《TISAX 参与者手册》

欢迎了解 TISAX（Trusted Information Security Assessment Exchange，即“可信信息安全评估交换”）认证体系。

您的某个合作伙伴可能要求您证明，您的信息安全管理体系符合“信息安全评估标准（ISA）”特定等级的要求，并且您亦希望了解如何达到这一要求。

本手册的目的，便是要帮助您满足合作伙伴的要求，甚至是在合作伙伴提出此类要求之前，即可做好万全的应对准备。

本手册介绍了您需要采取的相关步骤，来确保顺利完成 TISAX 评估流程，并与合作伙伴共享评估结果。

建立并维持一套“信息安全管理体系（ISMS）”本身已是一项繁杂的工作，而向您的合作伙伴证明，自己的信息安全管理体系能够胜任工作要求，更是繁上加繁。本手册并不会帮助您管理自己的信息安全体系，而是旨在尽可能减少相关的工作量，从而方便您向合作伙伴证明自己的工作成效。

本手册适用于您参与的所有 TISAX 流程。

它包含您需要了解的所有相关知识，来确保顺利完成 TISAX 评估流程。

本手册从评估的核心环节出发，针对如何满足信息安全要求，提出了相关建议。但是总的来说，它并不会具体告诉您应该如何去做，才能通过信息安全评估。

本手册的主要受众是，需要或希望证明自身的信息安全管理体系符合“信息安全评估标准（ISA）”特定等级要求的所有公司。

一旦您积极参与 TISAX 评估流程，您将从本手册提供的信息中受益。

而同时，要求供应商证明其信息安全管理体系符合特定等级要求的公司亦将从中受益。本手册有助于公司了解其供应商为了满足特定要求，需要具体做哪些工作。

首先，我们将简要介绍 TISAX；之后，立即展开详述具体步骤。您将了解到完成评估流程所需要的一切信息 — 按照合理的先后顺序。

阅读本文档预计需要 75-90 分钟。

对于本文档中所述的大部分信息，您或许早晚有用上的一天。为了妥善准备有关工作，我们建议您通篇阅读本手册。

我们以 TISAX 评估流程三大主要步骤为线索，来编排本手册的章节结构，从而方便您查阅自己需要的章节内容，以及之后浏览其余内容。

本手册使用插图来帮助您理解，插图中的颜色通常具有特殊含义。因此，我们建议您通过电脑屏幕或彩印副本来阅读本文档。

我们重视您的反馈。如果您认为本手册中有内容缺失或难于理解之处，请立即联系我们。我们与本手册未来的广大读者一道，将感谢您所给出的反馈意见。

如果您使用过较早版本的《TISAX 参与者手册》，本手册末尾 章节 8, “文档历史” 中的备注可能会对您有所帮助。

我们的宗旨是指导您顺利完成 TISAX 评估流程，并为您解答可能遇到的任何问题。我们的联系方式如下：

您可在德国正常营业时间（UTC+01:00）内联系我们。

我们所有人均提供 英语和 德语服务。一位同事可提供 意大利语母语服务。

请注意 章节 7.13, “附录：投诉管理”。

《TISAX 参与者手册》已推出下列语言版本和格式：

换句话说，您阅读本手册的目的是什么？

为了回答这个问题，我们首先大致思考一下商业交易的规则，尤其是涉及到信息保护这方面。

想象您有一个合作伙伴，他手握机密信息，并希望与供应商，也就是您进行共享。您与这名合作伙伴之间的合作可以创造价值，而该合作伙伴与您共享信息，则是价值创造中的一个重要环节。所以，他想要采取适当的保护措施，并希望您本人也以同样谨慎的态度来处理保密信息。

然而，他如何能保证可以放心地将自己的信息交于他人？他总不可能盲目地去“相信”您。作为合作伙伴，需要眼见为实，方可证明对方有这个能力。

那么问题来了，由谁来定义信息处理的“安全”标准？以及如何证明自己符合标准要求？

第一次面对此类问题的，并非只有您与您的合作伙伴，几乎所有人都得努力寻求答案，而大多数答案都具有相似性。

针对一个常见的问题，与其每次都从头开始研究解决方案，不如制定出一套应对标准，从而化繁为简。确定一套标准虽然工作量巨大，但确是一劳永逸、造福后来者之举。

诚然，就保护信息而言，何为正确手段，人们众说纷纭；然而，从上述造福后来者的角度出发，大多数公司都倾向于制定标准，因为标准本身便是由那些已被前人证明、历经时间考验，且针对特定挑战的最佳实践所凝聚而成的精华。

就您的情况而言，遵循并实施 ISO/IEC 27001（关于信息安全管理体系，简称“ISMS”）等标准，将有助于建立最先进的防护体系，从而确保以安全的方式来处理保密信息。此类标准可为您省去许多不必要的重复性工作，更重要的是，有了标准后，当两家公司需要彼此交换保密信息时，便可在同等基础上开展这一工作。

从性质上来看，非行业标准更像是“一刀切”式的解决方案，无法满足汽车公司的特殊需求。

很久以前，汽车行业内部便成立了很多协会，它们的主要目标是，针对自身特殊需求，精准制定并优化相关标准。“德国汽车工业协会（VDA）”便是其中之一。当时，汽车行业的数位成员建立了信息安全工作小组，并最终一致认为，由于彼此间需求相似，因而有必要对现有的信息安全管理标准进行量身调整。

在各方的共同努力下，一份调查问卷应运而生，其中涵盖了汽车行业内普遍接受的信息安全要求，而该问卷便是“信息安全评估标准（ISA）”。

随着 ISA 面世，“谁来定义‘安全’标准？”这个问题也随之有了答案：由 VDA 来定，也就是说，由汽车行业自己来向其成员提供这一问题的答案。

有些公司仅在内部使用 ISA，而有些公司则利用 ISA 来对其供应商的信息安全管理体系成熟度进行评估。一般情况下，为建立业务关系，进行自我评估便足矣；然而，在某些情况下，公司会对其供应商的信息安全管理体系进行全面评估（包括现场审计）。

随着人们对信息安全管理需求意识的普遍提高，以及 ISA 作为信息安全评估工具得到广泛应用，越来越多的供应商正面临着来自不同合作伙伴的类似要求。

但是，这些合作伙伴采用的标准依然各不相同，对于如何解释标准也是说法不一。而供应商需要证明的事情则基本上是一样的，只是途径有别而已。

所以，一方面是合作伙伴不断督促供应商证明自己的信息安全管理体系符合特定等级要求，而另一方面，是供应商面对无休止的重复性劳动而怨声载道。毕竟，不停地给一个又一个审计人员展示相同的信息安全管理措施，绝非是高效的工作方式。

那么，该如何提高这一步骤的效率？如果一名审计人员的报告可以被不同的合作伙伴重复使用，是否会有助于改善情况？

负责 ISA 维护的 ENX 工作小组中的 OEM（原始设备制造商）与供应商在听取了各家供应商的不满和抱怨后，现在，针对“如何证明符合安全标准？”这个问题，为汽车行业的广大供应商及相关企业给出了如下答案。

这个答案便是 TISAX，全称为 “Trusted Information Security Assessment Exchange”（可信信息安全评估交换）。

TISAX 流程启动的标志通常^[1]是，您的某个合作伙伴要求您证明，自己的信息安全管理体系符合“信息安全评估标准（ISA）”特定等级的要求。为了满足该要求，您需要完成 TISAX 流程三大步骤。本章将为您简要介绍这些步骤。

TISAX 流程三大步骤包括：

每一步都包含若干子步骤，这些内容将在以下篇幅中分成三节进行讲解，每一节均详细描述其中一个步骤。

注册是参与 TISAX 评估的第一步。

TISAX 注册的主要目的，是采集关于您公司的信息。我们使用在线注册流程，来帮助您向我们提供该信息。

注册是所有后续步骤的先决条件，并需要缴纳费用。

在线注册过程中：

若要直接开始该步骤，请参见 章节 4, “注册（第 一步）”。

在线注册流程详见 章节 4.5, “在线注册流程”。 若想即刻开始，请前往 enx.com/en-US/TISAX/.

第二步是完成信息安全评估。

其中，包含四个子步骤：

有关该步骤的更多信息，请参见 章节 5, “评估（第 二步）”。

第三步，也就是最后一步，是与您的合作伙伴共享自己的评估结果。TISAX 评估报告的内容按照等级进行划分，您可自行决定合作伙伴有权查看哪一级别的内容。

评估结果的有效期为三年，假设届时您仍是合作伙伴的供应商，那么您需要再次完成上述三大步骤。^[3]

有关该步骤的更多信息，请参见 章节 6, “交换（第 三步）”。

至此，您已基本了解什么是 TISAX 流程；在后续章节中，您将进一步了解如何完成各个步骤。

注册是完成 TISAX 流程的第一步。注册是所有后续步骤的先决条件，

以下章节内容将带您完成注册这一步：

首先，我们为您介绍一个有必要理解的新术语。到目前为止，您的身份一直是“供应商”，阅读本手册的目的，是为了满足您的“客户”所提出的要求。然而，TISAX 本身并不区分这两种角色。对于 TISAX 而言，每一位注册人员都是“参与者”，也就是说，您与合作伙伴“参与”了信息安全评估结果的交换过程。

为了从一开始便区分这两个角色，我们将您（供应商）称作“主动参与者（active participant）”，将您的合作伙伴称作“被动参与者（passive participant）”。作为“主动参与者”，您接受 TISAX 评估，并与其他参与者共享自己的评估结果。“被动参与者”是要求您接受 TISAX 评估的人，也是您的评估结果的接收人。

每一家公司都可以扮演两种角色：您可能在与合作伙伴共享评估结果的同时，也要求自己的供应商接受 TISAX 评估。

如果您自己的供应商亦会接触您合作伙伴有保护需求的信息，那么强烈建议其也接受 TISAX 评估。

在本节中，我们将就如何针对注册流程进行准备，来为您提供相关建议。更多关于注册流程本身的信息，请参见 章节 4.5, “在线注册流程”。

在开始在线注册之前，我们强烈建议您：