Đánh giá TISAX là bước quyết định để doanh nghiệp trong chuỗi cung ứng ô tô chứng minh năng lực bảo mật thông tin với đối tác OEM — và nhận nhãn TISAX được công nhận toàn ngành. Nhưng đánh giá diễn ra như thế nào? Báo cáo gồm những gì? Hãy đọc bài viết của Thư Viện Tiêu Chuẩn để tìm hiểu.
Mục lục
Đánh giá TISAX là gì?
Đánh giá TISAX là quá trình kiểm toán độc lập, do tổ chức kiểm toán được ENX Association chính thức công nhận thực hiện, nhằm xác minh rằng hệ thống quản lý an ninh thông tin (ISMS) của doanh nghiệp đáp ứng các yêu cầu trong bộ tiêu chí VDA ISA (Information Security Assessment) — tương ứng với mục tiêu và cấp độ đánh giá đã đăng ký.
Hoàn thành đánh giá TISAX, doanh nghiệp nhận được gì?
Kết quả đầu ra của quá trình đánh giá TISAX là Báo cáo và Nhãn dán TISAX tương ứng.
1. Báo cáo TISAX là gì?
Sau khi hoàn thành kiểm toán, tổ chức kiểm toán phát hành Báo cáo đánh giá TISAX (TISAX Report) — tài liệu chính thức ghi nhận toàn bộ kết quả. Báo cáo này được cập nhật sau mỗi lần đánh giá trong cùng một chu kỳ 3 năm.
2. Nhãn dán TISAX là gì?
Nhãn TISAX (TISAX Label) là kết quả cuối cùng của quá trình đánh giá — bằng chứng được công nhận toàn ngành ô tô, xác nhận doanh nghiệp đáp ứng yêu cầu bảo mật thông tin tương ứng với mục tiêu đánh giá đã đăng ký.
Tìm hiểu các mức độ đánh giá TISAX
Mức độ đánh giá (Assessment Level — AL) xác định độ nghiêm ngặt của quá trình kiểm toán, tương ứng với mức độ nhạy cảm của thông tin doanh nghiệp đang xử lý.
1. Đánh giá AL1 — Tự Đánh Giá
AL1 là cấp độ cơ bản: doanh nghiệp tự hoàn thành bảng câu hỏi VDA ISA mà không có kiểm toán viên bên ngoài xác minh nội dung. Người kiểm định chỉ kiểm tra sự tồn tại của bản tự đánh giá đã hoàn thành — không đánh giá độ chính xác của nó.
Đánh giá AL1 không tạo ra nhãn TISAX bởi vậy nên kết quả đánh giá có độ tin cậy thấp trong 3 mức độ. Tuy nhiên, AL1 là điểm khởi đầu tốt nếu doanh nghiệp chưa sẵn sàng đánh giá AL2 hoặc AL3.
2. Đánh giá AL2 — Kiểm toán xác minh từ xa
Ở AL2, tổ chức kiểm toán được ENX công nhận thực hiện kiểm tra tính hợp lý của bản tự đánh giá — bao gồm xem xét tài liệu và phỏng vấn qua video. Nếu doanh nghiệp có tài liệu bảo mật không muốn truyền qua mạng, có thể yêu cầu kiểm toán viên đến trực tiếp để xem xét tại chỗ.
* Lưu ý: Đánh giá AL 2.5 là biến thể của AL2, trong đó kiểm toán viên thực hiện đánh giá từ xa toàn diện thay vì chỉ kiểm tra tính hợp lý. Phương pháp này hoàn toàn tương thích với AL3, giúp doanh nghiệp nâng cấp lên AL3 sau này chỉ cần bổ sung phần kiểm tra tại chỗ — không phải bắt đầu lại từ đầu. Về mặt hình thức, AL2.5 vẫn được ghi nhận là AL2 trên báo cáo — đối tác không nhìn thấy sự khác biệt.
→ Nên chọn AL2.5 thay vì AL2 khi: Hiện tại chỉ cần AL2 nhưng không thể loại trừ khả năng cần AL3 trong tương lai, hoặc khi doanh nghiệp gặp khó khăn trong việc biên soạn bản tự đánh giá đủ độ tin cậy và muốn kiểm toán viên hỗ trợ đánh giá từ đầu.
3. Đánh giá AL3 — Kiểm toán tại chỗ
AL3 là cấp độ nghiêm ngặt nhất — áp dụng cho doanh nghiệp xử lý thông tin có độ nhạy cảm rất cao, điển hình là nguyên mẫu xe, thiết kế sản phẩm tuyệt mật hoặc hệ thống có yêu cầu tính sẵn sàng rất cao. Ngoài xem xét tài liệu và phỏng vấn, kiểm toán viên bắt buộc phải đến trực tiếp địa điểm để:
- Kiểm tra tài liệu và thu thập bằng chứng thực tế
- Phỏng vấn trực tiếp người chịu trách nhiệm quy trình
- Quan sát điều kiện an ninh vật lý tại chỗ
- Quan sát thực thi quy trình trong thực tế vận hành
- Phỏng vấn đột xuất nhân viên tham gia quy trình — không báo trước
* Trường hợp đặc biệt: Nếu tạm thời không thể tổ chức kiểm toán tại chỗ (ví dụ: dịch bệnh, thiên tai), kiểm toán viên có thể sử dụng phương pháp đánh giá từ xa có hỗ trợ video. Tuy nhiên, sự điều chỉnh này phải được ghi nhận trong báo cáo như một lỗi nhỏ, và kiểm toán tại chỗ bổ sung phải được thực hiện ngay khi có thể — bất kể trạng thái của các hành động khắc phục khác.
12 mục tiêu đánh giá TISAX
Mục tiêu đánh giá TISAX xác định lĩnh vực bảo mật cụ thể cần kiểm toán — đây là yếu tố đầu vào cốt lõi mà tổ chức kiểm toán dựa vào để xây dựng chiến lược đánh giá. Doanh nghiệp phải chọn ít nhất một mục tiêu và có thể chọn nhiều mục tiêu cùng lúc.
Nhóm 1: Bảo mật thông tin (4 mục tiêu)
Đây là nhóm bắt buộc — mọi doanh nghiệp muốn có nhãn TISAX đều phải đáp ứng nhóm mục tiêu này. Phân loại theo mức độ nhạy cảm của thông tin xử lý:
| Mục tiêu | Áp dụng khi | AL |
| Thông tin Cao | Tài liệu phân loại “Confidential” từ đối tác OEM | AL2 |
| Thông tin Rất Cao | Tài liệu phân loại “Strictly Confidential” | AL3 |
| Bí mật (Confidential) | Tiết lộ trái phép gây thiệt hại đáng kể: tài chính, danh tiếng, pháp lý | AL2 |
| Tuyệt mật (Strictly Confidential) | Tiết lộ trái phép gây thiệt hại đe dọa sự tồn tại của tổ chức | AL3 |
* Lưu ý: Từ ngày 01/04/2024, mục tiêu “Thông tin Cao” và “Thông tin Rất Cao” không còn được đăng ký mới. Doanh nghiệp đăng ký từ thời điểm này sử dụng mục tiêu “Bí mật” và “Tuyệt mật” tương ứng.
Nhóm 2: Bảo vệ nguyên mẫu (4 mục tiêu)
Nhóm tùy chọn — áp dụng khi doanh nghiệp tham gia vào bất kỳ giai đoạn nào của quy trình phát triển xe: từ sản xuất linh kiện, lưu trữ phương tiện, thử nghiệm trên đường đến tổ chức sự kiện truyền thông.
| Mục tiêu | Áp dụng khi | AL |
| Bộ phận nguyên mẫu | Sản xuất, lưu trữ hoặc sử dụng linh kiện/phụ tùng nguyên mẫu do OEM cung cấp. Yêu cầu kiểm tra an ninh vật lý | AL3 |
| Xe nguyên mẫu | Sản xuất, lưu trữ hoặc vận hành xe nguyên mẫu tại địa điểm. Tự động kèm nhãn “Bộ phận nguyên mẫu” nếu đạt | AL3 |
| Xe thử nghiệm | Lái thử trên đường công cộng hoặc đường thử với xe OEM. Gồm yêu cầu về ngụy trang và xử lý phương tiện | AL2 |
| Sự kiện nguyên mẫu | Thuyết trình, quay phim, chụp ảnh với xe/linh kiện OEM — trong phòng bảo vệ và ngoài công cộng | AL2 |
* Khuyến nghị: Nếu địa điểm của bạn đồng thời thực hiện thử nghiệm xe (Xe thử nghiệm — AL2) và có nhà để xe bảo vệ để lưu trữ phương tiện (Xe nguyên mẫu — AL3), nên đăng ký cả hai mục tiêu trong cùng một đánh giá để tối ưu chi phí và thời gian.
Nhóm 3: Bảo vệ dữ liệu (2 mục tiêu)
Áp dụng khi doanh nghiệp xử lý dữ liệu cá nhân của khách hàng hoặc nhân viên OEM với tư cách là bên xử lý (Data Processor) theo Điều 28 của GDPR.
| Mục tiêu | Áp dụng khi | AL |
| Dữ liệu (Data) | Xử lý dữ liệu cá nhân thông thường theo Điều 28 GDPR | AL2 |
| Dữ liệu Đặc biệt (Special Data) | Xử lý dữ liệu đặc biệt theo Điều 9 GDPR: sức khỏe, tôn giáo, sinh trắc học, tư pháp | AL3 |
Quy trình đánh giá TISAX
Bước 1: Xác nhận yêu cầu từ đối tác OEM
Hợp đồng hoặc yêu cầu từ đối tác thường ghi rõ: mục tiêu đánh giá cần đăng ký và cấp độ AL tối thiểu phải đạt. Đây là thông tin đầu vào không thể bỏ qua — nếu chưa rõ, cần xác nhận trực tiếp với đối tác trước khi thực hiện bất kỳ bước nào tiếp theo.
Bước 2: Tự đánh giá theo VDA ISA
Hoàn thành bảng tự đánh giá dựa trên bộ câu hỏi VDA ISA — bắt buộc ở mọi cấp độ. Đây không phải thủ tục hành chính: chất lượng bản tự đánh giá ảnh hưởng trực tiếp đến tốc độ và kết quả của kiểm toán bên ngoài. Bản tự đánh giá phải mang tính kết luận, dễ hiểu và có căn cứ — không phải bản khai “có/không” đơn thuần.
Bước 3: Đăng ký trên cổng ENX Portal
Tạo tài khoản tổ chức tham gia TISAX trên cổng ENX (phí đăng ký khoảng 500 USD/địa điểm). Khai báo mục tiêu đánh giá và danh sách địa điểm cần chứng nhận. Đây là bước chính thức đưa doanh nghiệp vào hệ thống TISAX.
Bước 4: Xác định phạm vi đánh giá cụ thể
Phạm vi đánh giá TISAX có thể nhỏ hơn phạm vi ISMS của doanh nghiệp nhưng phải nằm trong đó. Cần xác định rõ: hệ thống nào, quy trình nào, bộ phận nào và địa điểm nào sẽ nằm trong phạm vi kiểm toán — trước khi kiểm toán viên vào làm việc.
Bước 5: Lựa chọn tổ chức kiểm toán được ENX công nhận
Chỉ các tổ chức đánh giá được ENX chính thức công nhận mới có thể thực hiện đánh giá tạo ra nhãn TISAX. Thời gian chờ lịch kiểm toán — đặc biệt với AL3 — có thể kéo dài vài tháng. Nên liên hệ và đặt lịch sớm ngay sau khi hoàn thành bước 4.
Bước 6: Đánh giá Giai đoạn 1 — Xem xét tài liệu
Kiểm toán viên xem xét bản tự đánh giá và tài liệu ISMS. Đây là giai đoạn “kiểm tra trước” — xác định tính đầy đủ và nhất quán của hồ sơ. Các thiếu sót phát hiện ở giai đoạn này cần được khắc phục trước khi chuyển sang giai đoạn kiểm toán chính thức.
Bước 7: Đánh giá Giai đoạn 2 — Kiểm toán chính thức
Quy trình khác nhau theo cấp độ:
- AL2: Phỏng vấn người phụ trách qua video hội nghị, kiểm tra bằng chứng từ xa
- AL3: Kiểm tra tài liệu và bằng chứng trực tiếp + phỏng vấn theo kế hoạch + quan sát thực địa + phỏng vấn đột xuất nhân viên
Bước 8: Xử lý kết quả và phân loại phát hiện
Kiểm toán viên phân loại các phát hiện theo 4 mức:
| Loại phát hiện | Mức độ rủi ro | Yêu cầu xử lý |
| Lỗi nghiêm trọng (Major Nonconformity) | Rủi ro tức thời hoặc ISMS không hoạt động hiệu quả | Phải thực hiện biện pháp bù đắp ngay, sau đó khắc phục triệt để |
| Lỗi nhỏ (Minor Nonconformity) | Không tạo rủi ro tức thời đáng kể | Thực hiện khắc phục không chậm trễ; có thể nhận nhãn tạm thời |
| Quan sát (Observation) | Hành vi không tuân thủ nhưng chưa gây rủi ro ngay | Điều tra, giám sát và quyết định cách xử lý |
| Cần cải thiện (Improvement Potential) | Sai lệch không gây rủi ro, có thể tốt hơn | Doanh nghiệp tự quyết định có xử lý không |
Bước 9: Nhận Nhãn TISAX và chia sẻ kết quả
- Kết quả Đạt yêu cầu: Nhãn TISAX chính thức được cấp, hiệu lực tối đa 3 năm.
- Kết quả Lỗi nhỏ: Nhãn TISAX tạm thời được cấp — hiệu lực tối đa 9 tháng. Doanh nghiệp có 9 tháng để khắc phục lỗi, sau đó kiểm toán viên thực hiện đánh giá theo dõi. Nhãn tạm thời được phần lớn đối tác OEM chấp nhận trong thời gian này.
- Kết quả Lỗi nghiêm trọng: Không được cấp nhãn. Cần xử lý triệt để và thực hiện đánh giá lại.
Bước 10: Duy trì ISMS và Chuẩn bị tái đánh giá
Nhãn TISAX không tự duy trì. Trong 3 năm hiệu lực, doanh nghiệp cần: thực hiện kiểm toán nội bộ định kỳ, cập nhật chính sách theo VDA ISA phiên bản mới và ghi nhận bằng chứng hoạt động liên tục. Tái đánh giá tốt hay kém phụ thuộc phần lớn vào chất lượng duy trì ISMS trong giai đoạn này.
Các mức độ trưởng thành trong tuân thủ TISAX
Mức độ trưởng thành (Maturity Level) là thang đo trung tâm của VDA ISA — phản ánh mức độ hoàn thiện và bền vững của từng quy trình bảo mật trong thực tế vận hành.
| Mức trưởng thành | Tên | Đặc điểm nhận diện | Bằng chứng kiểm toán viên tìm kiếm |
| 0 | Chưa hoàn chỉnh | Không có quy trình hoặc quy trình không đạt mục tiêu | Không có tài liệu, không có thực thi |
| 1 | Đã thực hiện | Quy trình tồn tại và đạt mục tiêu nhưng chưa được ghi chép | Có thực hiện trong thực tế nhưng không có tài liệu chứng minh |
| 2 | Được quản lý | Có tài liệu đầy đủ và bằng chứng thực hiện | Chính sách, quy trình, hồ sơ thực hiện |
| 3 | Đã thiết lập | Chuẩn hóa, tích hợp nhất quán vào toàn bộ hệ thống, duy trì bền vững | Audit trail, bằng chứng duy trì nhiều chu kỳ |
| 4 | Có thể dự đoán | Đo lường bằng KPI, có ngưỡng kiểm soát tự động | Dashboard bảo mật, số liệu theo dõi định kỳ |
* Lưu ý: Phần lớn yêu cầu trong VDA ISA cần đạt tối thiểu mức độ 3. Nghĩa là quy trình bảo mật phải được chuẩn hóa, tích hợp nhất quán vào hoạt động thực tế và có bằng chứng duy trì bền vững qua nhiều chu kỳ — không chỉ tồn tại trên giấy.
Câu hỏi thường gặp về đánh giá TISAX
1. Tự đánh giá AL1 có được đối tác OEM chấp nhận không?
Phụ thuộc vào từng đối tác. Một số OEM chấp nhận tự đánh giá ngoài hệ thống TISAX chính thức — nhưng điều này phải được xác nhận rõ ràng trong hợp đồng. Trong hệ thống ENX, kết quả AL1 có độ tin cậy thấp và không tạo ra nhãn TISAX. Nếu đối tác yêu cầu nhãn TISAX, AL2 là cấp độ tối thiểu.
2. Nếu thất bại ở lần đánh giá đầu tiên thì xử lý như thế nào?
Doanh nghiệp có tối đa 9 tháng để khắc phục lỗi không phù hợp. Với lỗi nhỏ, có thể nhận nhãn tạm thời trong thời gian này. Với lỗi nghiêm trọng, cần xử lý và thực hiện đánh giá lại toàn bộ. Tổ chức kiểm toán sẽ thực hiện đánh giá theo dõi để xác nhận việc khắc phục.
3. Có thể nâng cấp từ AL2 lên AL3 mà không cần bắt đầu lại không?
Không thể nâng cấp trực tiếp. Phải khởi động quy trình đánh giá mới ở AL3. Ngoại trừ trường hợp đã thực hiện AL2.5 trước đó — lúc này, kiểm toán viên chỉ cần thực hiện thêm phần kiểm tra tại chỗ để hoàn thành AL3.
4. Tái đánh giá sau 3 năm có phức tạp như lần đầu không?
Không — nếu doanh nghiệp duy trì ISMS tốt trong suốt 3 năm. Kiểm toán viên tập trung vào thay đổi, cải tiến và bằng chứng hoạt động liên tục — không phải xem xét lại toàn bộ hệ thống từ đầu. Doanh nghiệp duy trì ISMS kém hoặc bỏ qua đánh giá nội bộ trong 3 năm thường gặp nhiều lỗi hơn ở tái đánh giá so với lần đầu.
—————————————————————————————————-
Quy trình đánh giá TISAX không phức tạp nếu được chuẩn bị đúng. Nếu doanh nghiệp của bạn đang chuẩn bị cho lần đánh giá TISAX đầu tiên hoặc cần tái đánh giá, hãy liên hệ với Thư Viện Tiêu Chuẩn theo số Hotline: 0948.690.698 hoặc Email: thuvientieuchuan.org@gmail.com để được hỗ trợ.
