就目前的汽車配置來看，車載電腦已經是車上的標準配備。例如車載導航、影片播放、上網、電話、故障診斷等功能都是車載電腦的應用，但也因網絡安全漏洞及資料外泄事件層出不窮，車載信息安全問題成為社會關注的焦點。以下我們匯總在輔導經驗中常被詢問到的幾個常見問題予以說明。
Q1. 什么是 TISAX？
ANS：
TISAX(Trusted Information Security Assessment Exchange)信息安全的評估和交換機制是2017年由德國汽車工業聯合會 (VDA) 聯合歐洲網絡交換所 (ENX) 所推出的信息交換平臺，把受多數組織成員認可的信息安全評估流程 VDA ISA (Information Security Assessment) 之審核結果放上平臺，供參與者在得到被審核者授權后做查詢，是一個參考 ISO 27001、ISO 27002等標準規范所制定的信息安全評估結果的交換平臺。
ISA: 用于組織的內部控制要求， 接觸組織敏感信息的供應商(服務商)的審核要求。
VDA聯合ENX推出成員組織認可的信息安全評估流程，將審核結果放在的授權平臺上以供信息查詢和交換。
ENX:為歐洲汽車工業提供開發、采購和生產控制安全交換關鍵數據解決方案的協會
ENX協會：TISAX的監管和組織的角色。
由ENX認可審核機構并且監督審核機構的審核結果以及審核的合規性。
通過監管“ENX治理三角”得到保證，包括ENX協會與ENX認可的審核機構之間以及ENX協會與每個參與者之間的合作。
Q2. 誰會需要使用到 TISAX？
ANS：
汽車零件制造廠、汽車應用產品廠商及汽車供應鏈成員。
Q3. 導入 TISAX的好處？
ANS：
TISAX平臺上的評估結果具公信力，有助取得客戶信任。
(TISAX)-VDA ISA的問項內容統一，參與者之評估結果具可比較性。
降低重復性的審核作業，每三年評估一次即可。
許多歐系車廠如 Volkswagen / BMW / Porsche 已開始要求供應鏈必須取得 TISAX 認證。
Q4. TISAX目前在國內的現狀
ANS：
目前大眾，奧迪和保時捷要求供應商必須通過TISAX認證。后續其他德國車企也會跟進要求供應商通過TISAX認證。
Q5. 導入 TISAX及 ISO 27001之目的及應用層面有何差異？
ANS：
兩者皆可提升組織的信息安全能力，降低信息安全事件、事故的發生，只是應用層面有所不同。
1. ISO 27001是一應用層面廣泛的信息安全管理系統的認證，適于各產業采用。
2. TISAX則提供了汽車產業一信息安全評估結果的平臺，在評估方獲得被審核者授權后 (在 ENX Portal上授予權限)，讓被審核者可自行決定那些伙伴可在平臺得知其信息安全評估結果，藉此讓汽車供應鏈合作伙伴了解其在網絡安全及資料保護上的成果。
Q6. ISO 27001及(TISAX)-VDA ISA之章節內容有何不同？
ANS：
ISO 27001共包含兩部分，除了條文第四章至第十章，另外還有附錄 A的 114個資安控制措施，通過 ISO27001認證代表企業已建立、實施及維持及持續改善ISMS要求之事項
TISAX VDA-ISA (Information Security Assessment) 參考 ISO 27001、ISO 27002等規范外，并參酌法規(例如:歐盟個資法 GDPR)及汽車產業之要求做為管制項目，四大管制面向及內容簡述如下:
1. 信息安全 (information security) : 因屬核心的強制(mandatory)評估項目，故必須評估，無法排除。及下列選擇性問項，共三類。
2. 第三方的連接 (Connection to 3rd parties) : 如項目辦公室和項目區域。
3. 資料保護 (Data protection) : GDPR第28條資料處理者。
4. 原型保護 (Prototype protection) : 針對尚未對外公布的車、元件、零件之保護。
Q7. TISAX與ISO27001主要差異為何？
ANS：
1. 范圍: ISO 27001適用產業的范圍較 TISAX廣。
2. 級別制: ISO 27001無級別制，TISAX則采用級別制，
共有三種審核等級 (Assessment level (AL)，AL1一般是自評，AL2和 AL3需要第三方稽核員對公司進行現場稽核，一般獲得 AL2和 AL3才能夠獲得TISAX的認可。
而 AL2或 AL3則由客戶依照與供應商的資料串接情況做選定，各級別評估方式如下：
|
評估方式 |
AL1(自評) |
AL2 |
AL3 |
|
自評 (self-assessment) |
是 |
是 |
是 |
|
證據 (evidence) |
否 |
真實性檢查(Plausibility check) |
徹底查證 (Thorough verification) |
|
訪問 (interviews) |
否 |
電話會談 (Audio conference) |
人員現場訪談 (In person,on site) |
|
現場稽查 (on-site inspection) |
否 |
不一定 |
是 |
(source:TISAX Participant Handbook)
另外，TISAX在四大管制面向六個成熟度級別做評分，讓組織了解現況級別，并可供往更高級別進步之參考，六個成熟度級別定義如下：級別0：不完整級別1：已執行級別2：已管理級別3：已建立級別4：可預測級別5：持續優化。
Q8. 通過TISAX審核的步驟是怎樣的？
ANS：
初始診斷階段：明確TISAX審核范圍，審核等級。
風險評估階段
體系文件編寫階段
體系試運行階段
體系完善階段
TISAX審核認證
售后服務階段
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
