獲得了TISAX標簽。


07.TISAX咨詢輔導哪里權威?

      TISAX輔導權威——標普企管

      標普企管的咨詢&培訓講師團隊均具有大型跨國企業(yè)多年工作經驗,以及數百家企業(yè)服務經驗,能將客戶的需求轉變?yōu)榍袑嵖尚械慕鉀Q方案,并能將國際一流企業(yè)的最佳實踐傳遞給客戶??筛鶕蛻舻膶嶋H情況,指出企業(yè)的不足以及要解決的問題,以幫助企業(yè)持續(xù)改進。 

    ?快速優(yōu)質的服務:為每位客戶配備專業(yè)的技術支持人員,以解決客戶提出的疑惑,并通過培訓確保服務標準的一致性。

     ?專注專業(yè)的團隊:我們堅信,專業(yè)的品牌源自客戶的信任。只有專注,才能更加專業(yè)。

     ?擁有豐富的TISAX實戰(zhàn)經驗:我們有專職的TISAX咨詢老師、專業(yè)的TISAX客服團隊,并幫助多個大型企業(yè)通過TISAX認證審核。

      標普企管,是您最佳的合作伙伴!


下一條:ISO27001信息安全管理體系

沒有上一條!