企航顧問啟動上海鷹峰電子科技股份有限公司的TISAX AL3（信息安全+原型保護）咨詢項目

2022/08/29

2022年8月下旬，企航顧問啟動了上海鷹峰電子科技股份有限公司的TISAX AL3（信息安全+原型保護）可信信息安全評估及交換機制咨詢項目。

【4585】上海鷹峰電子科技股份有限公司TISAX咨詢項目（黨偉寧）.jpg

logo鷹峰-1.jpg

上海鷹峰電子科技股份有限公司成立于2003年9月，是一家集研發、制造、銷售、服務于一體的電力電子無源器件行業的高新技術企業。主要服務于西門子、ABB、施耐德、艾默生、日立、比亞迪等眾多知名品牌客戶。

【圖18】TISAX封面.jpg

信息安全對每個企業或組織來說都是需要的，所以信息安全管理具有普遍的適用性，不受地域、產業類別和公司規模限制。VDA（德國汽車工業聯合會）于2017年聯合ENX（歐洲汽車工業通信網絡協會）推出針對汽車行業的“可信信息安全評估及交換 Trusted Information Security Assessment Exchange（TISAX?）”機制，該機制進一步的推動企業在滿足不同相關方（主要是汽車整車制造商）的VDA-ISA（Information Security Assessment）信息安全評估，其評估結果能夠進一步相互認可、交換和信任，從而減少不同整車制造商的頻繁審核。

【圖15】從VDA-ISA到TISAX.jpg

有關TISAX的詳細介紹，請閱讀企航顧問原創推文《企航顧問TISAX?可信信息安全評估及交換機制服務介紹》。

TISAX 審核內容

【圖8】VDA ISA 問卷包括七個審核領域內的 41 個控制項，以及數據保護和原型件保護的控制。.png

信息安全策略和組織Information Security Policies and Organization
內容涉及信息安全策略的創建、發布或分發及定期審查，資產管理，信息安全風險管理。
人力資源Human Resources
內容涉及內外部員工遵循信息安全規定的程度，內外部員工遵守信息安全策略的程度。
物理安全和業務連續性Physical Security and Business Continuity
內容涉及對敏感信息處理設施的安全區域的定義、保護和監測，對自然災害、故意襲擊或事故產生影響的應對，信息安全要求和危機事件下的ISMS的連續性的界定、實施、核實和評估。
身份與訪問管理Identity and Access Management
內容涉及訪問IT系統政策和程序的適用性，特權用戶和技術賬戶的分配和使用的監督審查，用戶遵守創建和處理機密信息約束性政策的情況，授權人員的信息和應用程序的獲取，與其他組織共享的環境中的數據分離。
IT安全/網絡安全IT Security / Cyber Security
內容涉及密碼學，操作安全，系統采購、需求管理和開發。
供方關系Supplier Relationships
內容涉及供應商獲得公司信息資產時的風險控制，供應商服務的定期檢測、審查和評估。
合規Compliance
內容涉及相關法律（特定國家）法規和合同要求的符合情況，個人身份信息的保護，獨立第三方定期或發生重大變化時對ISMS的審核。
原型件保護Prototype Protetion
除物理及環境要求、組織架構要求外，內容還涉及整車及零配件處理（車輛或部件在運輸過程中根據客戶要求的保護情況，停放/存放需要保護車輛或部件的實施情況），測試車要求（預先定義的偽裝法規的實施情況，測試場地的保護措施，公開批準試駕的保護措施），活動拍攝及拍照要求（涉及車輛、部件或配件的演示和活動的安全要求，涉及車輛、部件或配件的膠片和照片拍攝的保護措施）。
數據保護Data Protection
內容涉及數據保護的實施程度，個人身份數據處理的合法性保障措施，內部或工作流程在數據保護法規下進行，有關處理流程在何種程度上記錄了其可受理性。

TISAX標簽

根據VDA要求，企業首先需要和主機廠確定TISAX的評估范圍Assessment Scopes、評估目標Assessment Objective和評估級別Assessment Level，并在ENX（第三方平臺）上完成上述信息的注冊，然后選擇具備TISAX評估資質的評估機構開展信息安全評估，并最終出具TISAX評估評估報告，報告經評估機構和企業雙方簽字后，獲取TISAX標簽（TISAX Label），作為供應商和主機廠申請采購訂單、項目合作、系統開賬號、供應商資格延續的必要條件。
很多國內企業在這方面受傳統體系認證的影響，覺得TISAX也是必須先做咨詢后拿證書，這是一個很大的誤區，TISAX就是德國汽車行業委托第三方評估機構開展的一項信息安全評估，最終得到的是一份評估報告（三年有效），并不存在所謂的證書，TISAX Label是一個在 ENX 第三方平臺上可供行業內共享的評估記錄，這點類似國內基于《網絡安全法》開展的網絡安全等級保護測評，測評機構出具的是一份測評報告，TISAX評估機構出具的也是一份評估報告，而TISAX Label類似公安部門發的備案證明。

目前現行TISAX一共定義了8個標簽。企業通過申請，通過幾個，就將獲得幾個標簽。目前標簽包括：
2個信息安全標簽（INFO HIGH，INFO VERY HIGH）；
2個數據保護標簽（DATA，SPECIAL DATA）；
4個原型保護標簽（PROTO PARTS，PROTO VEHICLES，TEST VEHICLES，EVENTS SHOOTINGS）。

【圖7】評估目標與評估級別的關系.png

TISAX 評估方式

TISAX評估結論將嚴格按照VDA-ISA成熟度級別的方法，采用成熟度得分來表示。每一個控制項的成熟度得分范圍在0-5之間（可以包括不適用項），由評估機構來評價。

【圖16】TISAX成熟度評估.jpg

1、不完整的成熟度為0：沒有過程，或者過程不起作用、不適合實現目標；

2、起一定作用的成熟度為1：遵循未記錄/未完整記錄過程，有指標達成目標，并由證據證明預期的基本實踐已經實施；

3、勉力應付的成熟度為2：遵循實現目標的過程，過程文件和過程實施證據可用。

過程實施控制：確定目標、計劃并監控實施、適時調整、定義分配和實施職責和權限、確定分配使用資源、管理相關方接口及溝通到位。
工作成果管理：確定工藝要求、定義工作成果的文件和控制要求、對工作成果進行識別和控制、根據計劃對工作成果進行評審并適時調整。

4、已獲確認的成熟度為3：遵循集成到整個系統中的標準流程。對其他過程的依賴被記錄下來，并創建合適的接口。有證據表明，這一過程在很長一段時間內得到了持續和積極的使用。

過程定義：定義標準過程、確定順序和相互作用、能力和角色、基礎設施和環境、監控有效性和適宜性。
過程部署：部署、分配角色職責權限、員工有經驗被培訓、提供資源、維保、收集數據證明有效性和適宜性。

5、可預測的成熟度為4：同3級，另外流程可被測量和控制；

6、使優化的成熟度為5：同4級，另外有專門的資源負責持續積極改進。

在評分0-5分的基礎上，TISAX還使用了cut back機制，每個大控制點的目標成熟度都是3分，為了確保低分項不會被高分項拉高最終評分，實際得分超過目標成熟度的分數均會被折算為目標成熟度。具體操作如下圖所示，當實際成熟度評分為4分或5分時，將調整為3分；實際成熟度評分為1-3分的將維持原分數不變。

【圖14】TISAX評分方法.png