背景

       眾所周知汽車(chē)行業(yè)是一個(gè)擁有廣泛而復雜的供應鏈的行業(yè)，其擁有整車(chē)制造商，不同層級的零部件供應商等眾多企業(yè)，在這個(gè)鏈條上，其中任何一家企業(yè)的網(wǎng)絡(luò )安全問(wèn)題不管是數據泄密還是內外部攻擊都有可能導致對上下游整個(gè)供應鏈造成巨大影響，任何一個(gè)企業(yè)都不能獨善其身，需要整車(chē)制造商及其上游所有企業(yè)都能協(xié)調一致采取共同行動(dòng)應對日趨嚴峻的網(wǎng)絡(luò )安全威脅。

       德國汽車(chē)工業(yè)協(xié)會(huì ) (VDA) 多年前就推動(dòng)成員企業(yè)符合信息安全標準，很多年前建立VDA-ISA信息安全評估標準，于2017年聯(lián)合ENX推出新的”可信信息安全評估交換“Trusted Information Security Assessment Exchange (TISAX) ”機制，此機制推動(dòng)企業(yè)（例如零部件廠(chǎng)商，供應商，服務(wù)商）在滿(mǎn)足不同相關(guān)方（主要是汽車(chē)整車(chē)制造商）的VDA-ISA信息安全評估時(shí)，其評估結果能夠相互認可，交換和信任，從而減少不同整車(chē)制造商的頻繁審核。

TISAX運作模式

       此圖展示了TISAX運行模式，通常大型汽車(chē)整車(chē)制造商例如大眾，戴姆勒，寶馬都會(huì )要求其供應鏈企業(yè)和相關(guān)服務(wù)方必須獲得TISAX資質(zhì)才與其建立業(yè)務(wù)聯(lián)系，各類(lèi)企業(yè)需要到VDA和ENX注冊成為T(mén)ISAX機制參與方，通過(guò)由VDA/ENX授權認證的審核服務(wù)機構（例如德勤）執行審核，審核結果會(huì )發(fā)布在TISAX平臺上，一旦發(fā)布后TISAX的其他參與方可以在平臺上進(jìn)行訪(fǎng)問(wèn)和查閱其結果，通過(guò)這些步驟建立起相互共享，相互信任的平臺機制。

TISAX審核服務(wù)內容

在具體執行TISAX審核之前需要企業(yè)與授權認證審核服務(wù)機構（例如德勤）確定TISAX審核的對象，審核的范圍和審核的程度。

審核對象：是指企業(yè)組織范圍，部門(mén)范圍，物理地點(diǎn)等范圍；

審核范圍：是指標準范圍，壓縮范圍還是擴展范圍；請注意壓縮范圍是無(wú)法獲得TISAX審核標簽的；

審核級別：分為3個(gè)級別，不同的審核級別是由參與方期望達到的保護級別所決定的，TISAX區分三種不同的“保護級別”（正常，高和非常高），其對應AL1，AL2和AL3的審核級別；如果只是AL1級別的審核，不需要外部審核方參與企業(yè)執行自我評估即可，但注意此級別無(wú)法獲得TISAX標簽；企業(yè)通常都需要外部認證審核方（例如德勤）執行AL2或AL3級別審核從而實(shí)現高和非常高的保護級別；

對于TISAX審核時(shí)的具體技術(shù)標準依據是VDA-ISA標準，這個(gè)標準是VDA組織基于ISO/IEC 27不同信息安全相關(guān)標準定制而來(lái)，主要包括信息安全體系，第三方聯(lián)系，數據保護，原型保護等四個(gè)領(lǐng)域，包括多個(gè)控制檢查點(diǎn)組成。

TISAX認證的價(jià)值

通過(guò)TISAX認證企業(yè)，能夠獲取以下效益：

滿(mǎn)足外部需求方直接要求，行業(yè)內相互認可：所有VDA成員和OEM都需要TISAX認證，TISAX認證為汽車(chē)行業(yè)內的信息安全評估提供了統一且有約束力標準，評估結果得到其他TISAX參與者共同認可從而實(shí)現汽車(chē)行業(yè)企業(yè)之間安全互信；

避免多次檢查,降低管理成本：TISAX認證基于統一的VDA-ISA安全評估目錄和標準，通常每三年只需要進(jìn)行一次TISAX評估；

提升員工安全意識，員工是公司信息安全保護的重要資源與手段，他們的行為對公司內部的安全有重大影響，通過(guò)TISAX提高員工安全意識與能力；