Tiêu chuẩn an toàn thông tin trong ngành ô tô TISAX là gì?

5/5 - (1 bình chọn)

Ngành công nghiệp ô tô được đặc trưng bởi sự hợp tác quốc tế mạnh mẽ và các quy trình kinh doanh giữa các công ty. Điều này đòi hỏi tất cả các bên liên quan phải đảm bảo mức độ bảo vệ có thể xác minh được. Trong bài viết này hãy cùng SPS CERT tìm hiểu Tiêu chuẩn an toàn thông tin trong ngành ô tô TISAX là gì?

Table of Contents

TISAX LÀ GÌ? (WHAT IS TISAX)

TISAX – Trusted Information Security Assessment Exchange – Tiêu chuẩn đánh giá an toàn thông tin đáng tin cậy đã được phát triển bởi tổ chức ENX dựa trên bảng câu hỏi Đánh giá an toàn thông tin VDA-ISA và bao gồm các yêu cầu bảo mật thông tin được chấp nhận rộng rãi của ngành ô tô. Được VDA khởi xướng vào năm 2016, nó hiện được hỗ trợ bởi tất cả các OEM (Original Equipment Manufacturer – Nhà sản xuất thiết bị gốc) ô tô của Đức. Nhiều OEM đang theo dõi để đảm bảo tuân thủ các yêu cầu này trong chuỗi cung ứng của họ. TISAX trở thành giấy phép hoạt động cho các nhà cung cấp ô tô làm việc với một trong những bên liên quan này.

MỤC ĐÍCH CỦA TIÊU CHUẨN TISAX LÀ GÌ?

Bảo vệ cơ sở hạ tầng của một tổ chức luôn là một thách thức. Các khái niệm liên công ty thường không thành công do sự phức tạp hoặc dẫn đến các giải pháp độc lập đắt tiền. Để có thể sử dụng được trong toàn bộ ngành, các giải pháp bảo mật thông tin phải:

Giảm sự phức tạp phát sinh từ các kết nối khác nhau của một công ty với các bên thứ ba
Được tất cả các đối tác công nhận là đáng tin cậy ngoài việc đáp ứng những yêu cầu kỹ thuật một cách khách quan
Cởi mở để tạo điều kiện cạnh tranh giữa các nhà cung cấp.

Tiêu chuẩn an toàn thông tin trong ngành ô tô TISAX được xây dựng nhằm đáp ứng tất cả những yêu cầu trên

ĐỐI TƯỢNG CỦA TIÊU CHUẨN AN TOÀN THÔNG TIN TRONG NGÀNH Ô TÔ TISAX

Hơn cả một tiêu chuẩn dựa trên các yêu cầu của ISO 27001 với trọng tâm là ô tô, đó là một chương trình trao đổi nơi bất kỳ nhà cung cấp nào cũng có thể chia sẻ và chứng minh mức hiệu suất của mình trong việc quản lý thông tin và dữ liệu nhạy cảm. Nó đề cập đến toàn bộ chuỗi giá trị ô tô, bao gồm các nhà cung cấp phụ tùng cũng như các nhà cung cấp dịch vụ. Bất kỳ tổ chức nào muốn bảo vệ thông tin nhạy cảm như thông tin thiết kế và kích thước, dữ liệu hiệu suất, tệp xác thực, dữ liệu tương đồng, dữ liệu hợp đồng, dữ liệu khách hàng, lập lịch, giao hàng, v.v.…. đều có thể được yêu cầu chứng minh mức độ hoạt động an toàn của họ thông qua TISAX.

Xem thêm Tiêu chuẩn ISO 27001

10 MỤC TIÊU ĐÁNH GIÁ TISAX LÀ GÌ?

Bạn phải xác định (các) mục tiêu đánh giá của mình trong quá trình đăng ký chứng nhận. Mục tiêu đánh giá xác định các yêu cầu áp dụng mà hệ thống quản lý an toàn thông tin (ISMS) của bạn phải đáp ứng. Mục tiêu đánh giá hoàn toàn dựa trên loại dữ liệu mà bạn thay mặt cho đối tác của mình xử lý.

Việc sử dụng các mục tiêu đánh giá làm cho việc giao tiếp liên quan đến TISAX với đối tác của bạn và các nhà cung cấp dịch vụ đánh giá TISAX dễ dàng hơn vì họ tham chiếu đến đầu vào xác định cho quá trình đánh giá TISAX.

Hiện có 10 mục tiêu đánh giá TISAX. Bạn phải chọn ít nhất một mục tiêu đánh giá. Ngoài ra, bạn có thể chọn nhiều hơn một mục tiêu. Bạn sẽ cần làm việc với (các) đối tác của mình để hiểu các mục tiêu bắt buộc đối với Nhãn TISAX của bạn (Nhãn là một thuật ngữ về cơ bản có nghĩa là chứng nhận). Mục tiêu tối thiểu là “Thông tin có nhu cầu bảo vệ cao”. Tuy nhiên, bạn cũng có thể chọn thêm các mục tiêu khác để áp dụng hoặc chọn những mục tiêu mà bạn thấy có thể mở rộng vào đánh giá của mình. Trước khi chọn Mục tiêu hoặc Cấp độ Đánh giá, bạn nên làm việc với (các) đối tác OEM (Original Equipment Manufacturer – Nhà sản xuất thiết bị gốc) của mình để chọn những đối tác đáng tin cậy.

Bạn có thể coi mục tiêu đánh giá của mình là tiêu chuẩn cho hệ thống quản lý bảo mật thông tin của bạn. Mục tiêu đánh giá là đầu vào quan trọng cho quá trình TISAX. Tất cả các nhà cung cấp dịch vụ đánh giá TISAX đều dựa trên chiến lược đánh giá chủ yếu dựa trên mục tiêu đánh giá.

Mục tiêu đánh giá	Viết tắt bằng tiếng Anh
Thông tin có nhu cầu bảo vệ cao	Info high (Information with high protection needs)
Thông tin có nhu cầu bảo vệ rất cao	Info very high (Information with very high protection needs)
Kết nối với các bên thứ 3 có nhu cầu bảo vệ cao	Con high (Connection to 3rd parties with high protection needs)
Kết nối với các bên thứ 3 với nhu cầu bảo vệ rất cao	Con very high (Connection to 3rd parties with very high protection needs)
Bảo vệ dữ liệu – Theo điều 28 (“Bộ xử lý”) của Quy định chung về bảo vệ dữ liệu của Châu Âu (GDPR)	Data (Data protection)
Bảo vệ dữ liệu với các danh mục dữ liệu cá nhân đặc biệt – Theo điều 28 (“Bộ xử lý”) với các danh mục dữ liệu cá nhân đặc biệt được nêu trong điều 9 của Quy định bảo vệ dữ liệu chung của Châu Âu (GDPR)	Special data (Data protection with special categories of personal data)
Bảo vệ các bộ phận và thành phần nguyên mẫu	Proto parts (Protection of prototype parts and components)
Bảo vệ xe nguyên mẫu	Proto vehicles (Protection of prototype vehicles)
Xử lý các phương tiện thử nghiệm	Test vehicle (Handling of test vehicles)
Bảo vệ nguyên mẫu trong các sự kiện và quay phim hoặc chụp ảnh	Events + Shootings (Protection of prototypes during events and film or photo shootings)

BÁO CÁO TISAX LÀ GÌ? (TISAX REPORT)

Báo cáo TISAX là gì?

Báo cáo TISAX:

Được (cập nhật và) ban hành sau mỗi lần đánh giá TISAX.
Ghi lại những phát hiện của nhà cung cấp dịch vụ đánh giá của bạn.
Chứa kết quả đánh giá tổng thể (phù hợp, không phù hợp nhỏ, không phù hợp lớn).
Chứa tất cả các thông tin khác liên quan đến đánh giá TISAX của bạn (chẳng hạn như mục tiêu đánh giá, phạm vi, liên quan con người và địa điểm).

Phân loại Báo cáo TISAX

Báo cáo TISAX có thể thuộc các loại sau (tùy thuộc vào loại đánh giá):

Báo cáo đánh giá ban đầu
Báo cáo đánh giá kế hoạch hành động khắc phục
Báo cáo đánh giá tiếp theo

Đặc điểm của Báo cáo TISAX

Dù là loại nào thì Báo cáo TISAX luôn có cấu trúc giống nhau. Nhà cung cấp dịch vụ đánh giá của bạn chỉ cần mở rộng nó sau mỗi loại đánh giá. Điều này có nghĩa là bạn chỉ cần xử lý phiên bản cuối cùng của báo cáo TISAX vì nó luôn chứa nội dung của (các) phiên bản cũ hơn.

“Báo cáo TISAX” là những gì cuối cùng bạn chia sẻ với đối tác của mình. Một trong những tính năng chính của TISAX là bạn hoàn toàn tùy thuộc vào việc quyết định phần nào của báo cáo TISAX mà bạn muốn chia sẻ với đối tác của mình hoặc bất kỳ người tham gia nào khác. Cấu trúc của báo cáo TISAX được thiết kế để cho phép loại chia sẻ có chọn lọc này. Mỗi phần mở rộng mức độ chi tiết.

Cấu trúc của Báo cáo TISAX

Báo cáo TISAX có cấu trúc gồm 5 phần:

A: Thông tin liên quan đến đánh giá

Tên công ty, phạm vi đánh giá, Phạm vi ID, ID đánh giá, cấp độ đánh giá, (các) mục tiêu đánh giá, (các) ngày đánh giá, nhà cung cấp đánh giá. Phần này không chứa bất kỳ kết quả đánh giá nào.

B: Kết quả đánh giá chung

Bản tóm tắt của ban giám đốc về kết quả đánh giá (sự phù hợp, sự không phù hợp nhỏ, sự không phù hợp lớn), số lượng các phát hiện, phân loại tóm tắt các rủi ro dẫn đến

C: Tóm tắt kết quả đánh giá

Tóm tắt kết quả đánh giá theo từng chương (ví dụ: “9 Kiểm soát truy cập”) và theo danh mục tiêu chí (ví dụ: “Bảo mật thông tin”)

D: Kết quả đánh giá chi tiết

Mô tả chi tiết tất cả các phát hiện, kết quả đánh giá rủi ro tương ứng, các biện pháp yêu cầu, thời gian thực hiện

E: Mức độ trưởng thành của VDA ISA (tab kết quả của VDA ISA)

Mức độ trưởng thành cho từng yêu cầu

THỦ TỤC CHỨNG NHẬN TISAX LÀ GÌ?

Đăng ký chứng nhận

Một công ty đăng ký Chứng nhận TISAX và gửi bản tự đánh giá của họ dựa trên bảng câu hỏi VDA ISA, bao gồm cả cấp chứng chỉ mục tiêu của họ.

Chọn nhà cung cấp dịch vụ chứng nhận

Công ty chọn một nhà cung cấp dịch vụ kiểm toán độc lập.

Kiểm tra tính hợp lý / kiểm tra ban đầu

Nhà cung cấp dịch vụ đánh giá xác minh rằng việc tự đánh giá, bao gồm mọi tài liệu hỗ trợ, đã được hoàn thành hay chưa

Đánh giá

Công ty trải qua đánh giá TISAX (Cấp độ 2: đánh giá từ xa, Cấp độ 3: đánh giá tại chỗ) 3 mô đun là:

Bảo mật thông tin
Bảo vệ nguyên mẫu và
Bảo vệ dữ liệu

Hành động khắc phục

Công ty loại bỏ những điểm yếu đã được xác định trong quá trình đánh giá TISAX.

Theo dõi

Công ty phải chứng minh rằng tất cả các điểm yếu được xác định trong quá trình đánh giá đã được loại bỏ.

Cấp báo cáo TISAX và nhãn TISAX (TISAX label)

Sau khi xác minh công ty không còn điểm chưa phù hợp tồn tại, tổ chức chứng nhận sẽ Cấp báo cáo TISAX và nhãn TISAX tương ứng với mục tiêu đánh giá ban đầu cho công ty.

Trao đổi

Công ty công bố kết quả kiểm toán thông qua Sàn giao dịch TISAX (tự nguyện).

Xem thêm TISAX Audit Checklist – Checklist đánh giá TISAX PPT

Lưu ý:

Nhà cung cấp dịch vụ đánh giá nộp kết quả đánh giá cuối cùng cho Hiệp hội ENX. Nếu có sai lệch nhỏ so với các tiêu chí, công ty chỉ được cấp nhãn TISAX® tạm thời chỉ có giá trị trong thời gian giới hạn. Chứng nhận vĩnh viễn sẽ không được cấp cho đến khi các sai lệch đã được sửa chữa. Trong trường hợp có sai lệch lớn, chứng nhận TISAX chỉ có hiệu lực 3 năm tính từ ngày sai lệch đã được sửa chữa và điều này có thể được chứng minh.

—————————————————————————————————————————————————————-

Để biết thêm thông tin chi tiết về Tiêu chuẩn an toàn thông tin trong ngành ô tô TISAX là gì hoặc có nhu cầu chứng nhận TISAX, Quý Doanh nghiệp vui lòng liên hệ với Chúng Tôi theo thông tin dưới đây:

Số hotline: 0969.555.610 / 0914.791.188
Địa chỉ: Tầng 12A Ladeco Building, 266 Đội Cấn, Ba Đình, Hà Nội
Email: sales@sps.org.vn
Website: https://sps.org.vn/


✅ Dịch vụ trọn gói	🔴 SPS CERT Cung cấp nhiều Dịch vụ trọn gói cho quý khách hàng !
✅ Dịch vụ chuyên nghiệp	🔴 Với chuyên gia giàu kinh nghiệm, SPS cung cấp dịch vụ chuyên nghiệp nhất cho quý khách hàng
✅ Nhận chứng chỉ nhanh	🔴 Mạng lưới rộng khắp ba miền, khách hàng sẽ nhận được dịch vụ nhanh chóng
✅ Chi phí thấp	☎️ 0969.555.610