1. 汽車行業(yè)為什么要做TISAX?

案例一:2018年7月初有媒體報(bào)道，來(lái)自UpGuard 安全團(tuán)隊(duì)的研究員Chris Vickery 在網(wǎng)上發(fā)現(xiàn)了汽車供應(yīng)商Level One 的不安全數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)包括將近47000份文件，涵蓋汽車制造廠商近十年的詳細(xì)藍(lán)圖、工廠原理圖、客戶材料(如合同、發(fā)票、工作計(jì)劃等)

案例二:小鵬汽車員工遭FBI逮捕，指控竊取蘋(píng)果公司無(wú)人駕駛商業(yè)機(jī)密

同時(shí)，作為VDA的成員，之前的ISA通常被用于組織的內(nèi)部控制要求，或者是作為那些能接觸組織敏感信息的供應(yīng)商(服務(wù)商)的審核要求。從供應(yīng)商(服務(wù)商)的角度來(lái)說(shuō)，頻繁的接受來(lái)自于不同客戶的審核，且其審核要求大同小異，已經(jīng)越來(lái)越成為供應(yīng)商(服務(wù)商)自身運(yùn)營(yíng)的負(fù)擔(dān)。

隨著歐盟GDPR法規(guī)的生效，全球各地對(duì)數(shù)據(jù)安全越來(lái)越重視，汽車作為全球非常重要的一個(gè)產(chǎn)業(yè)，TISAX就是在這樣的時(shí)代背景下應(yīng)運(yùn)而生。

2. 什么是tisax?

2017年底，VDA和ENX聯(lián)合為VDA ISA創(chuàng)建TISAX(Trusted Information Security Assessment Exchange):信息安全的評(píng)估和交換機(jī)制，可以實(shí)現(xiàn)汽車行業(yè)信息安全評(píng)估的相互認(rèn)可，并提供通用的評(píng)估和交換機(jī)制。

ISA: 用于組織的內(nèi)部控制要求， 接觸組織敏感信息的供應(yīng)商(服務(wù)商)的審核要求。

VDA聯(lián)合ENX推出成員組織認(rèn)可的信息安全評(píng)估流程，將審核結(jié)果放在的授權(quán)平臺(tái)上以供信息查詢和交換。

ENX:為歐洲汽車工業(yè)提供開(kāi)發(fā)、采購(gòu)和生產(chǎn)控制安全交換關(guān)鍵數(shù)據(jù)解決方案的協(xié)會(huì)

ENX協(xié)會(huì):TISAX的監(jiān)管和組織的角色。

由ENX認(rèn)可審核機(jī)構(gòu)并且監(jiān)督審核機(jī)構(gòu)的審核結(jié)果以及審核的合規(guī)性。

通過(guò)監(jiān)管“ENX治理三角”得到保證，包括ENX協(xié)會(huì)與ENX認(rèn)可的審核機(jī)構(gòu)之間以及ENX協(xié)會(huì)與每個(gè)參與者之間的合作。

3.TISAX在國(guó)內(nèi)目前的現(xiàn)狀

大眾，奧迪和保時(shí)捷要求供應(yīng)商必須通過(guò)TISAX 

未來(lái)其他德國(guó)車企奔馳，寶馬可能也會(huì)跟進(jìn)要求供應(yīng)商通過(guò)TISAX

目前主要是德國(guó)主機(jī)廠強(qiáng)制要求通過(guò)TISAX才能夠和他們交換數(shù)據(jù)，所以國(guó)內(nèi)汽車配件公司都被通知要求通過(guò)TISAX。因?yàn)?018年中大眾奧迪等公司才提出TISAX的要求，國(guó)內(nèi)大部分公司處于準(zhǔn)備階段，少部分已經(jīng)在撿證網(wǎng)的協(xié)助下，通過(guò)了審核。

4.申請(qǐng)TISAX的主要流程和步驟:

1. 去ENX官網(wǎng)注冊(cè)，確定好審核的信息安全范圍等級(jí)和地點(diǎn)。注冊(cè)完成后和審核公司約好審核的時(shí)間和地點(diǎn)，確定好費(fèi)用。

2. 首次評(píng)估。根據(jù)VDA ISA 4.04里面的詳細(xì)要求，找到目前公司的信息安全體系和標(biāo)準(zhǔn)之間的差距。

3. 培訓(xùn)。公司需要對(duì)整個(gè)公司的相關(guān)人員進(jìn)行信息安全的培訓(xùn)，建立信息安全意識(shí)

4. 文件編寫(xiě)和信息安全的運(yùn)行。根據(jù)標(biāo)準(zhǔn)要求，編寫(xiě)和實(shí)施相關(guān)的信息安全文件，讓相應(yīng)的部門執(zhí)行文件。同時(shí)，對(duì)于缺少的軟硬件都必須到位。

5. 公司內(nèi)部再次根據(jù)VDA ISA評(píng)估目前公司的信息安全運(yùn)行情況，如果評(píng)分可以達(dá)到TISAX的要求，可以調(diào)整到*佳狀態(tài)迎接TISAX審核員的外審。

6. 外審?fù)ㄟ^(guò)，等待外審機(jī)構(gòu)報(bào)告，如果未通過(guò)，根據(jù)情況，再次審核，知道審核通過(guò)為止。需要注意的是，您必須在9個(gè)月的時(shí)間內(nèi)通過(guò)全部審核，否則需要全部重新開(kāi)始申請(qǐng)一次。

評(píng)估只能由TISAX專門認(rèn)可的審核提供商予以實(shí)施。

重要須知：您始終對(duì)您的結(jié)果可控--該信息只有在事先獲得批準(zhǔn)后才能交換和分享。有哪些評(píng)估等級(jí)？

有三個(gè)評(píng)估等級(jí)：

1級(jí)：標(biāo)準(zhǔn)的供應(yīng)商只需完成信息安全評(píng)估調(diào)查問(wèn)卷并在TISAX平臺(tái)中公布該自我評(píng)估結(jié)果。

2級(jí)：若為較復(fù)雜的供應(yīng)商，在實(shí)施自我評(píng)估后，獲得認(rèn)可的審核提供商之后會(huì)通過(guò)電話對(duì)其進(jìn)行隨機(jī)的合理性審查。

3級(jí)：處理高度敏感外部數(shù)據(jù)的供應(yīng)商將由獲得認(rèn)可的審核提供商根據(jù)其自我評(píng)估結(jié)果進(jìn)行現(xiàn)場(chǎng)檢查。

評(píng)估6步

第1步：分類

在第1步，根據(jù)涉及到數(shù)據(jù)的敏感性，供應(yīng)商將被劃分為OEM或客戶。

第2步：注冊(cè)

在第2步，他們向ENX進(jìn)行注冊(cè)，包括其適用范圍編號(hào)。

第3步：評(píng)估

按要求的水平進(jìn)行評(píng)估

第4步：報(bào)告

受評(píng)企業(yè)收到審核員發(fā)送的報(bào)告。

第5步：消除漏洞

受評(píng)公司消除識(shí)別出的漏洞。

第6步：上傳報(bào)告

完成的報(bào)告將上傳至交換平臺(tái)。只能在已注冊(cè)的參與者之間，且只有在受評(píng)公司明確將結(jié)果發(fā)布給這些請(qǐng)求方后，才能交換這些匯總報(bào)告。