Đánh giá TISAX®

TISAX® (Trusted Information Security Assessment Exchange) là quy trình đánh giá và trao đổi kết quả đánh giá an toàn thông tin giữa các doanh nghiệp trong ngành ô tô. Trọng tâm là bảo vệ tính bảo mật, toàn vẹn và sẵn sàng của dữ liệu trong quá trình phát triển, sản xuất và vận hành phương tiện, như bản vẽ thiết kế, dữ liệu nguyên mẫu hay thông tin dự án của các hãng xe.

TISAX® được Hiệp hội Công nghiệp Ô tô Đức (VDA) khởi xướng và do Hiệp hội ENX vận hành, quản lý. Cơ sở đánh giá là danh mục VDA ISA (Information Security Assessment) do ENX duy trì và VDA công bố, dựa trên các nguyên tắc của ISO/IEC 27001 và bổ sung yêu cầu đặc thù ngành như bảo vệ nguyên mẫu và bảo vệ dữ liệu. Các đánh giá đặt hàng từ 01/04/2024 áp dụng VDA ISA 6; theo ENX, phiên bản VDA ISA2027 áp dụng cho các đánh giá đặt hàng từ 01/01/2027. Khi đánh giá đạt kết quả, nhãn TISAX® được công bố trên nền tảng ENX. Nhiều nhà sản xuất ô tô như Audi, Volkswagen hay BMW yêu cầu nhà cung cấp có nhãn TISAX® phù hợp.

Cần lưu ý rằng TISAX® không phải chứng chỉ theo nghĩa thông thường: kết quả gồm báo cáo đánh giá TISAX® và nhãn được chia sẻ trên nền tảng ENX, và chính doanh nghiệp được đánh giá quyết định bên nào được quyền xem kết quả.

Mọi doanh nghiệp muốn tham gia phải đăng ký trên cổng thông tin ENX. Trong mạng lưới TISAX®, doanh nghiệp có thể là bên tham gia thụ động (bên yêu cầu và nhận kết quả đánh giá, thường là hãng xe) hoặc bên tham gia chủ động (bên được đánh giá và chia sẻ kết quả, thường là nhà cung cấp); một doanh nghiệp có thể giữ cả hai vai trò.

Mục tiêu đánh giá (ví dụ Confidential, Strictly confidential, High availability, Proto parts, Data) được chọn theo nhu cầu bảo vệ của thông tin, và mỗi mục tiêu tương ứng với một cấp độ đánh giá:

• Cấp độ 1 (AL1): tự đánh giá, chủ yếu phục vụ mục đích nội bộ; kết quả không được sử dụng trong TISAX® và không có nhãn.
• Cấp độ 2 (AL2): cho các mục tiêu có nhu cầu bảo vệ cao. Đơn vị đánh giá kiểm tra tính hợp lý của bản tự đánh giá dựa trên bằng chứng và phỏng vấn, thường qua hội nghị trực tuyến hoặc tại chỗ theo đề nghị của doanh nghiệp.
• Cấp độ 3 (AL3): cho các mục tiêu có nhu cầu bảo vệ rất cao, như bảo vệ linh kiện và phương tiện nguyên mẫu hay dữ liệu đặc biệt. Đơn vị đánh giá thực hiện đánh giá toàn diện tại địa điểm của doanh nghiệp, gồm phỏng vấn và kiểm tra thực tế khu vực, cơ sở liên quan.

Phạm vi và thời lượng đánh giá phụ thuộc vào mục tiêu đánh giá, mức độ trưởng thành và độ phức tạp của ISMS, cũng như số địa điểm. Tính từ cuộc họp kết thúc của đánh giá ban đầu, doanh nghiệp có tối đa chín tháng để khắc phục các điểm không phù hợp và hoàn tất quy trình, kể cả việc đơn vị đánh giá xác minh hành động khắc phục; quá thời hạn này, cần thực hiện một đánh giá ban đầu mới. Nhãn TISAX® có hiệu lực ba năm, sau đó cần đánh giá lại.