TISAX standard – Tiêu chuẩn bảo mật thông tin ngành ô tô

Đảm bảo an ninh thông tin là yêu cầu quan trọng với bất cứ ngành nghề nào. Có nhiều tiêu chuẩn khác nhau được xây dựng để đáp ứng yêu cầu này. Bài viết này giới thiệu về Tiêu chuẩn TISAX (TISAX standard) – Tiêu chuẩn bảo mật thông tin ngành ô tô.

TISAX STANDARD – TIÊU CHUẨN TISAX LÀ GÌ?

TISAX (Trusted Information Security Assessment Exchange – Sàn giao dịch đánh giá an toàn thông tin đáng tin cậy), được điều hành bởi Hiệp hội ENX thay mặt cho VDA của Đức (Verband der Automobilindustrie – Hiệp hội công nghiệp ô tô Đức), cung cấp một khung bảo mật theo ngành cụ thể để đánh giá an ninh thông tin cho nhiều nhà cung cấp, OEM (Original Equipment Manufacturer – Nhà sản xuất thiết bị gốc) và các đối tác đóng góp vào chuỗi cung ứng ô tô. Các Đánh giá của TISAX được thực hiện bởi các nhà cung cấp dịch vụ đánh giá được công nhận chứng minh năng lực của họ đều đặn.

TIÊU CHUẨN TISAX – TISAX STANDARD DO TỔ CHỨC NÀO QUẢN LÝ?

Tiêu chuẩn bảo mật thông tin ngành ô tô TISAX được quản lý bởi Hiệp hội ENX. Hiệp hội ENX, có trụ sở tại Paris và Frankfurt, đã được thành lập như một cơ sở tin cậy cho các giải pháp công nghiệp. Được thành lập vào năm 2000, Hiệp hội ENX là một tổ chức bao gồm các nhà sản xuất ô tô (BMW, Continental, Daimler, Ford, Renault và Volkswagem), nhà cung cấp và bốn hiệp hội ô tô quốc gia. Mục đích là để kích hoạt và đơn giản hóa sự hợp tác an toàn và đáng tin cậy qua các mạng giá trị gia tăng công nghiệp.

Với cấu trúc liên kết của mình, ENX là cơ quan khởi xướng và quản lý các tiêu chuẩn chung và các dịch vụ có thể hoạt động được dựa trên các tiêu chuẩn này. Hiệp hội ENX chứng nhận hoặc phê duyệt các nhà cung cấp dịch vụ theo danh mục tiêu chí kỹ thuật và ký kết các hợp đồng cho phép quản trị. ENX đóng vai trò như một cơ quan quản lý và leo thang trung lập cũng như là động lực thúc đẩy sự phát triển liên tục cho người dùng.

LỢI ÍCH CỦA TISAX STANDARD – TIÊU CHUẨN BẢO MẬT THÔNG TIN NGÀNH Ô TÔ

• Mỗi doanh nghiệp tham gia đánh giá TISAX tự quyết định xem kết quả sẽ được tiết lộ cho ai và mức độ chi tiết như thế nào.
• Công ty tham gia cũng có thể sử dụng kết quả đánh giá cho việc xây dựng kế hoạch quản lý rủi ro của riêng mình.
• Việc công nhận các đánh giá TISAX và hiệu lực 3 năm thường xuyên của chúng giúp giảm thiểu các đánh giá trùng lặp với mục tiêu bảo vệ an ninh thông tin tương tự
• Các quy trình trao đổi cung cấp bằng chứng thống nhất về bảo mật thông tin.
• TISAX tạo ra sự cạnh tranh giữa các nhà cung cấp dịch vụ đánh giá và cho phép công nhận chung kết quả đánh giá giữa những người tham gia TISAX.

NHỮNG ĐỐI TƯỢNG CÓ VAI TRÒ TRONG TISAX STANDARD

1. Hiệp hội ENX

Hiệp hội ENX duy trì khung tiêu chí (“TISAX ACAR”). Nó phê duyệt các nhà cung cấp dịch vụ đánh giá và giám sát chất lượng của việc thực hiện các kết quả đánh giá.

2. Nhà cung cấp dịch vụ đánh giá TISAX

Nhà cung cấp dịch vụ đánh giá được Hiệp hội ENX chấp thuận và tiến hành đánh giá các doanh nghiệp đăng ký chứng nhận. Nhà cung cấp dịch vụ đánh giá cung cấp cho doanh nghiệp tham gia đánh giá kết quả đánh giá.

3. Doanh nghiệp tham gia

Doanh nghiệp tham gia là một công ty đã đăng ký trong TISAX và được đánh giá bởi một nhà cung cấp dịch vụ chứng nhận.

YÊU CẦU CỦA TIÊU CHUẨN TISAX – TISAX STANDARD

Đánh giá An toàn Thông tin (ISA) theo TISAX là một danh mục các yêu cầu về bảo mật thông tin dựa trên các khía cạnh chính của tiêu chuẩn quốc tế ISO / IEC 27001. Nó được các công ty sử dụng cho cả mục đích nội bộ cũng như đánh giá của các nhà cung cấp.

PHÂN LOẠI MỤC TIÊU ĐÁNH GIÁ TIÊU CHUẨN BẢO MẬT THÔNG TIN NGÀNH Ô TÔ TISAX

Mục tiêu đánh giá xác định mức độ đánh giá mà hệ thống quản lý an toàn thông tin (ISMS) của bạn dự kiến ​​sẽ đạt được nếu bạn xử lý một số thông tin nhất định. Điều này hoàn toàn dựa trên loại dữ liệu mà bạn thay mặt cho đối tác kinh doanh của mình xử lý. Hãy coi mục tiêu đánh giá của bạn là tiêu chuẩn cho hệ thống quản lý bảo mật thông tin của mình.

Mục tiêu đánh giá là đầu vào quan trọng cho quá trình TISAX. Tất cả các nhà cung cấp dịch vụ đánh giá của TISAX đều xây dựng chiến lược đánh giá của họ chủ yếu dựa trên mục tiêu đánh giá. Hiện có 10 mục tiêu đánh giá TISAX. Bạn phải chọn ít nhất một mục tiêu đánh giá, nhưng bạn có thể chọn nhiều hơn một mục tiêu.

1. Thông tin có nhu cầu bảo vệ cao

Bạn có thể nhận thấy nhu cầu bảo vệ thông tin cao từ việc phân loại tài liệu của đối tác của bạn.

2. Thông tin có nhu cầu bảo vệ rất cao

Bạn có thể nhận thấy nhu cầu bảo vệ thông tin rất cao từ việc phân loại tài liệu của đối tác.

3. Kết nối với các bên thứ 3 có nhu cầu bảo vệ cao

Mục tiêu đánh giá này áp dụng khi bạn có vị trí riêng (chẳng hạn như văn phòng) trên cơ sở của đối tác và bạn truy cập các ứng dụng của đối tác thông qua kết nối mạng trực tiếp. Việc sử dụng danh mục tiêu chí này giữa các OEM (Original Equipment Manufacturer – Nhà sản xuất thiết bị gốc) có thể được giải thích theo từng cá nhân.

4. Kết nối với các bên thứ 3 với nhu cầu bảo vệ rất cao

Tương tự như mục tiêu đánh giá 3

5. Bảo vệ dữ liệu

Nếu bạn xử lý dữ liệu cá nhân như một bộ xử lý theo điều 28 của GDPR (General Data Protection Regulation – Quy định bảo vệ dữ liệu chung của EU) bạn có thể cần chọn mục tiêu này.

6. Bảo vệ dữ liệu với các danh mục dữ liệu cá nhân đặc biệt

Nếu bạn xử lý các danh mục dữ liệu cá nhân đặc biệt (như sức khỏe hoặc tôn giáo) với tư cách là người xử lý theo điều 28 của GDPR, thì bạn có thể cần chọn mục tiêu này.

7. Bảo vệ các bộ phận và thành phần nguyên mẫu của dữ liệu cá nhân

Dành cho tất cả các công ty sản xuất, lưu trữ hoặc sử dụng các thành phần hoặc bộ phận do khách hàng cung cấp được phân loại là cần bảo vệ tại địa điểm của riêng họ.

8. Bảo vệ xe nguyên mẫu

Dành cho tất cả các công ty sản xuất, lưu trữ hoặc sử dụng phương tiện do khách hàng cung cấp được phân loại là cần bảo vệ tại địa điểm riêng của họ.

9. Xử lý các phương tiện thử nghiệm

Dành cho tất cả các công ty tiến hành kiểm tra và lái thử (ví dụ: lái thử trên đường công cộng hoặc đường thử) với các phương tiện do khách hàng cung cấp được phân loại là cần bảo vệ.

10. Bảo vệ nguyên mẫu trong các sự kiện và quay phim hoặc ảnh chụp

Dành cho tất cả các công ty thực hiện các buổi thuyết trình hoặc sự kiện (ví dụ: nghiên cứu thị trường, sự kiện, sự kiện tiếp thị) và quay phim và chụp ảnh với các phương tiện, linh kiện hoặc bộ phận do khách hàng cung cấp được phân loại là cần bảo vệ.

TÌM HIỂU VỀ NHÃN TISAX – TISAX LABEL

1. Ý nghĩa của nhãn TISAX

Các nhãn TISAX:

• Là kết quả của quá trình đánh giá TISAX
• Tóm tắt kết quả đánh giá của bạn
• Là tuyên bố rằng hệ thống quản lý an toàn thông tin của bạn đáp ứng một tập hợp các yêu cầu xác định

Việc sử dụng nhãn TISAX làm cho việc giao tiếp liên quan đến TISAX với đối tác và nhà cung cấp dịch vụ đánh giá TISAX của bạn trở nên dễ dàng hơn vì họ tham chiếu đến đầu ra xác định của quy trình đánh giá TISAX.

2. Phân cấp nhãn TISAX

Việc liên hệ giữa bất kỳ mục tiêu đánh giá nào và các nhãn TISAX tương ứng là khá đơn giản. Nhưng có một khía cạnh quan trọng khác: Một số nhãn TISAX được liên kết theo thứ bậc. Điều này có nghĩa là nếu bạn nhận được một nhãn TISAX nhất định, bạn sẽ tự động nhận được tất cả các nhãn TISAX “bên dưới” nhãn cụ thể đó.

Ví dụ (với tên nhãn viết tắt): Nếu mục tiêu đánh giá của bạn là “Thông tin rất cao”, bạn sẽ nhận được nhãn TISAX tương ứng là “Thông tin rất cao”. Nhưng vì mục tiêu đánh giá “Thông tin rất cao” là phần mở rộng của “Thông tin cao”, bạn cũng sẽ tự động nhận được nhãn TISAX “Thông tin cao”.

3. Thời gian hiệu lực của nhãn TISAX

Nhãn TISAX thường có giá trị trong 3 năm (tương ứng với hiệu lực chứng nhận TISAX. Thời hạn hiệu lực bắt đầu vào cuối quá trình đánh giá (thậm chí trước khi báo cáo TISAX được ban hành).

Thời hạn hiệu lực của chúng có thể ngắn hơn nếu có điều gì đó quan trọng liên quan đến phạm vi đánh giá TISAX thay đổi.

Lưu ý: Bạn chỉ có thể xem các nhãn TISAX của mình trong cổng ENX. Chúng không được ghi lại trong báo cáo TISAX (TISAX Report)

4. Gia hạn nhãn TISAX

Để giữ nhãn TISAX của bạn lâu dài, bạn cần phải gia hạn chúng ba năm một lần.

Về cơ bản, bạn cần phải chạy lại quy trình TISAX (đăng ký phạm vi đánh giá, được TISAX đánh giá lại, chia sẻ kết quả đánh giá của bạn). Việc đăng ký có phần dễ dàng hơn vì bạn không cần phải tạo lại công ty của mình với tư cách là người tham gia TISAX. Và tất nhiên bạn có thể sử dụng lại tất cả các địa chỉ liên hệ và vị trí của mình đã được lưu trữ trong cơ sở dữ liệu TISAX.

Lưu ý: Doanh nghiệp nên bắt đầu gia hạn ít nhất 1 năm trước khi nhãn TISAX của bạn hết hạn.

CÁC TÙY CHỌN CHIA SẺ KẾT QUẢ ĐÁNH GIÁ TISAX STANDARD

Có 5 lựa chọn doanh nghiệp có thể sử dụng để chia sẻ kết quả đánh giá TISAX của mình là:

• A + Nhãn TISAX
• A + Nhãn TISAX + B: Kết quả đánh giá tổng thể
• A + Nhãn TISAX + B + C: Tóm tắt kết quả đánh giá
• A + Nhãn TISAX + B + C + D: Kết quả đánh giá chi tiết
• A + Nhãn TISAX + B + C + D + E: Mức độ trưởng thành theo VDA ISA

Trong đó:

• A: Thông tin liên quan đến đánh giá
• B: Kết quả đánh giá chung
• C: Tóm tắt kết quả đánh giá
• D: Kết quả đánh giá chi tiết
• E: Mức độ trưởng thành của VDA ISA (tab kết quả của VDA ISA)

5 nội dung trên tương ứng với các phần có trong Báo cáo TISAX (TISAX Report)

→ Xem thêm Đánh giá TISAX

TỔ CHỨC CHỨNG NHẬN TISAX

TISAX cho phép các nhà cung cấp dịch vụ đánh giá chứng nhận đưa ra những đánh giá được chấp nhận lẫn nhau dựa trên danh mục VDA ISA. Điều này có nghĩa là mọi doanh nghiệp áp dụng TISAX đều có thể tự chọn nhà cung cấp dịch vụ đánh giá và mong đợi kết quả đánh giá được tiêu chuẩn hóa được chấp nhận bởi những tổ chức tham gia khác trong toàn ngành. Điều này được thực hiện bởi một hệ thống đánh giá bao gồm các phạm vi dịch vụ riêng biệt phù hợp như nhau cho tất cả các doanh nghiệp trong toàn bộ chuỗi tạo ra giá trị của ngành công nghiệp ô tô. Các mục tiêu đánh giá rõ ràng cho phép các đánh giá được tiêu chuẩn hóa phù hợp với nhu cầu bảo vệ thông tin.

Hiện nay, Hiệp hội ENX chỉ công nhận 15 Tổ chức đánh giá trên thế giới có đủ năng lực chứng nhận TISAX. Quý Doanh Nghiệp vui lòng liên hệ với Chúng Tôi để biết thông tin chi tiết về 15 tổ chức này.

————————————————————————————————————————————————————————

Để tìm hiểu thêm về TISAX standard – Tiêu chuẩn bảo mật thông tin ngành ô tô hoặc cần tư vấn tiêu chuẩn TISAX, Quý Khách Hàng vui lòng liên hệ với Chúng Tôi theo số Hotline: 0948.690.698 hoặc Emai: thuvientieuchuan.org@gmail.com