企航顧問啟動泰信電機（蘇州）有限公司TISAX?咨詢項目

2022/09/11

2022年9月上旬，企航顧問啟動了泰信電機（蘇州）有限公司的TISAX AL3（信息安全+原型保護）可信信息安全評估及交換機制咨詢項目。

TISAX相關專業(yè)知識請閱讀企航顧問原創(chuàng)推文：
1、企航顧問TISAX可信信息安全評估交換機制服務介紹
2、TISAX與ISO/IEC27001的比較研究
3、TISAX（可信信息安全評估及交換機制）合規(guī)體系建設方案

【圖21】泰信電機TISAX咨詢項目（黨偉寧）.jpg

泰信電機（蘇州）有限公司為韓國獨資企業(yè)，專業(yè)生產(chǎn)壓縮機電機、吸塵器電機、汽車電機等。

【圖18】TISAX封面.jpg

德國汽車工業(yè)聯(lián)合會（VDA）多年前建立了VDA–ISA 信息安全評估標準來推動其成員企業(yè)符合信息安全標準，又于2017年聯(lián)合歐洲汽車工業(yè)通信網(wǎng)絡協(xié)會（ENX）推出新的可信信息安全評估及交換機制TISAX （TrustedInformation Security Assessment Exchange ），此機制能減少不同汽車制造商的頻繁審核，推動企業(yè)之間的相互認可、交換和信任，目前已經(jīng)逐漸擴展到所有的德國乃至歐洲汽車行業(yè)，成為一種評價供應商信息安全能力的通用評估和交換機制。

【圖15】從VDA-ISA到TISAX.jpg

TISAX代表可信信息安全評估交換，它被認為是汽車行業(yè)信息安全的錨。VDA和ENX協(xié)會制定了一致的質(zhì)量標準來提高信息安全性。TISAX規(guī)定了汽車整個供應鏈上的評估標準、評估方法和評估信息交換標準，適用于所有相關方。這是一個用于跨公司交換汽車行業(yè)信息安全測試結果而專門開發(fā)的在線平臺。公司通過在平臺上激活結果就可以通知其直接業(yè)務合作伙伴其信息安全符合TISAX。

企航顧問是國內(nèi)最早開展TISAX培訓和輔導的專業(yè)機構，也是目前輔導TISAX項目最多的顧問機構之一。了解更多TISAX知識，可點擊閱讀企航顧問原創(chuàng)推文：

1、企航顧問TISAX?可信信息安全評估交換機制服務介紹；

2、TISAX（可信信息安全評估及交換機制）合規(guī)體系建設方案；

3、TISAX與ISO/IEC27001的比較研究。

建設TISAX合規(guī)體系的基本步驟

0、內(nèi)部啟動

TISAX考察的是組織內(nèi)不同領域的信息安全能力，這必定是涉及多部門的合作，因此在TISAX合規(guī)工作啟動之初，管理層的溝通、項目負責人的匯報是必不可少的。在得到管理層的支持后，應當拉通各個信息安全相關的部門，組建TISAX合規(guī)體系建設項目組，如業(yè)務部門、IT部門、內(nèi)部支持性部門等。項目組一般包含以下部門：

1、業(yè)務部門包括對車機、樣車等進行項目管理，開發(fā)，測試和運維的所有職能。每個職能需指定一名同事作為對應TISAX 要求的負責人；
2、IT部門包括服務器，網(wǎng)絡，信息安全等部門，作為IT基礎設施和內(nèi)部信息安全控制的接口；
3、內(nèi)部支持性部門主要包括采購，人力資源，安保，法務，合規(guī)等部門，作為人力資源，物理安全等控制域的接口。

值得注意的一點：企業(yè)在準備審核的過程中常常認為，只需要安全團隊的核心成員參與準備，了解TISAX要求就足夠應審。這是一個很危險的想法，因為TISAX考察的是企業(yè)信息安全體系的整體成熟度，包括在運行過程中與業(yè)務的結合度，因此在項目過程中以培訓等形式對組織內(nèi)所有成員進行宣貫是必要的。

1、現(xiàn)狀摸底

在確定TISAX合規(guī)體系建設項目組的部門組成后，項目負責人應召集一個內(nèi)部啟動會議，邀請各部門派遣代表理解項目背景、實施周期、各個部門的職責分工，并最好建立一個以周為單位的溝通機制，定期更新項目進展。

如條件允許，項目負責人可組織核心團隊成員參加企航顧問舉辦的TISAX培訓，了解TISAX的標準要求與審核流程，然后依據(jù)TISAX的審核標準，共同進行一輪內(nèi)部摸底。根據(jù)各個部門的職責，勾選對應的TISAX控制域，填寫當前的安全控制成熟度，充分了解當前差距，評估后續(xù)需要開展的工作；如，是否引入的其他內(nèi)部資源，請企航顧問提供輔導，購買新的軟硬件設備等?；诔醪皆u估的結果，向管理層匯報后續(xù)的工作計劃，人員安排和資金投入。

2、體系建立

體系建設項目需要將企航顧問的實踐經(jīng)驗與企業(yè)的實際情況相結合。這里再次強調(diào)：在項目初期，應明確各安全控制域的負責人，確保項目組成員了解TISAX的戰(zhàn)略目標，通過統(tǒng)籌安排、協(xié)同作戰(zhàn)，才能最終獲得TISAX標簽。

在確定了項目啟動后，項目負責人與企航顧問開始密切的交流和合作，在企航顧問的配合下完成差距分析、體系建設與運行工作。

1、全面“診斷”

根據(jù)現(xiàn)狀摸底中各個控制域的職責分工，通過多輪訪談，幫助企航顧問充分了解企業(yè)的業(yè)務需求和安全現(xiàn)狀，逐條對應已有的制度流程或執(zhí)行記錄。同時，需要企航顧問對各個不符合項的控制要求進行解讀，制定詳細的整改計劃，明確整改責任人，整改完成時間，整改審批人等。

2、制度流程完善

在制度流程補足過程中，企業(yè)需要充分輸出已有信息安全的制度、策略、流程。在輔導機構的協(xié)助下，依據(jù)TISAX的要求和當前文檔的差距，進行文檔體系建設、成立信息安全小組。大多數(shù)企業(yè)都面臨的一個常見風險是，業(yè)務流程中已經(jīng)有部分安全管控措施，但是缺少固化流程和方案。因此企業(yè)需要協(xié)同輔導機構一起制定制度化、規(guī)范化、標準化的業(yè)務流程，使其能滿足信息安全要求、避免信息安全風險的發(fā)生。

體系編寫完畢后，項目負責人會進行內(nèi)部的評審，確保制度流程與當前的業(yè)務相契合。經(jīng)過多輪評審后，就可以發(fā)布到企業(yè)的制度文檔管理系統(tǒng)。體系發(fā)布后，通過培訓在企業(yè)內(nèi)部 “官宣”信息安全小組、介紹文檔體系并進行信息安全意識貫宣，為接下來將信息安全體系落實到日常業(yè)務工作中奠定基礎；依據(jù)以往的經(jīng)驗，企業(yè)日常運行中，常有以下不足之處，需要在體系推行過程中吸取經(jīng)驗：

1、體系運行過程中，企業(yè)需要在關鍵的業(yè)務流程中，嵌入信息安全的要求，并且在實施過程中留下實施有效性的證明。企業(yè)往往缺少對信息資產(chǎn)全生命周期的管理視角，如：企業(yè)在內(nèi)/外部員工賬號開通、授權、權限變更、賬號關閉等業(yè)務流程中，是否進行權限審批、授權是否設置有效期、是否及時關閉賬號，是否定期對賬號的使用狀態(tài)進行審核等，在此基礎上能否提供書面證據(jù)證明以上行為的有效實施；
2、往往企業(yè)在已有管控策略的情況下，落地模式尚未成型，如未符合要求存在使用共享賬號的情況，需要加強信息安全體系落實過程中加強監(jiān)督。

體系運行一段時間后，組織需要進行內(nèi)部審核、管理評審，針對信息安全體系文檔適用性、推行有效性進行驗證，保證信息安全體系的持續(xù)有效運行。

3、技術工具加固

TISAX對于數(shù)據(jù)，應用系統(tǒng)和網(wǎng)絡等都有較高的技術保護要求，數(shù)據(jù)傳輸存儲的加密，應用系統(tǒng)的高可用性，網(wǎng)絡的冗余及帶外管理等安全要求，都需要結合企業(yè)自身情況，通過技術手段或者工具進行加固。TISAX對于樣件保護的物理環(huán)境、訪問控制有許多安全要求，門窗安全設計、監(jiān)控設備、報警裝置、門禁/門鎖等設施的現(xiàn)場情況。往往沒有涉及樣件生產(chǎn)（含有工廠）的企業(yè)，如進行車聯(lián)網(wǎng)業(yè)務的企業(yè)，在這方面差距較大，需要結合審核條款，進行實施改造，準備專門的樣件保護空間、設立門禁、門窗并做好封閉防盜處理。

4、應審準備

針對審核條款對應的文檔記錄，制作清晰的證據(jù)文件目錄結構，提前準備好記錄，指定各領域的負責人；在應審前進行培訓和演練，互相挑戰(zhàn)和提問，考慮各種可能遇到的類似問題。同時，在正式審計前，與選定的外審機構進行審計計劃、待準備材料的溝通。一切準備就緒后，正式應審的前一天，再次召開全員會議，確保大家進入最佳狀態(tài)，迎接審核！