一、TISAX简介与背景

TISAX（Trusted Information Security Assessment Exchange，可信信息安全评估交换）是德国汽车工业协会（VDA）联合欧洲汽车行业推出的信息安全评估标准，主要用于汽车供应链的信息安全评估。

为什么会有TISAX？因为汽车行业正在经历一场深刻的变革——新四化（电动化、智能化、网联化、共享化）。汽车从传统的机械产品变成了”轮子上的电脑”，软件代码越来越多、联网功能越来越强、数据量越来越大。随之而来的，是信息安全风险的急剧增加。

一辆智能网联汽车，可能被黑客远程控制、可能泄露车主的隐私数据、可能被窃取企业的核心研发数据。信息安全已经不是IT部门的事，而是汽车企业的生命线。

但汽车供应链很长，一级、二级、三级供应商加起来成千上万家。如果每家车企都自己去评估供应商的信息安全，成本太高、效率太低。于是德国汽车行业联合起来，制定了TISAX这个统一的评估标准和机制——一次评估，多家共享。

TISAX的管理架构：

• ENX协会：负责TISAX标准的制定和管理
• 认证评估服务商：经过ENX认可的第三方机构，具体执行评估
• 参与企业：申请评估的供应商企业
• 汽车厂商：查看供应商的评估结果，决定是否准入

目前TISAX已经被大众、宝马、奔驰、保时捷等德系车企广泛采用，并且正在向全球汽车行业扩散。越来越多的车企开始要求其供应商通过TISAX评估。

二、与ISO27001的区别

很多人会问：我已经有ISO 27001了，还需要做TISAX吗？两者有什么区别？

这是一个很好的问题。简单回答：ISO 27001是通用信息安全管理体系标准，TISAX是汽车行业特定的信息安全评估。两者有关系，但不等同。

详细对比：

具体来说，TISAX在ISO 27001的基础上，增加了很多汽车行业特有的要求，比如：

• 原型保护：汽车原型车和原型数据的保密管理
• 数据保护：符合GDPR等数据保护法规的要求
• 汽车特定场景：如车联网、车载系统、研发数据等汽车行业特有的信息安全场景
• 供应链安全：汽车供应链中的信息安全传递和管理

所以，做了ISO 27001再做TISAX会容易很多，因为基础框架是相通的。但ISO 27001不能代替TISAX，因为TISAX有汽车行业的特殊要求。

三、评估范围与等级

三大评估范围

TISAX有三个独立的评估范围，企业可以根据客户要求选择做哪些：

1. 信息安全（Information Security）
这是最核心、最基础的评估范围，覆盖通用信息安全管理的各个方面，包括：

• 信息安全管理体系
• 组织与人员安全
• 物理与环境安全
• 资产管理
• 访问控制
• 密码学
• 操作安全
• 通信安全
• 系统获取开发维护
• 供应商关系
• 信息安全事件管理
• 业务连续性
• 合规性

2. 原型保护（Prototype Protection）
这是汽车行业特有的评估范围，针对原型车辆和原型数据的保护。包括：

• 原型的访问控制
• 原型数据的保密管理
• 原型的物理保护
• 原型照片/视频的管理
• 外部人员接触原型的管控

如果企业会接触到客户的原型车或原型设计数据，通常需要做这个范围。

3. 数据保护（Data Protection）
数据保护评估，主要基于欧盟GDPR（通用数据保护条例）的要求。包括：

• 数据保护组织和职责
• 数据主体权利
• 数据处理的合法性
• 数据保护影响评估
• 数据泄露通知
• 第三方数据处理管理

如果企业处理欧盟公民的个人数据，通常需要做这个范围。

三个评估等级

每个评估范围都有三个等级（Protection Level）：

• AL1（Protection Level 1）：基础等级。适用于对信息安全要求一般的场景。主要是自我评估加一些抽查。
• AL2（Protection Level 2）：高等级。适用于高风险场景，需要由第三方评估服务商进行全面的现场评估。这是最常见的等级。
• AL3（Protection Level 3）：特别高等级。适用于极高风险场景，除了AL2的要求外，还要进行渗透测试等更深入的技术测试。

大部分汽车零部件企业做AL2等级就够了。如果涉及特别核心的机密（如未来车型的核心技术），可能需要AL3。

四、认证流程与周期

TISAX评估的一般流程：

第一步：注册与选择评估服务商

企业首先要在TISAX平台（ENX portal）上注册，选择评估范围和等级，选择一家经过ENX认可的评估服务商。

主要的TISAX评估服务商包括：TÜV莱茵、TÜV南德、DEKRA、必维等。

第二步：差距分析与准备

这是最花时间的一步。企业要对照TISAX的评估要求，进行全面的差距分析，识别自己的不足，然后逐项整改和完善。

如果企业之前有ISO 27001基础，这一步会快很多；如果信息安全基础比较薄弱，可能需要几个月时间来补短板。

第三步：自我评估

在正式评估前，企业要先做自我评估（Self-Assessment），在TISAX平台上填写问卷。自我评估的结果是正式评估的基础。

第四步：正式评估

评估服务商进行正式评估，包括：

• 文件评审：审查企业的管理制度和文件
• 现场评估：到企业现场进行访谈、检查、验证
• 技术测试（如适用）：AL3等级可能需要渗透测试

第五步：评估结果发布

评估完成后，评估服务商出具评估报告。如果有不符合项，企业需要整改。整改完成后获得最终的评估结果。

TISAX评估结果的有效期一般是3年。期间需要进行监督审核。

总周期：一般4-8个月，取决于企业的信息安全基础。基础好的企业3-4个月可以完成，基础弱的企业可能需要6-8个月甚至更久。

五、企业为什么需要做

越来越多的汽车供应链企业开始做TISAX，原因主要有：

1. 客户要求

这是最直接的原因。德系车企（大众、宝马、奔驰、保时捷等）已经普遍要求供应商通过TISAX评估。不做TISAX，可能拿不到订单，甚至被踢出供应链。

2. 一次评估，多家共享

TISAX最大的好处是”一次评估，多家共享”。评估结果上传到TISAX平台后，企业可以授权不同的客户查看。不用每家客户都来审一遍，大大减少了供应商的迎审负担。

3. 提升信息安全水平

做TISAX的过程，也是企业系统提升信息安全管理水平的过程。从组织、人员、技术、流程等各个方面建立完善的信息安全防护体系，降低信息安全风险。

4. 符合法规要求

现在各国对数据安全和个人信息保护的法规越来越严（比如欧盟GDPR、中国的《数据安全法》《个人信息保护法》）。TISAX的很多要求和这些法规是相通的，通过TISAX评估，也有助于满足法规合规要求。

5. 提升企业竞争力

在智能网联的大趋势下，信息安全能力正在成为汽车供应商的核心竞争力之一。通过TISAX评估，等于拿到了信息安全的”行业通行证”，在争取高端客户和高价值项目时更有优势。