新的TISAX®标签：需要考虑哪些因素

• 情况变化——新的要求
• 为什么是新的TISAX？ ^®是否引入了可用性和保密性标签？
• 新TISAX ^®标签一览
• 哪个TISAX ^®公司需要的标签
• 评估目标、标签和评估级别——简要解释它们的区别
• 对于依据旧版 ISA 目录进行的认证，需要进行差距分析。
• 新TISAX ^®标签- 结论
• DQS是您值得信赖的合作伙伴

为什么是新的TISAX？ ^®是否引入了“可用性”和“机密”标签？

供应商和服务商密切参与汽车制造商的研发和生产流程，但有时扮演的角色却截然不同：有些公司受托保管高度敏感的信息，但最终并不参与实际生产；另一些公司则为车辆生产提供至关重要的零部件，但却对委托公司的商业机密一无所知。

为了更好地体现这些不同的角色，旧标签“信息安全”已拆分为两个新品牌——“可用性“ 和 ”机密的供应商和服务提供商不再必须满足ISA 6.0目录的所有要求，因为每个标签仅代表其中的一部分。这种划分旨在减轻公司的负担，并提高审计流程的效率。

然而，值得注意的是，鉴于威胁形势的变化，信息安全评估 (ISA) 目录已扩展，纳入了多项新增要求。除了保护机密信息外，还应确保交付能力（关键词：即时生产），因为这越来越容易受到勒索软件攻击。因此，新的要求还包括针对 OT 系统的更强大的保护措施。

新TISAX ^®标签一览

对于受托保管敏感信息（例如商业机密或个人数据）的公司，现在有“机密”和“绝对机密”标签。“高可用性”和“超高可用性”标签则针对在公司交付能力中发挥关键作用的供应商。

除了基本要求外，针对新的 TISAX® 标签必须实施的措施在 ISA 评估目录 6.0 中已明确标明：保密性标签用“C”标记，可用性标签用“A”标记。许多要求同时用这两个字母标记，因此适用于两种新标签。

“机密的”

“机密”标签旨在保护机密信息，未经授权披露此类信息可能会造成严重的负面后果，例如名誉受损、刑事诉讼或经济损失。

在 ISA 目录的控制措施中，“高防护需求的附加要求”一栏定义了 28 项具体要求，并标记为“C”，必须满足这些要求才能获得此标签。

以下控制项由于其实施难度较高（括号内为要求），值得特别关注：

• 3.1.3（保护并安全处置打印机、碎纸机、相机或纸张等辅助设备上的信息）
• 3.1.4（移动设备上的数据加密）
• 5.1.1（通过合同、规范、保证等方式对自身数据进行法律保护，特别是针对外部数据处理）
• 5.1.2（对信息的数字传输路径进行加密）

此处提及的控制措施仅标记为“C”，而非“A”。这意味着它们仅与保密性相关。因此，在仅旨在评估可用性的审计过程中，无需满足这些要求。

“绝密”

“严格保密”标签旨在保护严格保密和秘密信息，未经授权披露这些信息可能会造成灾难性甚至危及生命的后果，例如严重的声誉损害、严重的刑事后果或非常高的经济损失。

在 ISA 问卷的控制中，“极高保护需求的附加要求”一栏定义了九项具体要求，并标记为“C”，除了“机密”标签的要求外，还必须满足这些要求才能获得此标签。

以下控制措施由于实施难度较大，需要特别注意：

• 1.6.1（开展并提供定期演练以管理信息安全事件的证据）
• 4.1.2（对具有极高安全保护要求的信息访问，需采用双因素身份验证或更高级别的身份验证）
• 4.2.1（对具有特别高保护要求的信息进行加密；每季度审查已分配访问权限的适当性）
• 5.1.2（对用于数字传输的信息内容进行加密）
• 5.2.4（记录对具有特别高保护要求的信息的访问）
• 5.2.8（数据备份概念，包括备用存储位置和备份存储）
• 5.3.1（在实施过程中、发生变更时以及定期检查内部开发或为客户开发的软件的安全性）

此外，还必须注意与可用性标签的明确区别：具体而言，此处列出的控制措施 4.1.2、4.2.1、5.1.2 和 5.2.4 的要求仅标记为“C”。这意味着它们仅与“严格保密”标签的审计流程相关。

高可用性

如果公司自身产品或服务的可用性直接影响依赖公司的生产或交付能力，且故障会导致重大损失，则该公司需要获得“高可用性”标签。常见的例子包括生产材料的即时供应商，或无法迅速替代的高度专业化服务或原材料供应商。

在 ISA 目录 6.0 的控制措施中，“高防护需求的附加要求”一栏定义了 36 项要求，这些要求标有“A”，因此必须满足这些要求才能获得此标签。

在实施过程中，以下控制措施需要特别注意：

• 1.6.3（危机情况准备：危机情景、联系人、沟通策略、定期危机模拟）
• 5.2.8（防止内部威胁（例如保护备份）和外部服务中断造成的干扰的措施，例如通过适当的服务级别协议））
• 5.2.9（备份和恢复概念：定期检查备份和测试恢复）
• 5.3.2（网络流量监控、中心服务可用性分析）

此处提及的要求仅标记为“A”，即它们仅与可用性相关。因此，在仅旨在标记保密性的审核过程中，无需满足这些要求。

“极高可用性”

如果公司自身产品或服务的短期可用性严重影响依赖公司的生产或交付能力，且故障会导致重大损失，则该公司需要获得“极高可用性”标签。一个典型的例子是即时供货供应商，其故障会导致生产迅速且大规模停产，重启时间极长。

在 ISA 目录的控制措施中，“极高防护需求的附加要求”一栏定义了 13 项要求。这些要求标有“A”，因此，除了“高可用性”标签的要求外，还必须满足这些要求才能获得此标签。

以下控制措施由于实施难度较大，需要特别注意：

• 1.6.1（开展并提供定期演练以管理信息安全事件的证据）
• 1.6.2（即使是罕见类型的信息安全事件）
• 1.6.3（开展并提供证据证明定期进行危机管理演练）
• 5.2.6（对IT系统进行常规的全自动系统分析，并考虑OT/工业控制系统）
• 5.2.8（数据备份概念，包括备用存储位置和备份存储；协调自身应急计划与外部服务提供商的应急计划；备份策略，包括替换系统和备用存储及备份位置，以维持业务流程）
• 5.2.9（定期测试数据备份概念；地理位置分散的备份位置；尽可能隔离的备份系统，以及技术上不可更改的备份）
• 5.3.1（在实施过程中、发生变更时以及定期检查内部开发或为客户开发的软件的安全性）

这里列出的控制措施 1.6.2、1.6.3、5.2.6 和 5.2.9 的要求仅在“非常高可用性”标签的审计过程中进行检查，因此与 TISAX 保密性标签无关。

通常，“可用性”这两个标签会更加强调维持生产能力（OT）。审计中将更加关注公司内部对OT制造商建议、OT风险、OT网络安全措施以及OT管理的了解程度。

哪个TISAX ^®公司需要的标签

实际上需要哪些标签这个问题，首先自然取决于公司在供应链中的角色。在供应链的每个环节，公司都必须扪心自问：我们依赖哪些供应商？哪些供应商掌握着敏感信息？

因此，TISAX®在每个阶段对供应商的管理要求，导致供应链中各环节都需满足特定角色的标签要求。供应商可以通过现有标签来证明其符合要求，这种交换机制在此尤为重要。评估结果可以提供给任何感兴趣的各方。

假设一家公司预防性地要求添加这两个新标签，即使实际上并不需要保密标签或可用性标签。在这种情况下，考虑到实施成本可能显著增加，绝对值得就双方对角色理解进行进一步讨论。
还必须考虑 TISAX 标签与评估级别之间的联系：“非常高的可用性”和“严格保密”标签只能通过 3 级评估（即现场评估）授予。

评估目标、标签和评估级别——简要解释它们的区别

在上一节中，我们使用了几个术语，在这里我们将简要解释并区分它们：

• TISAX ^®评估目标：供应商根据其制造合作伙伴的规范，利用评估目标来确定他们在审核中必须满足哪些要求。
• TISAX ^®标签：通过审核后，公司将获得针对所选评估目标的 TISAX® 标签。 ^TISAX®数据库将作为他们已满足要求的确认依据。
• TISAX ^®级别：根据评估级别不同，对满足要求的评估方式也不同。一级评估纯粹是自我评估。二级评估中，外部审核员会检查自我评估的合理性，并辅以远程访谈。三级评估中，审核员会进行现场检查，以核实评估的有效性。

对于依据旧版 ISA 目录进行的认证，需要进行差距分析。

对于仍持有旧版“Info”认证标签的公司而言，这一点尤为重要：

• 为了使过渡阶段尽可能简单，带有“信息高”标签的公司已被自动分配“机密”和“高可用性”标签，直到其到期日为止。
• 同样，“信息非常高”标签被转换为“严格保密”和“极高可用性”标签。

这也适用于 4 月 1 日之前接受报价的审计流程以及随后的范围扩展，这两项仍可按照旧的 ISA 目录 5.1 执行。

但是，需要注意的是，相关公司必须按照当时有效的法规获得认证。 ISA审计目录一旦其有效期为三年的TISAX标签过期，新的认证必须在旧标签过期后立即生效。因此，建议相关负责人尽早进行差距分析，以便及时对信息安全管理体系（ISMS）进行调整，并为下一个阶段做好准备。 TISAX ^®审计。

为了进行这项差距分析，ENX协会拥有提供了一份专门的需求目录其中列出了 ISA 5.1 和 ISA 6.0 之间的所有变更，并以红色标记。这使公司能够一目了然地了解新增的要求。需要注意的是：这是一份辅助文件。对于审计工作，公司应始终从 ENX 网站下载最新版本的 ISA 审计目录。

以下变化尤为显著：

• 新的 Control 1.3.4 可能需要对新软件进行投资，例如用于许可证管理的软件。
• 经过大幅修改的控制措施 1.6.1 和 1.6.2 现在要求进行协调和定期测试的事件响应。
• 控制措施 3.1.2 已被新的控制措施 1.6.3、5.2.8 和 5.2.9 取代，这些新控制措施对危机处理、业务连续性管理和数据备份提出了许多新的要求。

新TISAX ^®标签 - 结论

新的保密性和可用性标签应能确保TISAX的效率更高。 ^®未来认证流程将有所调整，因为审核现在将基于特定角色进行。这意味着供应商和服务提供商不再需要满足目录中的所有要求。然而，值得注意的是，可用性标签的要求比保密性标签的要求更高。这是因为新的重点是确保交付能力和保障 OT 环境安全，而这些内容已纳入当前 ISA 目录的所有控制措施中。

修订并部分扩充后的产品目录还包含一些新的要求，其中一些要求需要付出一定的努力和相应的准备时间才能满足。因此，尽早提出要求至关重要。差距分析建议已根据旧目录获得认证的公司使用，因为他们“仅仅”是通过信息安全旧标签的自动转换而获得新标签。

对于过去通过轮换抽样程序（轮换式SGA）获得标签的客户而言，会面临一些特殊挑战。出于成本考虑，这些公司希望在标签有效期的最后一年切换到实际抽样程序（基于样本的SGA）。因此，他们必须在第三年完成轮换式SGA评估，将其信息安全管理体系（ISMS）转换为新的ISA目录，并在标签到期前完成基于样本的SGA评估，以便顺利延长标签有效期。

DQS是您值得信赖的合作伙伴

TISAX ^®就像 ENX VCS 车辆网络安全系统一样，它也是为……开发的。 ENX协会DQS已获得ENX认证，是一家评估服务提供商，因此可以在全球范围内开展评估工作，同时也是TISAX认证机构。 ^®已获得TISAX认证。而且因为我们的许多TISAX认证机构都参与了TISAX认证。 ^®我们的审核员也获得了信息安全国际标准 ISO 27001 的认证，因此我们可以同时评估这两个标准，而且所需额外工作量更少。期待与您洽谈。

注：可访问TISAX ^®是通过参与者注册进行的，注册必须在线完成。 ENX门户这是委托经认可的评估服务提供商（例如）进行评估的先决条件。 DQS 。

信任和专业知识

我们的文本和宣传册均由我们的标准专家或资深审核员撰写。如果您对文本内容或我们为作者提供的服务有任何疑问，请与我们联系。