汽车行业信息安全

Stephen Liu 刘庆翔 | 2023 年10月

Knowledge

TISAX®- 值得信赖的信息安全评估交换

VDA-ISA 6.0.1 变化解读

Stephen Liu 刘庆翔

Technical Manager

SGS

• SGS TISAX中国区产品经理

• CDPSE 国际注册数据隐私安全专家

• CCAA ISO/IEC 27001审核员

• CCAA ISO/IEC 20000 审核员

• CCAA ISO 22301 审核员

• ISO/SAE 21434 审核员

• 高级工程师

Speakers

TISAX评估规则

▪ TISAX ® : Trusted Information Security Assessment Exchange

▪ 想象您有一个合作伙伴，他手握机密信息，并希望与供应商，也就是您进行共享。您

与这名合作伙伴之间的合作可以创造价值，而该合作伙伴与您共享信息，则是价值创

造中的一个重要环节。所以，他想要采取适当的保护措施，并希望您本人也以同样谨

慎的态度来处理保密信息。

▪ 然而，他如何能保证可以放心地将自己的信息交于他人？他总不可能盲目地去“相信”

您。作为合作伙伴，需要眼见为实，方可证明对方有这个能力。

什么是TISAX® ？

谁需要用到TISAX®?

▪ 汽车零部件制造厂、汽车

应用产品厂商及汽车供应

链成员

▪ 自动驾驶技术提供者

▪ 自动驾驶数据服务提供者

▪ 地图服务提供商

等等

TISAX® 要求发展历程

2012.11.1

8

2015.5.21 2018.3.30

2017.12.31

VDA-ISA 2.1

(~2017.1.17)

VDA-ISA 3.0

(~2018.12.13)

VDA-ISA 4.0

(~2019.5.4)

2019.5.3

VDA-ISA 4.1

(~2020.10.1)

2020.10.1

VDA-ISA 5.0

(~2022.5.2)

2022.5.1

VDA-ISA 5.1

(~2024.3.31)

TISAX

VDA-ISA 6.0 已于 2023.10.16 正式发布

VDA-ISA 1.2

(~2015.5.21)

VDA-ISA 6.0.1

(~)

2024.4.1

TISAX ® VDA-ISA 6.0 实施要求

16 Oct 2023

VDA-ISA 6.0.1发布

01 Apr 2024

强制实施

尚未执行的项目 （VDA-ISA 6）

原有的项目（VDA-ISA 5）

CAP assessment

Follow up assessment

Scope extension

▪ 5-month transition period

5个月转换周期

▪ Timeline >>

时间表

所有项目:

VDA-ISA 5

客户可以选择按VDA-ISA6建立

TISAX ® 的结果-标签

▪ 目前一共定义了10个标签，企业根据需求申请。目前的标签包括：

信息安全

• INFO HIGH AL2

• INFO VERY HIGH AL3

可用性（Must&Should&A）

• Avail High AL2

• Avail Very High AL3

原型保护 ( AL3)

• PROTO PARTS

• PROTO VEHICLES

• TEST VEHICLES

• EVENTS+SHOOTINGS

数据保护

• DATA AL2

• SPECIAL DATA AL3

保密性（Must&Should&C）

• Confidential AL2

• Strictly Confidential AL3

0

1

2

3

4

5

1.1 Information Security Policies

1.2 Organization of Information Security

1.3. Asset Management

1.4. IS Risk Management

1.5 Assessments

1.6 Incident and Crisis Management

2.1 Human Resources

3.1 Physical Security and Business

Continuity

4.1 Identity Management

4.2 Access Management

5.1 Cryptography

5.2 Operations Security

5.3 System acquisitions, requirement

management and development

6.1 Supplier Relationships

7.1 Compliance

8.1 Prototypte Protection - Physical and

Environmental Security (na)

8.2 Prototypte Protection - Organizational

Requirements (na)

8.3 Prototypte Protection - Handling of

vehicles, components and parts (na)

8.4 Prototypte Protection - Requirements

for trial vehicles (na)

8.5 Prototypte Protection - Requirements

for events and shootings (na)

Result Target maturity level

VDA-ISA (5.X)结构由3部分共67个控制目标组成

DATA PROTECTION + 数据保护

风险管理

符合性

物理安全

运行安全

系统采购、需求管理和开发

评估

供应商关系

事件和危机管理

身份鉴别

信息安全策略

信息安全组织

人力资源

资产管理

访问控制

加密

8.4 原型保护-车辆测试要求

8.3 原型保护-车辆和零部件处理要求

8.2 原型保护-组织要求

8.1 原型保护-物理和环境安全

8.5 原型保护-活动和影像录制要求

评估范围

标准范围 Standard scope 2.0:

The TISAX scope defines the scope of the assessment. The assessment includes all processes, procedures and resources under

responsibility of the assessed organization that are relevant to the security of the protection objects and their protection goals as

defined in the listed assessment objectives at the listed locations.

The assessment is conducted at least in the highest assessment level listed in any of the listed assessment objectives. All

assessment criteria listed in the listed assessment objectives are subject to the assessment.

TISAX范围定义了评估的范围。该评估包括受评估组织负责的所有流程、程序和资源，这些流程、程序和资源与所列位置的所列评

估目标中定义的保护对象及其保护目标的安全性相关。

评估至少按照所选择的评估目标中的最高评估级别进行。所选择的评估目标中列出的所有评估指标都要经过评估。

Custom extended scope 自定义扩展范围：

• TISAX 评估结果将用于公司内部或非汽车行业等用途。

• 自定义扩展范围始终包括标准范围。

• 可以获得TISAX标签。

• 其他TISAX参与者接受评估结果。

• 范围描述：

可以在标准范围基础上扩展填写内容（但不能删减标准范

围的内容）。

Full custom scope 全自定义范围：

• 包含的内容要“少于”标准范围

• 适用：如集团共享服务中心，数据中心

• 结论可被其他评估引用（复用）

• 结果被收录，但没有标签

• 范围描述：

默认没有范围描述内容，需要自行填写。

定义评估期间评估的内容和不评估的内容(“超出范围”)。它与被评估的管理体系的范围相

关联。对于ISO认证，评估的范围总是与管理体系的范围一致。在TISAX评估中，您可以将

评估范围定义为管理体系范围的子集，只要评估范围涵盖所有必要的管理系统组成部分。

要了解评估结果，您需要了解评估的范围。

参考标准和参考指南

参考标准

ISO/IEC 27001:2022

信息安全管理体系

ISA/IEC 62443-2

工业自动化和控制系统信息安全

NIST Cyber Security Framework Version 1.1

National Institute of Standards and Technology美国国家标准

与技术研究所 网络安全框架

实施参考指南

BSI IT-Grundschutz-Compendium

德国联邦信息安全办公室（BSI）IT基本保护汇编

NIST SP800-53r5

信息系统和组织的安全和隐私控制

评估要求变化

控制要求变化-信息安全

VDA-ISA 6.0.1 信息安全

新增 1.3.4 软件批准 MUST 2+(4-) SHOULD 5+ H VH 1+

1.6.2 安全事件的管理 MUST 3+ SHOULD 3+(4-) H 5+(12-) VH 1+(2-)

1.6.3 处理危机情况 MUST 3+(1-) SHOULD 6+(16-) H 5+(13-) VH 1+

5.2.8 IT服务连续性计划 MUST 2+ SHOULD 4+(9-) H 5+(2-) VH 3+(2-)

5.2.9 备份与恢复 MUST 2+(1-) SHOULD 1+(1-) H 3+(5-) VH 3+

1.1.1, 1.2.1, 1.2.2, 1.5.1, 1.5.2, 1.6.2 (SGA assessment); 2.1.4, 4.2.1, 5.2.6, 5.3.1

删除 3.1.2 事件与请求处理 被1.6.3, 5.2.8, 5.2.9替代

1.1.1

调整 1.6.1 安全事件报告 MUST 2+(4-) SHOULD 6+(2-) H 2+(4-) VH 1+

1.1.1,1.2.2, 1.3.1, 1.4.1, 2.1.3, 4.1.1, 4.1.2, 4.1.3, 4.2.1, 5.1.1, 5.1.2, 5.2.3, 5.2.6, 5.2.7, 5.3.1, 5.3.4, 6.1.1

控制要求变化-信息安全

Critical IT service

Critical IT systems

软件 SPOC

沟通

危

机

暴力破解

交互式登录

密钥所有权 渗透测试

无线访问

勒索软件

(D)DOS

RPO

RTO

空间冗余

TISAX-原型保护变化

Assessment object

评估目标

Protection of prototype parts

and components

原型零部件保护

Protection of prototype vehicles

原型车保护

Handling of test vehicles

试验车处理

Protection of prototypes during

events and film or photo

shootings活动及录制、拍摄期

间中的原型保护

原型保护包括被归类为需要保护但OEM尚未以适当形式向公众展示和/或公布的车

辆、部件和零件。

OEM的责任部门负责对车辆、部件和零件的保护需求进行分类。根据ISA，原型保护

的最低要求适用于高和非常高的保护等级。

原型是指被归类为需要保护的车辆、部件和零件，但OEM尚未以适当的形式向公众

展示和/或发布。

“原型保护”标签包括控制措施，以确保存在处理需要特殊保护的原型的适当措施。

在这里，要求总是指公司的组织、过程和基础设施。要求从来不是指你的公司投放市

场的产品。安全产品开发的要求不是本模块的一部分。

原型保护保护被分类为需要保护的物理原型。原型包括车辆、部件和零件。原型的知

识产权所有者被认为是原型的所有者。

所有者的责任部门负责对原型的保护需求进行分类。对于被归类为需要高或非常高保

护的原型，必须适用原型保护的最低要求。

5

6

TISAX-数据保护变化

Data Protection

数据保护

GDPR第28章

数据处理者要求

GDPR第9章

特殊个人数据定义

数据保护，保护的数据不是通常所说的数据，仅限于GDPR所述的个人隐私数据处理。

VDA-ISA 6.0.1 数据保护

9.1 数据保护政策 9.1.1 1+

9.2 数据保护组织 9.2.2(1) 6+(6-)

9.3 处理目录 9.3.1 1+(2-)

9.4 数据保护影响评估 9.4.1 2+(1-)

9.5 数据传输 9.5.1-9.5.3 6+(3-)

9.6 事件与请求处理 9.6.1-9.6.2 4+(6-)

9.7 人力资源 9.7.1-9.7.2 2+(3-)

9.8 指令 9.8.1 2+(3-)

ENX-VCS审核

ENX VCSA (VEHICLE CYBERSECURITY AUDIT)

VCS审核

Audit Objectives Description

VCS

Development 概念阶段、产品开发阶段、集成、验证和确认

VCS

Production

生产阶段，包括(SecOC)密钥的注入、微控制

器的安全启动、TLS证书的更新等

VCS

Operations &

Maintenance

监控信息；事件和弱点分析；脆弱性管理；事

件响应；网络安全相关更新和报废活动(在报废

期间可靠地删除密钥和证书)

审核目标涵盖了被审核组织的整个汽车产品生命周期和CSMS范围

Questions?

© SGS Group Management SA – 2020 – All Rights Reserved –

SGS is a registered trademark of SGS Group Management SA

Thank you!

Do you have any questions?

刘庆翔

https://www.sgsgroup.com.cn/

© SGS Group Management SA – 2020 – All Rights Reserved –

SGS is a registered trademark of SGS Group Management SA