Giải thích về TISAX®

Bản đánh giá độc lập từ DQS, tổ chức chứng nhận được công nhận.

TISAX® (Trusted Information Security Assessment Exchange) là chương trình đánh giá an toàn thông tin được áp dụng rộng rãi trong ngành công nghiệp ô tô. Nó cho phép các nhà sản xuất ô tô (OEM), Chương trình giúp các nhà sản xuất ô tô (OEM), nhà cung cấp và đơn vị cung cấp dịch vụ chứng minh năng lực xử lý an toàn thông tin mật, bảo đảm tính sẵn sàng cần thiết của hàng hóa và dịch vụ, bảo vệ các nguyên mẫu thuộc diện bảo mật và bảo vệ dữ liệu cá nhân. TISAX® có liên quan đến toàn bộ chuỗi cung ứng ngành ô tô, bao gồm các nhà sản xuất ô tô (OEM), nhà cung cấp cấp 1 và cấp 2, nhà cung cấp dịch vụ kỹ thuật, nhà cung cấp dịch vụ CNTT và phần mềm, doanh nghiệp logistics và các tổ chức hoạt động trong lĩnh vực hậu mãi.

Việc hoàn thành đánh giá TISAX® với kết quả đạt yêu cầu chứng minh rằng các năng lực cần thiết đã được triển khai và hoạt động hiệu quả. Sau đó, Các địa điểm được đánh giá sau đó sẽ được cấp nhãn TISAX® tương ứng. Khác với các chương trình chứng nhận truyền thống, TISAX® không cấp chứng chỉ. Các cuộc đánh giá được thực hiện bởi cnhững tổ chức đánh giá được Hiệp hội ENX phê duyệt, và các nhãn TISAX® tương ứng có thể được chia sẻ với các bên tham gia khác trong hệ sinh thái ngành ô tô thông qua Cổng thông tin ENX (ENX Portal).

Các nhãn TISAX® xác định những yêu cầu trong bộ tiêu chí VDA ISA (Đánh giá An toàn Thông tin (ISA) của VDA áp dụng đối với một tổ chức. Trong hoạt động quản lý nhà cung cấp, doanh nghiệp có thể quy định tổ hợp nhãn TISAX® mà từng nhà cung cấp cần đáp ứng. Những yêu cầu này có thể được điều chỉnh phù hợp với trách nhiệm của nhà cung cấp, dịch vụ được cung cấp cũng như thông tin hoặc tài sản nguyên mẫu được giao cho họ quản lý. Cách tiếp cận này cho phép áp dụng phương pháp quản lý dựa trên rủi ro, trong đó các yêu cầu TISAX® được xác định phù hợp với vai trò và trách nhiệm cụ thể của từng nhà cung cấp.

Bộ tiêu chí đánh giá an toàn thông tin (ISA)

Bắt đầu từ năm 2027, VDA sẽ chuyển sang chu kỳ phát hành bộ tiêu chí ISA hằng năm. Mỗi phiên bản mới dự kiến được công bố vào khoảng giữa năm và trở thành phiên bản ISA hiện hành từ đầu năm tiếp theo.

Kể từ tháng 1, các cuộc đánh giá mới chỉ có thể được thực hiện theo phiên bản ISA mới nhất. Các cuộc đánh giá đã được đặt hàng theo phiên bản ISA trước đó vẫn có thể được tiến hành trong một khoảng thời gian chuyển tiếp giới hạn. Tuy nhiên, cuộc họp khai mạc đánh giá (Assessment Opening Meeting) phải diễn ra chậm nhất vào cuối tháng 3.

Chu kỳ phát hành hằng năm giúp ngành công nghiệp ô tô phản ứng nhanh chóng và linh hoạt hơn trước bối cảnh các mối đe dọa không ngừng thay đổi, đặc biệt khi trí tuệ nhân tạo (AI) đang thúc đẩy sự phát triển của các công nghệ mới, phương thức tấn công mới và những rủi ro an toàn thông tin liên quan.

Những thông tin chính về TISAX® tóm tắt

Bối cảnh và động lực hình thành TISAX®

An toàn thông tin và bảo vệ nguyên mẫu trong ngành ô tô

Ngành công nghiệp ô tô trao đổi khối lượng lớn dữ liệu kỹ thuật, thương mại và dữ liệu cá nhân nhạy cảm trong toàn bộ chuỗi cung ứng. Việc bảo vệ nguyên mẫu, bản thiết kế, tài liệu kỹ thuật chia sẻ với nhà cung cấp và dữ liệu cá nhân của khách hàng luôn là mối quan tâm quan trọng. TISAX® được phát triển từ các sáng kiến trước đây của VDA nhằm xây dựng một cơ chế đánh giá chung, giúp các OEM và nhà cung cấp có thể tin tưởng vào kết quả đánh giá mà không cần thực hiện nhiều cuộc đánh giá song phương trùng lặp. Trước sự thay đổi của các mối đe dọa an ninh mạng và yêu cầu pháp lý, bộ tiêu chí VDA ISA đã liên tục được cập nhật để đáp ứng các thách thức mới.

Vai trò trong chuỗi cung ứng

Việc cung cấp hàng hóa và dịch vụ được xác định là yếu tố then chốt, mục tiêu bảo vệ quan trọng,bên cạnh tính bảo mật, nhằm phản ánh sự khác biệt về vai trò và trách nhiệm của các nhà cung cấp trong ngành ô tô. Cấu trúc nhãn TISAX® phân biệt các yêu cầu về tính bảo mật và tính sẵn sàng ở hai mức độ bảo vệ: Cao (High) và Rất cao (Very High). Điều này giúp khách hàng xác định và đánh giá chính xác hơn năng lực của từng nhà cung cấp dựa trên các yêu cầu cụ thể về bảo mật và tính sẵn sàng tương ứng với vai trò của họ.

Công nhận lẫn nhau thông qua Cổng thông tin ENX

TISAX® được xây dựng dựa trên nguyên tắc công nhận lẫn nhau. Theo đó, một tổ chức có thể thực hiện đánh giá một lần và chia sẻ kết quả với các khách hàng trong ngành ô tô tham gia chương trình thông qua Cổng thông tin ENX, theo các quy định của chương trình. Cách tiếp cận này giúp giảm các cuộc đánh giá trùng lặp giữa nhiều khách hàng, đồng thời hỗ trợ bộ phận mua hàng và an toàn thông tin tại các OEM và nhà cung cấp cấp 1 đưa ra quyết định lựa chọn nhà cung cấp phù hợp..

Phân hệ an toàn thông tin (ISA)

Bộ tiêu chí an toàn thông tin bao gồm các biện pháp kiểm soát về tổ chức và kỹ thuật phù hợp với các nguyên tắc của ISO/IEC 27001, bao gồm: chính sách an toàn thông tin, tổ chức an toàn thông tin, an toàn nguồn nhân lực, quản lý tài sản, kiểm soát truy cập, mật mã học, an ninh vật lý và môi trường, an toàn vận hành, an toàn truyền thông, mua sắm hệ thống, quan hệ với nhà cung cấp, quản lý sự cố, quản lý tính liên tục trong kinh doanh và tuân thủ.

Bảo vệ nguyên mẫu (mô-đun ISA)

Bộ tiêu chí bảo vệ nguyên mẫu quy định các biện pháp kiểm soát cụ thể đối với việc quản lý nguyên mẫu vật lý, xe thử nghiệm, linh kiện đang trong quá trình phát triển và các tài sản nhạy cảm liên quan, bao gồm an ninh tại địa điểm, bảo vệ trong quá trình vận chuyển, thử nghiệm tại nơi công cộng và quản lý nguyên mẫu khi trưng bày tại triển lãm. Phần này của bộ tiêu chí ISA giúp TISAX® khác biệt so với các chương trình đánh giá an toàn thông tin mang tính tổng quát.

Bảo vệ dữ liệu (mô-đun ISA)

Bộ tiêu chí bảo vệ dữ liệu bao gồm 12 biện pháp kiểm soát, phù hợp với các yêu cầu về quyền riêng tư như GDPR, đề cập đến các nội dung như hồ sơ hoạt động xử lý dữ liệu, quyền của chủ thể dữ liệu, xử lý vi phạm dữ liệu, quản lý bên xử lý dữ liệu và chuyển dữ liệu quốc tế.

Cấp độ đánh giá và nhu cầu bảo vệ

TISAX® xác định ba cấp độ đánh giá – AL 1 (tự đánh giá, mức độ xác minh rất hạn chế), AL 2 (đánh giá từ xa) và AL 3 (đánh giá tại chỗ) – được xác định phù hợp với nhu cầu bảo vệ thông tin của phạm vi đánh giá.

Đối tượng và lĩnh vực áp dụng của TISAX®

TISAX® dành cho mọi tổ chức trong hệ sinh thái ngành ô tô có xử lý thông tin được bảo vệ của khách hàng, bao gồm thông tin kỹ thuật hoặc thương mại bảo mật, nguyên mẫu, dữ liệu cá nhân hoặc các thông tin khác được khách hàng trong ngành ô tô xác định là cần được quản lý và bảo vệ theo quy định. Các đối tượng tham gia điển hình bao gồm nhà sản xuất ô tô (OEM), nhà cung cấp linh kiện Tier 1, nhà cung cấp linh kiện và bộ phận cấu thành Tier 2, đơn vị cung cấp dịch vụ kỹ thuật (thiết kế và thẩm định), nhà cung cấp dịch vụ CNTT và phần mềm, đơn vị cung cấp dịch vụ logistics và kho bãi xử lý hàng hóa vận chuyển trong ngành ô tô, cũng như các tổ chức hoạt động trong lĩnh vực hậu mãi và dịch vụ.

Khách hàng trong ngành ô tô thường yêu cầu nhà cung cấp phải có nhãn TISAX® còn hiệu lực như một điều kiện tiên quyết để được trao hợp đồng liên quan đến thông tin được bảo vệ. Các cuộc đánh giá TISAX® hỗ trợ bộ phận mua hàng và bộ phận an toàn thông tin tại các tổ chức khách hàng trong ngành ô tô đưa ra quyết định lựa chọn nhà cung cấp dựa trên thông tin đầy đủ, đồng thời cung cấp cho các đối tác trong chuỗi cung ứng một cơ sở tham chiếu thống nhất để đánh giá mức độ trưởng thành về an toàn thông tin.

Các tổ chức ngoài ngành ô tô thường áp dụng ISO/IEC 27001 hoặc các chương trình an toàn thông tin chuyên biệt theo từng lĩnh vực thay vì TISAX®. Đối với các tổ chức phục vụ cả khách hàng trong và ngoài ngành ô tô, chứng nhận ISO/IEC 27001 và nhãn TISAX® thường được duy trì song song, do có sự tương đồng đáng kể giữa các biện pháp kiểm soát nền tảng của hai chương trình.

Các tiêu chuẩn liên quan đến TISAX®

Tiêu chuẩn ISO/IEC 27001 (Hệ thống quản lý an toàn thông tin)

Bộ tiêu chí ISA được xây dựng dựa trên cấu trúc khái niệm của ISO/IEC 27001 và các biện pháp kiểm soát tại Phụ lục A, được điều chỉnh cho phù hợp với bối cảnh ngành ô tô. ISO/IEC 27001 là tiêu chuẩn hệ thống quản lý an toàn thông tin có thể chứng nhận được công nhận trên toàn thế giới. Hai chương trình có mối liên hệ với nhau nhưng không tương đương về mặt chính thức: chứng nhận ISO/IEC 27001 không tự động dẫn đến việc được cấp nhãn TISAX®, mặc dù chứng nhận và nhãn TISAX® thường bổ trợ cho nhau đối với các tổ chức áp dụng đồng thời cả hai.

Tiêu chuẩn ISO/IEC 27701 (Bảo vệ dữ liệu)

ISO/IEC 27701 là tiêu chuẩn mở rộng về hệ thống quản lý thông tin quyền riêng tư của ISO/IEC 27001. Về mặt khái niệm, tiêu chuẩn này có liên quan đến phân hệ Bảo vệ dữ liệu trong bộ tiêu chí ISA, nhưng được xây dựng dưới dạng tiêu chuẩn mở rộng có thể chứng nhận của ISO/IEC 27001, thay vì là một phần của chương trình chuyên biệt dành cho ngành ô tô. Các tổ chức có phạm vi hoạt động liên quan đến GDPR có thể cân nhắc áp dụng ISO/IEC 27701 song song với TISAX®.

IEC 62443-2-1 (Yêu cầu đối với chương trình an ninh dành cho chủ sở hữu hệ thống IACS)

Tiêu chuẩn IEC 62443-2-1 quy định các yêu cầu để thiết lập và duy trì hệ thống quản lý an ninh mạng cho các hệ thống tự động hóa và điều khiển công nghiệp (IACS). Tiêu chuẩn bao gồm các lĩnh vực như quản trị, đánh giá rủi ro, quản lý tài sản, kiểm soát truy cập, ứng phó sự cố, sao lưu, quản lý thay đổi, quản lý nhà cung cấp và cải tiến liên tục. Mục tiêu của tiêu chuẩn là bảo đảm các chủ sở hữu tài sản IACS quản lý an ninh mạng một cách có hệ thống trong suốt vòng đời của môi trường công nghệ vận hành.

ENX VCS (Chương trình an ninh mạng phương tiện giao thông)

ENX VCS là chương trình an ninh mạng phương tiện giao thông do Hiệp hội ENX vận hành, nhằm đáp ứng Quy định số 155 của Liên Hợp Quốc (về quản lý an ninh mạng) và các yêu cầu liên quan của ISO/SAE 21434 trong ngành công nghiệp ô tô. ENX VCS và TISAX® đều là các chương trình do ENX quản lý nhưng có phạm vi khác nhau: VCS tập trung vào quản trị an ninh mạng phương tiện và đánh giá hệ thống quản lý an ninh mạng của nhà cung cấp phục vụ việc phê duyệt kiểu loại phương tiện, trong khi TISAX® tập trung vào an toàn thông tin tại địa điểm của nhà cung cấp.

Phân biệt với các khuôn khổ an ninh mạng thông thường

Các khuôn khổ như Khuôn khổ An ninh mạng NIST và chương trình CMMC của Hoa Kỳ đề cập đến những lĩnh vực liên quan, nhưng được áp dụng trong các bối cảnh khác nhau (hợp đồng liên bang Hoa Kỳ hoặc các khuôn khổ tự nguyện). Các khuôn khổ này không được chính thức công nhận là tương đương với TISAX®, và khách hàng trong ngành ô tô nhìn chung dựa vào các nhãn TISAX® thay vì các khuôn khổ thay thế.