汽車信息安全評(píng)估標(biāo)準(zhǔn)—VDA TISAX 6.0介紹

歐盟于2016年4月14日投票通過了商討四年的《一般數(shù)據(jù)保護(hù)條例》（General Data Protection Regulation，以下簡(jiǎn)稱GDPR），該法案在2018年5月25日生效。

2018年發(fā)生多起汽車行業(yè)信息安全：蘋果前員工張曉浪（Xiaolang Zhang）因涉嫌竊取商業(yè)機(jī)密罪于7月7日在圣何塞機(jī)場(chǎng)通過安檢時(shí)被美國(guó)聯(lián)邦調(diào)查局（FBI）逮捕并被起訴，而張曉浪在4月向蘋果公司提出離職后，在5月初加入了中國(guó)新造互聯(lián)網(wǎng)車企小鵬汽車。參與蘋果公司無(wú)人駕駛汽車項(xiàng)目“泰坦”的開發(fā)

近百家汽車廠商核心機(jī)密數(shù)據(jù)泄露---特斯拉/通用/大眾/豐田都中招：

?2018-7 月初外媒報(bào)道，來(lái)自 UpGuard 安全團(tuán)隊(duì)的研究員 Chris Vickery 在網(wǎng)上發(fā)現(xiàn)了汽車供應(yīng)商 Level One 的不安全數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)包括將近 47000 份文件，涵蓋汽車制造廠商近十年的詳細(xì)藍(lán)圖、工廠原理圖、客戶材料（如合同、發(fā)票、工作計(jì)劃等），以及各種保密協(xié)議文件，甚至連員工的駕駛證和護(hù)照掃描件等隱私信息也包含在內(nèi)。通過 Level One 的文件傳輸協(xié)議 rsync，可以不需要密碼，直接訪問他發(fā)現(xiàn)的這個(gè)數(shù)據(jù)庫(kù)；

政府和企業(yè)越來(lái)越意識(shí)到信息安全至關(guān)重要，未來(lái)是信息化時(shí)代，信息安全至關(guān)重要，在這樣的背景下，德國(guó)汽車工業(yè)聯(lián)合會(huì)(VDA)信息安全要求ISA（ Information Security Assessment）的升級(jí)版——TISAX（Trusted Information Security Assessment Exchange）已于2017年底“重磅”推出。

VDA聯(lián)合ENX推出了得到大部分成員組織認(rèn)可的信息安全評(píng)估流程，并將據(jù)此得到的審核結(jié)果放在一個(gè)可供信息交換的可信平臺(tái)(TISAX)上，以替代之前各主機(jī)廠的頻繁審核，供各需求方進(jìn)行經(jīng)授權(quán)的查詢。

TISAX推出已經(jīng)有差不多1年的時(shí)間，德國(guó)大眾，寶馬，保時(shí)捷總公司都在不遺余力的要求供應(yīng)商獲得TISAX認(rèn)證，拿到Participant-ID，以便于信息數(shù)據(jù)的交換。

德國(guó)汽車工業(yè)協(xié)會(huì)（VDA）十多年前成立了“VDA信息安全委員會(huì)Information Security Committee”，開發(fā)了一個(gè)關(guān)于信息安全的標(biāo)準(zhǔn)ISA（ Information Security Assessment，簡(jiǎn)稱VDA ISA），它是基于國(guó)際標(biāo)準(zhǔn)ISO/IEC 27001的主要內(nèi)容修改而來(lái)。VDA信息安全委員會(huì)始終致力于開發(fā)成熟的適用于汽車行業(yè)的信息安全要求。近些年，不少標(biāo)準(zhǔn)都已成為適用于工業(yè)行業(yè)的信息安全標(biāo)準(zhǔn)，如IEC62443、NIST SP800、GB/T 30976等。

近年來(lái)，VDA ISA逐漸成為汽車行業(yè)信息安全的行業(yè)標(biāo)準(zhǔn)。目前，它由一個(gè)基本組件加上用于原型保護(hù)的附加模塊，與第三方的連接（例如項(xiàng)目辦公室和項(xiàng)目區(qū)域）和數(shù)據(jù)保護(hù)（聯(lián)邦數(shù)據(jù)保護(hù)法BDSG關(guān)于委托處理數(shù)據(jù)的第11節(jié)），可以在審核期間使用。根據(jù)需要開發(fā)其他模塊并將其添加到目錄中。

作為VDA的成員，之前的ISA通常被用于組織的內(nèi)部控制要求，或者是作為那些能接觸組織敏感信息的供應(yīng)商（服務(wù)商）的審核要求。從供應(yīng)商（服務(wù)商）的角度來(lái)說(shuō)，頻繁的接受來(lái)自于不同客戶的審核，且其審核要求大同小異，已經(jīng)越來(lái)越成為供應(yīng)商（服務(wù)商）自身運(yùn)營(yíng)的負(fù)擔(dān)。為此，VDA聯(lián)合ENX推出了得到大部分成員組織認(rèn)可的信息安全評(píng)估流程，并將據(jù)此得到的審核結(jié)果放在一個(gè)可供信息交換的可信平臺(tái)(TISAX)上，以替代之前各主機(jī)廠的頻繁審核，供各需求方進(jìn)行經(jīng)授權(quán)的查詢。

（圖2）

TISAX的參與方主要包括認(rèn)可的審核服務(wù)方、汽車主機(jī)廠和眾多的供應(yīng)商（服務(wù)商），以及那些潛在的對(duì)此有興趣的第三方。在TISAX上的參與方只有兩種角色，訪問評(píng)估結(jié)果方和提供評(píng)估結(jié)果方。一個(gè)參與組織可能受另一家參與組織的要求，進(jìn)行了信息安全評(píng)估，并對(duì)其公布自己的評(píng)估結(jié)果。當(dāng)然，其它的參與組織也可以向其提出查看評(píng)估結(jié)果的要求，但這取決于后者自身的決定和授權(quán)范圍。這樣，可以避免重復(fù)的、頻繁的審核要求，并提供可信的評(píng)估結(jié)果供需求方查詢。

TISAX由3方面組成:

包括通用的信息安全要求，以及原型保護(hù)和數(shù)據(jù)保護(hù)。當(dāng)然，其它的模塊也將陸續(xù)地加入TISAX的評(píng)估要求中。在每個(gè)方面都有不同的安全控制點(diǎn)，見下圖：