TISAX汽车行业信息安全可靠性评估资质认证简介

      网络安全问题日益严峻，信息安全对每个企业或组织来说都是需要的，所以信息安全管理具有普遍的适用性，不受地域、产业类别和公司规模限制。德国汽车工业协会 (VDA) 于2017年联合ENX推出针对汽车行业的“信息安全可靠性评估” “Trusted Information Security Assessment Exchange (TISAX) ”，该机制进一步的推动企业在满足不同相关方（主要是汽车整车制造商）的VDA-ISA信息安全评估，其评估结果能够进一步相互认可，交换和信任，从而减少不同整车制造商的频繁审核。

      此图展示了TISAX的运行模式，通常大型汽车整车制造商都会要求其供应链企业和相关服务方必须获得TISAX资质才能与其建立业务联系。因此各类企业首先需要到VDA和ENX注册成为TISAX机制参与方，然后通过由VDA/ENX授权认证的审核服务机构执行审核，审核结果会发布在TISAX平台上，一旦发布后TISAX的其他参与方可以在平台上进行访问和查阅其结果，通过这些步骤建立起相互共享，相互信任的平台机制。
      在执行TISAX审核之前需要企业与授权认证审核服务机构确定TISAX的审核对象，审核范围和审核级别。
      审核对象：是指企业组织范围，部门范围，物理地点等范围；
      审核范围：是指标准范围，压缩范围还是扩展范围；请注意压缩范围是无法获得TISAX审核标签的；
      审核级别：分为3个级别，不同的审核级别是由参与方期望达到的保护级别所决定的，TISAX区分三种不同的“保护级别”（正常，高和非常高），其对应AL1，AL2和AL3的审核级别；如果只是AL1级别的审核，不需要外部审核方参与企业执行自我评估即可，但注意此级别无法获得TISAX标签；因此企业通常都需要外部认证审核方执行AL2或AL3级别审核从而实现高和非常高的保护级别；

      对于TISAX审核时的具体技术标准的依据是VDA-ISA标准，这个标准是VDA组织基于ISO/IEC 27XXX不同信息安全相关标准定制而来，其中主要包括信息安全体系，第三方联系，数据保护，原型保护等四个方面，包括多个控制检查点组成。

企业通过TISAX认证的价值：
1. 能够满足外部需求方的直接要求，行业内的相互认可：所有VDA成员和OEM都需要获得TISAX认证，TISAX认证为汽车行业内的信息安全评估提供了统一且有约束力标准，评估结果得到其他TISAX参与者共同认可从而实现汽车行业企业之间安全互信；
2. 避免多次检查,降低了管理成本：TISAX认证基于统一的VDA-ISA安全评估目录和标准，通常每三年只需要进行一次TISAX评估；
3. 提升员工安全意识，员工的行为对公司内部的安全有重大影响，通过TISAX提高员工安全意识与能力。