TISAX® - 重要問題的解答
TISAX是什麼？ ®代表什麼？
TISAX ® - 可信任資訊安全評估交流平台
TISAX ®是汽車業常用的評估和交流程序。它基於德國汽車工業協會 (VDA) 資訊安全工作組開發的資訊安全問卷 (ISA - 資訊安全評估)，該問卷最初由德國汽車工業協會 (VDA) 的成員公司用於審核處理敏感資訊的供應商和服務提供者。 版本 5.1的VDA ISA問卷該版本自 2022 年起可用。所有新用戶都必須使用此版本。 TISAX ®自 2022 年 1 月以來的評估。與新…合作TISAX ® 5.1現在，審計目錄對於使用者和審計人員來說都應該更加便捷有效率。
此外， TISAX ®符合國際公認的資訊安全標準的基本要求： ISO 27001它適用於所有行業，並定義了確保公司內部資訊安全的要求、規則和方法。此標準的要求不僅限於保護IT技術系統，還包括所有值得保護的企業資產，例如辦公室、安全控制措施和檔案。換句話說： ISO 27001確保對組織有價值的所有資訊的安全。
TISAX：良好的計劃是成功評估的關鍵
您是否面臨著滿足汽車產業資訊安全要求的挑戰？如果是，那麼您應該在TISAX考試之前做出一些重要決策。 ®評估。我們的免費白皮書提供指導。
誰來監TISAX？ ® ？
TISAX ®是註冊商標 ENX協會總部位於法蘭克福和巴黎。作為中立機構，它受託負責實施TISAX。 ® ENX是由歐洲汽車製造商、供應商和四個國家汽車協會（包括VDA）組成的協會，VDA於2000年創立了ENX。 ENX協會負責監督實施質量，並根據嚴格的程序對評估服務提供者進行認證。 DQS是列出以 ENX 為經批准的審計服務提供者我們可在全球範圍內開展評估工作。我們的專家隨時為您解答疑問。
為了實現參與者之間評估結果的相互認可，ENX 與所有經批准的審計服務提供者以及 TISAX 的參與者簽訂了相應的合約。 ®透過標準化和品質監控，ENX實現了所有參與者對評估結果的共同認可，避免了不必要的重複評估。
關於TISAX的問題和答案®什麼是評估等級？
TISAX ®根據所需保護程度，將評估等級（保護需求）分為三個等級：普通（1級）、高（2級）和極高（3級）。審核方法和審核工作量取決於此。
一級：未經合理性檢驗的自我評估，通常僅供內部使用。這些評估結果意義有限，不用於TISAX評估。 ® 。
二級：由DQS等審計服務提供者對您的自我評估進行合理性核查。這些資訊安全審計通常以電話會議的形式進行，而非現場審計—除非符合原型保護審計目標或您明確提出要求。
此次新增的評估方法是另一種針對二級評估的評估方式。您的審計服務提供者不再進行合理性檢查，而是進行完整的遠端測試。這種方法有時被稱為「二級半評估」。其優勢在於，該方法在方法論上與三級評估相容。因此，日後只需付出適度的努力即可升級到完整的三級評估考試。
3級：由審計服務提供者透過深入、全面的現場審計，對您的自我評估進行合理性檢查。
TISAX的引入是®對於非製造型企業來說，這也是必要的嗎？
這個問題的答案取決於您的業務背景：您是否需要實施TISAX ®這取決於您的原始設備製造商 (OEM) 是否要求您提供資訊安全證明。除非汽車製造商主動聯絡您，或您發現條款和條件有所變更，否則建議您先觀望。過去，OEM 會在必要時聯繫相關公司，告知進一步合作的要求。當然，您也需要主動向汽車產業的合作夥伴諮詢。
但是，該如何操作呢？
憑藉 DQS 頒發的 ISO 27001 認證，汽車供應商 Mubea 成功地在十個歐洲國家實現了資訊安全標準化，從而在競爭中佔據了有利地位。
努力爭取TISAX有意義嗎？ ®即使沒有客戶要求也需要認證？
如今，積極主動地應對資訊安全問題通常都很有意義，這不僅適用於汽車行業的供應商。如果您的原始設備製造商 (OEM) 尚未明確規定哪些方面需要改進，那麼您應該主動採取措施。 TISAX ®取得認證標籤是必要的，最好能達到3級水準（評估等級3：資訊安全水準極高）。這樣，您就能為未來的所有要求做好準備，而無需重複工作。
或者，全球公認的ISO/IEC 27001該標準為資訊安全提供了一個良好的跨行業入門指南。該標準的修訂版於2022年10月25日發布。
ISO 27001 - 資訊安全管理體系
符合ISO標準的整體管理系統 ★ 有效執行風險管理流程 ★ 持續提升安全等級
是TISAX的聯合審計®符合 ISO 27001 標準嗎？
聯合審核完全可行，DQS 可以隨時執行。許多 TISAX ® DQS的審核員也獲得了授權。審計員對於 ISO 27001 而言，這意味著資訊安全的兩項評估可以同時進行，而無需付出太多額外努力。
擁有 ISO 27001 認證有哪些優勢？
如果您已經能夠提供 ISO 27001 認證證書，這當然是一個優勢。原因很簡單： TISAX ®你必須證明你已經實施了資訊安全管理，並且兩套規則的覆蓋範圍相似。
汽車產業的數位化：車輛中的應用程式和資料數量呈爆炸式增長，隨之而來的是資訊安全方面的攻擊面和潛在損害也在不斷擴大。
但請注意：定義TISAX ®審計範圍可能與所需的定義有所不同ISO 27001認證其基本概念並不完全相同。對於規模較大的組織，也可以考慮註冊多個審計範圍。
ISO 9001 的「製程定義」是否與 TISAX 類似？ ® ？
這個問題的答案是「是」。原則上，對應規則集中流程的定義和結構始終相同。 TISAX ®評估目錄此外，該文件還明確規定了哪些控制措施必須用於確定關鍵績效指標 (KPI)，哪些則不能。為了確保汽車產業的資訊安全，KPI 的製定輔以實例說明。因此，查閱 VDA ISA 問卷有助於初步了解相關資訊。
是否建議在實施TISAX時配備IT安全官® ？
負責引進TISAX的人員並非必須具備特定條件。 ®均來自IT部門。然而，由於涉及IT支援的流程，具備一定的IT知識無疑是有益的。
TISAX：良好的規劃成就良好的評估
您是否面臨著滿足汽車產業資訊安全要求的挑戰？如果是，那麼在進行 TISAX® 評估之前，您應該做出一些重要決策。免費白皮書提供指導。
一種評估範圍是否足以涵蓋所有地點？
將所有站點納入單一範圍既有優勢也有劣勢。
優勢
- 只有一個檢驗結果、一份檢驗報告、一個有效期限。
- 成本降低，因為只需對中央流程、程序和資源進行一次評估。
缺點
- 只有在所有站點評估完畢後，才能獲得審核結果。
- 審核結果取決於所有網站是否都通過審核，也就是說，如果只有一個網站審核不合格，您將不會收到合格的審核結果。
對於擁有眾多分公司的公司，常規的TISAX ®評估程序可能相當繁瑣。在特定情況下，我們提供一種替代方案—「簡化小組評估」（SGA）。簡化小組評估是TISAX的一種特殊情況。 ®評估程序。如果滿足要求，與常規TISAX相比，該程序可能減少工作量。 ®評估。這項特殊的TISAX評估®評估程序適用於至少有三個辦公地點且具備集中式、高度發展的資訊安全管理系統（ISMS）的公司。 附錄描述了在哪些情況下您可以從簡化的團體評估中受益，以及如何進行特殊評估流程。
評估範圍能否縮小，例如僅限於「安全關鍵型員工」？
ENX 回答了關於這個問題TISAX ®明確而言：所有接觸汽車產業敏感資訊的員工都必須納入監管範圍。例如，操作客戶施工圖的機器操作員也屬於此類。貴公司必須自行界定哪些員工參與了與資訊安全相關的流程。
ENX是否真的可以申請TISAX？ ®必須先提交審計報告，才能選擇審計服務提供者？
是的，沒錯。在您完成線上註冊後… www.enx.com/tisax/經ENX批准評估範圍後，您將收到一份所有核准評估服務提供者的名單。不過，您也可以提前在ENX網站上查看名單。 DQS已在ENX註冊為服務提供者，可在全球範圍內開展評估工作。如有任何關於汽車行業資訊安全方面的問題或疑問，請隨時聯繫我們的專家。
如果成熟度太低，進行詢問還有意義嗎？
如果你在自我評估中發現，你的公司在以下方面仍需迎頭趕上：資訊安全ty目前提出評估請求並不合適。建議您先彌補已發現的差距，然後再考慮進行審計。
個人評估需要多長時間？
關於單次評估所需時間的答案取決於貴公司的規模以及現場審核所需的差旅情況。對於一般規模的公司而言，現場評估通常需要 2-3 天。
公司需要多長時間才能獲得認證？
整個TISAX ®審核流程最多可能需要九個月。它從初始審核開始，到最終複審結束。如果評估流程無法在規定期限內完成，您將無法取得TISAX證書。 ®標籤。
如果貴公司符合所有標準或僅存在輕微不符合項，評估報告將提交給 ENX。報告一旦被接受，您將收到您的（臨時）許可證。 TISAX ®標籤。如果存在必須先糾正的重大不合格項，則標籤自不合格項被視為已糾正之日起生效。
關於TISAX的問題和答案®什麼是TISAX？ ®標籤？
標籤是評估過程的結果，概括了您的評估結果。它們之間存在層級關聯，這意味著如果您獲得某個標籤，您將自動獲得其「下級」標籤。標籤只能在…中查看。 ENX門戶它們的有效期通常為三年。
什麼是主要不合格項和次要不合格項？
重大不符合項是指那些會引發人們對資訊安全管理體系整體有效性產生懷疑，或造成重大資訊安全風險的不符合項。例如，如果要求實施雙重認證，但尚未實施，則屬於重大不符合項。
例如，如果某種不符合項既不會影響資訊安全管理系統的整體有效性，也不會對汽車業的資訊安全構成重大風險，則該不符合項屬於輕微不符合項。例如，孤立或偶發的錯誤和實施缺陷。
我是否還需要提交各項措施有效性的證據？
答案是肯定的。在您制定並實施各項措施之後，我們將對其有效性進行驗證。因此，認證過程也預留了九個月的時間。
為符合TISAX的要求，需要提供多少份文件？ ® ？
這裡無法給出統一的答案。具體情況取決於貴公司的規模和業務活動。理論上，只要思路清晰，所有內容都可以在一份文件中涵蓋。但是，建議建立多份文件分別闡述相關主題。
威爾·蒂薩克斯®替換VDA原型保護？
自從TISAX ®包含一個獨立的原型保護模組，該模組對各項標準進行了比以往更詳細的闡述，可以推斷，從長遠來看，TISAX ®將取代先前汽車行業資訊安全規則。但目前，2018 年發布的 VDA 原型保護版本 3.0 仍然有效。
專業和信任
我們的技術文章均由公司內部的標準專家和資深審核員撰寫。如果您對文章內容或作者有任何疑問，請隨時與我們聯繫。
霍爾格 施梅肯
TISAX產品經理® Holger Schmeken 擁有商業資訊學碩士學位，並持有德國關鍵基礎設施高級審計師資格 (KRITIS)。他同時也是 VCS 認證的 ISO/IEC 27001 審核員、擁有 30 多年經驗的軟體工程專家以及資訊安全副主管。
