一、TISAX（可信信息安全評估交換）業(yè)務(wù)背景

 

從五年前“電動化、網(wǎng)聯(lián)化、智能化、共享化”概念被首次提出，汽車行業(yè)開啟了前所未有的、令人驚嘆的變革。在變革浪潮中，汽車已逐漸擺脫其作為“交通工具”的單一設(shè)定，演化成如同手機(jī)般的智慧產(chǎn)品。據(jù)高盛研究部預(yù)計(jì)，自動駕駛汽車市場到2025年有望增長到960億美元，并在2035年達(dá)到2900億美元的規(guī)模。有數(shù)據(jù)顯示，如今智能化汽車每天能產(chǎn)生20GB的數(shù)據(jù)，未來擁有更強(qiáng)自動駕駛能力的汽車，預(yù)計(jì)每秒就能產(chǎn)生10GB的數(shù)據(jù)。這意味著，從零配件供應(yīng)商、車聯(lián)網(wǎng)運(yùn)營服務(wù)商，到云廠商、高精地圖廠商，甚至是保險(xiǎn)公司等等汽車行業(yè)相關(guān)企業(yè)，都需要數(shù)據(jù)分析技術(shù)支持，特別是隨著歐盟《通用數(shù)據(jù)保護(hù)條例》（簡稱GDPR）的生效，數(shù)據(jù)安全愈發(fā)受到重視。

為了幫助主機(jī)廠確保其供應(yīng)鏈的信息安全，2017年初，德國汽車工業(yè)協(xié)會（VDA）與ENX協(xié)會聯(lián)合推出了可靠交換機(jī)制TISAX（TrustedInformation Security AssessmentExchange可信信息安全評估交換），實(shí)現(xiàn)數(shù)字化汽車行業(yè)的信息安全可信評估。把受多數(shù)組織成員認(rèn)可的信息安全評估流程 VDA ISA(Information Security Assessment) 之審核結(jié)果放上平臺，供參與者在得到被審核者授權(quán)后做查詢，是一個(gè)參考ISO 27001、ISO27002等標(biāo)準(zhǔn)規(guī)范所制定的信息安全評估結(jié)果的交換平臺。同年起，該項(xiàng)評估的流程和標(biāo)準(zhǔn)開始成為強(qiáng)制性要求，在全球范圍內(nèi)，包括零部件廠商、外圍服務(wù)供應(yīng)商等在內(nèi)的所有相關(guān)供應(yīng)商，都被要求建立和維持基于行業(yè)互相的信息安全管理體系，并將通過與之對應(yīng)級別的TISAX認(rèn)證作為準(zhǔn)入條件。如今，眾多國內(nèi)汽車配件公司都收到了主機(jī)廠要求通過TISAX認(rèn)證的通知，紛紛著手準(zhǔn)備該項(xiàng)認(rèn)證。

ISA: 用于組織的內(nèi)部控制要求，接觸組織敏感信息的供應(yīng)商（服務(wù)商）的審核要求。

VDA聯(lián)合ENX推出成員組織認(rèn)可的信息安全評估流程，將審核結(jié)果放在的授權(quán)平臺上以供信息查詢和交換。

ENX:為歐洲汽車工業(yè)提供開發(fā)、采購和生產(chǎn)控制安全交換關(guān)鍵數(shù)據(jù)解決方案的協(xié)會

ENX協(xié)會：TISAX的監(jiān)管和組織的角色。

由ENX認(rèn)可審核機(jī)構(gòu)并且監(jiān)督審核機(jī)構(gòu)的審核結(jié)果以及審核的合規(guī)性。

通過監(jiān)管“ENX治理三角”得到保證，包括ENX協(xié)會與ENX認(rèn)可的審核機(jī)構(gòu)之間以及ENX協(xié)會與每個(gè)參與者之間的合作。

二、關(guān)于TISAX認(rèn)證的一系列問題

 

Q1：哪些企業(yè)正在進(jìn)行TISAX認(rèn)證

A1：TISAX認(rèn)證適用于整個(gè)汽車行業(yè)增值鏈上的所有組織。隨著數(shù)字化轉(zhuǎn)型與行業(yè)生態(tài)的發(fā)展，跨界融合的趨勢日益凸顯。與此同時(shí)，信息安全問題全球化的態(tài)勢，導(dǎo)致業(yè)內(nèi)廠商對信息安全越來越重視。與此同時(shí)，隨著虛擬化與云計(jì)算的應(yīng)用，網(wǎng)上數(shù)據(jù)交互與協(xié)同辦公已成為可能。事實(shí)上，大眾集團(tuán)已經(jīng)向其供應(yīng)商推行了KVS數(shù)據(jù)交互平臺，其完整版已經(jīng)具備協(xié)同開發(fā)設(shè)計(jì)的功能。因此，無論是原型設(shè)計(jì)與開發(fā)，還是數(shù)據(jù)安全，在信息化的條件下，信息安全已成為各大主機(jī)廠及其合作供應(yīng)商的關(guān)切重點(diǎn)。因此，TISAX作為行業(yè)內(nèi)信息安全的認(rèn)證標(biāo)準(zhǔn)，已經(jīng)從主機(jī)廠的一級供應(yīng)商延伸到二級、三級供應(yīng)商，從零部件供應(yīng)商擴(kuò)展到芯片等元器件供應(yīng)商。所以，為滿足市場與行業(yè)的要求，包括所有汽車制造商的供應(yīng)商和服務(wù)提供商，以及處理相關(guān)公司敏感信息的供應(yīng)商，都在積極申請獲得TISAX認(rèn)證。

Q2：在汽車行業(yè)中，TISAX認(rèn)證的認(rèn)可度怎么樣？

A2：TISAX認(rèn)證是唯一對汽車產(chǎn)業(yè)鏈進(jìn)行信息安全認(rèn)證的機(jī)制，其合作協(xié)會德國汽車工業(yè)協(xié)會（VDA）有著深刻的行業(yè)認(rèn)知。在汽車行業(yè)中，德系主機(jī)廠的要求Zui為嚴(yán)格，其他歐系、美系和國內(nèi)廠商也在紛紛跟進(jìn)。為了確保供應(yīng)鏈的信息安全，很多德國主機(jī)廠都已強(qiáng)制要求其各個(gè)級別的供應(yīng)商必須通過TISAX認(rèn)證才能與他們交換數(shù)據(jù)，國內(nèi)很多汽車配件公司也都收到了強(qiáng)制認(rèn)證通知。事實(shí)上，大眾、奧迪、以及雪鐵龍集團(tuán)早在2018年就已對其供應(yīng)商明確提出“必須通過TISAX認(rèn)證”的要求，奔馳、寶馬等也紛紛跟進(jìn)對供應(yīng)商在取得TISAX認(rèn)證方面的要求。 

 

Q3：獲得TISAX認(rèn)證對企業(yè)有什么價(jià)值？

A3：通常，TISAX認(rèn)證都是來自于主機(jī)廠的強(qiáng)制要求，獲得認(rèn)證就是滿足了外部需求方的直接要求，同時(shí)提升了員工安全意識和能力，無疑能為企業(yè)增強(qiáng)市場競爭力。而且，作為一項(xiàng)極具性的三方認(rèn)證，TISAX認(rèn)證是全行業(yè)包括個(gè)人客戶都極為認(rèn)可和推崇的，經(jīng)過一次審核后，在三年有效期內(nèi)，所有主機(jī)廠都可以查到審核信息，不必重復(fù)審核，在高認(rèn)可度的情況下，還能避免多次檢查，有效節(jié)省時(shí)間和管理成本。

 

Q4：TISAX評估流程是怎樣安排的？

A4：TISAX評估流程主要分為六個(gè)步驟，由主機(jī)廠確定評估級別，TISAX參與方（被審核方）需到ENX網(wǎng)站進(jìn)行注冊，然后通過由VDA/ENX授權(quán)認(rèn)可的第三方機(jī)構(gòu)執(zhí)行審核，包括自評估、初步評估、改進(jìn)計(jì)劃和后續(xù)評估。

 

 

Q5：TISAX審核等級如何劃分？

A5：審核等級分為AL1、AL2和AL3。AL1一般是自評，AL2和AL3需要第三方審核員對工廠進(jìn)行現(xiàn)場審核，一般獲得AL2和AL3才能夠獲得TISAX的認(rèn)可。

Q6：現(xiàn)行TISAX一共定義了多少個(gè)標(biāo)簽？

A6：ISA5版本的TISAX一共定義了8個(gè)標(biāo)簽。企業(yè)通過申請，通過幾個(gè)，就將獲得幾個(gè)標(biāo)簽。標(biāo)簽包括：2個(gè)信息安全標(biāo)簽（INFOHIGH，INFO VERY HIGH）、2個(gè)數(shù)據(jù)保護(hù)標(biāo)簽（DATA，SPECIAL DATA）、4個(gè)原型保護(hù)標(biāo)簽（PROTOPARTS，PROTO VEHICLES，TEST VEHICLES-，EVENTS SHOOTINGS）。

        從2024年4月1日之后執(zhí)行的ISA6版本，一共定義了10個(gè)標(biāo)簽，包括2個(gè)保密性標(biāo)簽（Confidential，StrictlyConfidential）、2個(gè)可用性標(biāo)簽（Avail High，Avail VertyHigh）、2個(gè)數(shù)據(jù)保護(hù)標(biāo)簽（DATA，SPECIAL DATA）、4個(gè)原型保護(hù)標(biāo)簽（PROTO PARTS，PROTOVEHICLES，TEST VEHICLES-，EVENTS SHOOTINGS）。        

        認(rèn)證結(jié)果不以證書的形式體現(xiàn)，而是不同的電子標(biāo)簽。標(biāo)簽有效期3年，從末次會議當(dāng)天開始計(jì)算。

 

Q7：TISAX評估流程是什么？

A7：1.在TISAX?平臺（即ENX官網(wǎng)）上注冊

2. 選擇審核提供方（認(rèn)證機(jī)構(gòu)）

3. 所選標(biāo)簽/范圍審核提供方進(jìn)行初步驗(yàn)證

4. 簽訂審核合同

5. 企業(yè)實(shí)施自評估，并向?qū)徍颂峁┓教峤蛔栽u估報(bào)告

6. 審核提供方實(shí)施非現(xiàn)場審核/ 現(xiàn)場審核

7. 企業(yè)獲得TISAX?標(biāo)簽

8. 向合作伙伴分享TISAX?評估信息

Q8：通過TISAX審核的步驟是怎樣的？

A6：1、初始診斷階段：明確TISAX審核范圍，審核等級。

2、風(fēng)險(xiǎn)評估階段

3、體系文件編寫階段

4、體系試運(yùn)行階段

5、體系完善階段

6、TISAX審核認(rèn)證

7、售后服務(wù)階段

 

三、TISAX認(rèn)證費(fèi)用

TISAX認(rèn)證的費(fèi)用因多個(gè)因素而異，沒有統(tǒng)一的標(biāo)準(zhǔn)定價(jià)。一般來說，成本主要受以下因素影響：

1、主要影響因素：

評估等級：等級3因包含現(xiàn)場審核，費(fèi)用通常高于等級2。

公司規(guī)模：員工數(shù)量越多，涉及的信息系統(tǒng)和流程越復(fù)雜，評估工作量越大。

評估范圍：納入評估的場所數(shù)量、業(yè)務(wù)單元數(shù)量以及選擇的評估模塊（如原型保護(hù)、數(shù)據(jù)保護(hù)、可用性等）都會影響費(fèi)用。

現(xiàn)有信息安全基礎(chǔ)：已建立ISO27001信息安全管理體系的企業(yè)，準(zhǔn)備成本會相對較低。

審核機(jī)構(gòu)：不同的認(rèn)可審核提供商可能有不同的收費(fèi)標(biāo)準(zhǔn)。

 

2、費(fèi)用構(gòu)成：

TISAX認(rèn)證的費(fèi)用通常包括：

評估費(fèi)用：支付給審核機(jī)構(gòu)的主要費(fèi)用，包括評估執(zhí)行和報(bào)告撰寫。

ENX平臺注冊費(fèi)：參與TISAX評估必須先在ENX平臺注冊。

潛在改進(jìn)成本：為滿足要求可能需要實(shí)施的技術(shù)或組織措施投入。

省錢建議：提前進(jìn)行自我評估并整改問題，可減少外部審核階段的糾正措施成本。與專業(yè)咨詢機(jī)構(gòu)合作，也能幫助您更高效地準(zhǔn)備，避免不必要的開支。

四、為什么選擇中質(zhì)捷？

 

對比維度中質(zhì)捷其他公司服務(wù)目標(biāo)提升管理效能，實(shí)現(xiàn)降本增效，構(gòu)筑企業(yè)核心競爭力。通過認(rèn)證，獲取證書，滿足客戶準(zhǔn)入門檻。咨詢方式定制化診斷，深入業(yè)務(wù)一線，解決實(shí)際管理問題。模板化、流程化輔導(dǎo)，側(cè)重于文件編寫。服務(wù)范圍提供體系認(rèn)證+質(zhì)量管理+精益改善+人才發(fā)展的綜合解決方案。局限于單一體系（如ISO9001）的認(rèn)證咨詢。Zui終交付一個(gè)可落地運(yùn)行的管理體系、團(tuán)隊(duì)能力的提升、經(jīng)營指標(biāo)的改善。一套符合標(biāo)準(zhǔn)的體系文件、認(rèn)證證書。合作模式長期陪跑，作為外部智庫持續(xù)賦能，支持企業(yè)迭代優(yōu)化。項(xiàng)目制，取證后合作即告終止。核心價(jià)值幫助企業(yè)“運(yùn)用”體系，將管理優(yōu)勢轉(zhuǎn)化為市場優(yōu)勢和利潤優(yōu)勢。幫助企業(yè)“擁有”證書。