《TISAX 参与者手册》

范围描述规定了评估工作的范围。您需要从以下两种范围类型中选择一种：

标准范围是开展 TISAX 评估的基础，其他 TISAX 参与者也仅接受基于标准范围描述的评估结果。

标准范围是预先定义好的，无法更改。如果您希望使用自定义范围，则可以为您的评估选择“扩展型范围”或“缩减型范围”。

使用标准范围的好处是，您无需自己定义范围。

以下是标准范围的描述：^[7]

我们强烈建议选择标准范围，因为所有 TISAX 参与者都接受基于标准范围作出的信息安全评估结果。

在确定了范围类型后，下一个任务便是决定哪些公司地点属于评估范围。

如果您的公司规模不大（仅一处地点），那便好办，您只需将公司地点添加到评估范围即可。

如果您的公司规模较大，则应考虑注册一个以上的评估范围。

您可以注册一个囊括所有公司地点的单一范围，这样做的好处是：

然而，单一范围也有缺点，比如：

是选择一个范围还是选择多个范围，这个问题只能留给您自己。然而，通过回答下图中的问题，可有助于您做出决定。

现在，您已经确定哪些地点属于评估范围，接下来，您可以着手收集与地点相关的信息。

对于每一处地点，我们都要求提供相应的信息，如公司名称和地址。另外，我们还需要您提供一些附加信息，以便我方的 TISAX 审计服务提供商能够更好地了解您公司的结构。您提供的信息将是其开展评估工作的基础。

针对您公司的各个地点，请准备好提供以下信息（红色星号 *表示在线流程中的必填信息）：

对于每个地点，您必须指定一个“location name” ( 地点名称)。地点名称的作用是，在将地点分配给评估范围时，更容易对其进行引用。

我们建议，根据以下格式来指定地点名称：

对于每个范围，您必须指定一个“scope name” ( 范围名称)。范围名称的作用是，在进行与 TISAX 相关的交流（例如，与您的 TISAX 审计服务提供商）时，能够更容易引用有关范围。

您可以指定任意范围名称，但不要为一个以上的范围分配相同的范围名称。

如果以后想要更新 TISAX 评估，您到时要创建一个新范围（可能与当前范围完全相同）。因此，我们建议将评估年份添加到范围名称中。

我们建议，根据以下格式来分配范围名称：

为了与您保持沟通，我们会收集您公司的联系人信息。

我们通常要求您公司至少要指定一名联系人来作为 TISAX 参与者，并为每一个评估范围相应指定一名联系人。另外，您还可以添加其他联系人。

在注册准备期间，您应当决定自己公司的联系人人选。

我们需要以下联系人信息：

TISAX 的主要目的，是向其他 TISAX 参与者发布您的评估结果，并与您的合作伙伴共享评估结果。

您可在注册过程中或以后的任何时候决定是否发布和共享您的评估结果。

如果您想从“占据先手”这一角度出发来参与 TISAX 流程，那么您已经可以决定将评估结果向其他 TISAX 参与者发布。否则，您无需针对该阶段进行准备。

如果您的合作伙伴要求您完成 TISAX 评估流程，那么，您迟早要共享评估结果。在注册期间，您已经可以与合作伙伴共享状态信息。一旦您拿到了评估结果，合作伙伴将自动拥有访问权限。^[9]

若要共享状态信息，您需要两项信息：

因此，您可能希望确保自己已掌握上述信息。

有关发布和共享评估结果的详细信息，请参阅 章节 6, “交换（第 三步）”。

目前，有八大 TISAX 评估对象。您需要选择至少一个评估对象，也可以选择多个。

请将评估对象视为对您的信息安全管理体系进行评估的基准，因为评估对象是 TISAX 流程的关键输入。所有 TISAX 审计服务提供商的评估策略都主要基于评估对象。

目前，TISAX 评估对象如下所示：

示例：如果您正在公路上进行试驾，那么序号 7“试验车处理（Handling of test vehicles）”便是您的评估对象之一。

在下方的插图中，我们将使用图表形式，来展示 TISAX 八大评估对象。此外，我们将使用缩略语，来实现更直观的视觉效果。

每个评估对象都对应了 ISA 目录中的某个标准。

例如：对于具有较高或极高保护需求的“信息”评估对象，其对应的均是 ISA 目录中的“信息安全”标准。这两个评估对象的 Excel 表也是相同的。您可以根据对每项要求（在相应副标题“关于（极）高保护需求情形的其他信息”）的描述，来相应区分（高、极高）这两个保护需求；请见章节 5.2.2, “看懂 ISA 文件”。

要进一步了解 TISAX 评估对象与 ISA 标准目录和评估级别之间的关系，请参阅 章节 5.2.2, “看懂 ISA 文件”。

您的合作伙伴可能会提起“TISAX 标签”，而“评估对象”和“TISAX 标签”基本上是一回事。不同点在于，评估过程刚开始时会有“评估对象”，如果通过了评估，则您会收到相应的“TISAX 标签”。

示例：您的合作伙伴要求您获得 TISAX标签“保护需求较高的信息（保护需求较高的信息）”。然后，您选择“保护需求较高的信息（保护需求较高的信息）”作为评估对象。

下图为您展示了 TISAX 流程的输入和输出：

有关 TISAX 标签的更多信息，请参阅 章节 5.4.13, “TISAX 标签”。

评估对象“保护需求较高的信息（保护需求较高的信息）”是 TISAX 评估的必选项。在此基础上，其他评估对象为可选项。然而，根据您所处理的信息性质，您可能需要添加其他评估对象。在下文中，您将进一步了解自己可能需要哪些评估对象。

有些评估对象与其他对象之间有依存关系：比如，评估对象“保护需求较高的信息（保护需求较高的信息）”或“保护需求 极高的信息（保护需求极高的信息）”是其他所有评估对象的基础。

示例：如果您需要评估对象“原型零部件保护（原型零部件）”达标，那么您需确保基础评估对象“保护需求较高的信息（保护需求较高的信息）”亦同时达标。在下文中，您将进一步了解这种依存关系。

理想情况下，您的合作伙伴会准确地告诉您哪些评估对象必须达标。

在下列情况下，您应根据自己的判断来选择评估对象：

如果您需要根据自己的判断来选择评估对象，以下建议可能会对您有所帮助：

补充说明：

您的合作伙伴拥有不同类型的信息，有些信息的保护级别可能需要高于其他信息。为了应对这种情况，ISA 标准定义了三大“保护需求”( Protection needs)：正常（normal）、高（high）和极高（very high），来对信息进行区分。您的合作伙伴可通过对自己的信息进行分类，从而相应确定保护需求。

TISAX 评估对象与 ISA 标准目录在“高（high）”或“极高（very high）”这两个保护需求上是一一对应的。

保护需求越高，您的合作伙伴就越希望确保能够放心地让您处理他们的信息。因此，TISAX 定义了三大“评估级别（Assessment Level，简称 AL）”。评估级别规定了我们的 TISAX 审计服务提供商所执行的审核深度，以及其使用的审计方法。简单来说，评估级别越高，相应的评估强度就越高，使用的评估方法也就越高级。

评估级别 1（AL 1）：

评估级别 1 主要针对公司内部用途，是真正意义上的自我评估( self-assessment)。

为确认是否符合该级别（级别 1），审计人员只会检查是否存在完整的自我评估结果，但不会对自我评估的内容进行评估，甚至也不会要求提供进一步的证据。

该级别（级别 1）的评估结果可信度低，因而不被 TISAX 采纳。但是，您的合作伙伴仍然完全有可能会要求您在 TISAX 评估的框架之外，额外完成这样一份自我评估。

评估级别 2（AL 2）：

为确认是否符合该级别（级别 2），审计服务提供商会对您的自我评估结果（针对评估范围内的所有地点）执行合理性检查。此外，审计服务提供商还会检查相关的证据^[11]，并约您以及其他同事谈话。

审计服务提供商通常以电话会议的形式完成谈话过程，您亦可要求其与您进行面对面谈话。

该评估级别（级别 2）一般不包含现场检查。但如果您选择了其中一个“原型”评估对象，则评估过程将总是包含一次现场检查。

如果某些证据材料不方便寄给审计服务提供商，则可要求其进行现场检查。这样一来，审计服务提供商依然可对这类“仅供内部使用”的证据执行检查。

评估级别 3（AL 3）：

为确认是否符合该级别（级别 3），审计服务提供商会执行评估级别 2 所要求的所有检查，只不过，相关检查的范围会更广，并且审计服务提供商将通过深入开展现场检查以及面对面谈话等形式，来全面核查您的自我评估结果。

下表中简要列出了与各评估级别相对应的审计方法：

补充信息：

选择 TISAX 并不一定意味着，您所有的供应商都要满足同样的要求。如果您的评估对象为“信息安全——保护需求极高”，那么这并不是说，您的供应商都要在相同的评估对象方面达标，更不是说他们都需要获得 TISAX 标签。

只不过，您仍需自行审核并判断，使用供应商所提供的服务是否会增加风险，或带来新风险。

两个非常简化的示例：

然而，经过风险评估后，有可能出现您的供应商亦需满足针对“极高保护需求”的要求这一情况。此时，TISAX 标签便是一种可为您提供相应证明的可选方案。

参与者 ID 的特点：

范围 ID 的特点：

当前，ISA 有三大“标准目录”^[17]：

每一个标准目录都有对应的 Excel 表：

ISA 的核心是“信息安全”这个标准目录。无论是哪一次 TISAX 评估，这个标准目录中的问题总是必选项。

而另外两大标准目录则为可选项，其是否适用于评估，取决于您的评估对象。

前述提到的评估对象与这些标准目录呈对应关系：

示例：如果您选择了评估对象“数据保护”，则必须回答“信息安全”和“数据保护”这两个标准目录中的问题。

您可能注意到了，每个标准目录所对应的评估对象不止一个。那么，如何知道哪些要求适用于哪个评估对象？

下表将为您展示所适用的要求：

以下截图展示了每个标准目录中相关问题的主要元素。我们将在下文中逐一解释这些元素。

每个标准目录都以章节形式对问题进行分组。

例如：“4 身份识别与访问管理”

分组依据的是信息安全管理体系的多个方面。

针对每一个标准目录，您可在相应的 Excel 表中看到该问题。

例如：“4.1.2 用户在访问网络服务、IT 系统及 IT 应用时，其安全性保障程度如何？”

“控制”问题亦称作“控制点”，是“审计人员行话”。ISA 所依据的 ISO 标准使用“控制”一词。

在“Maturity level” ( 成熟度等级) 列和 “Control question” ( 控制问题) 列之间，是您在进行自我评估时需要填写的表单字段：

只有“实施描述”和“参考文件”为必填项。上述信息将有助于我们的 TISAX 审计服务提供商更好地了解您的公司，从而更有针对性地准备评估工作。

为了支持您开展自我评估，以下几列信息可供您参考：

“控制问题（Control question）”列的右侧是“目标（Objective）”列（J 列）。该栏内容描述了，为了在所提到的方面使您的信息安全管理符合要求，您需要具体做什么。

示例（针对控制问题 4.1.2）：“只有经过安全识别（验证）的用户才能访问 IT 系统。鉴于此，将通过适当的流程来确认用户的身份，从而确保访问安全。”

要求是指为了实现目标而需要满足的条件。

相关要求分布在以下四列中：

根据您需要达到的保护需求（可参考您的评估对象），您应当相应满足所有的要求。

欲进一步了解 ISA 对要求等级“必须（must）”和“应当（should）”的定义，请参见 Excel 表“定义（Definitions）”中的“关键术语（Key terms）”。

针对您的信息安全管理体系，ISA 使用“maturity levels” ( 成熟度等级) 这个概念来对其各个方面的质量水平进行评级。您的信息安全管理体系越复杂，其成熟度等级就越高。

ISA 区分六种不同的成熟度等级，您可在 Excel 表“Maturity levels” ( 成熟度等级) 中查看详细定义。为了以直观的方式了解各个成熟度等级，我们在此引用 ISA 中给出的非正式描述：

您应当按照各个问题，来对您信息安全管理体系的成熟度等级进行评估。在“Maturity level” ( 成熟度等级) (E 列) 这一列中输入您的成熟度等级。

欲进一步了解目标成熟度等级，及其对您评估结果的影响，请参见章节 5.2.4, “解读自我评估结果”.

有了进一步的了解之后，您便可准备开始进行自我评估了。

您的结果得分是对自我评估结果的总结。

您可在 Excel 表“结果”（Results，ISA5）（D6 单元格）中查看结果得分（“回归至目标成熟度等级的结果”）。我们将稍后解释什么是“回归”。

为了理解并随后对您的自我评估结果和结果得分进行解读，您需要区分两种类型的分析级别：

下图中展示了这两个分析级别：

下图展示了在何处可以看到 分数级和 问题级的结果。

下图直观展示了分析级别、 ISA 目标定义以及 您本人的结果：

以下章节对结果及其分析进行了详细的阐述。

ISA 为每个问题所规定的“目标成熟度等级”为 3。

欲进一步了解各个成熟度等级的定义，请参见章节 5.2.2, “看懂 ISA 文件”。

ISA 在 Excel 表“结果”（Results，ISA5）中（从 G 列、第 22 行开始，见下图）对目标成熟度等级进行了定义。

为了获得 TISAX 标签，您通常需要使每个问题的成熟度等级等于或者高于目标成熟度等级。

示例：如果问题 X 的目标成熟度等级为“3”，则您针对该问题的成熟度等级也应当为“3”或者更高。但是，如果您的成熟度等级在“3”以下，那么就有可能无法获得 TISAX 标签。

这一点只适用于单个问题，比如说，如果两个问题的目标成熟度等级都是“3”，而您针对其中一个问题的成熟度等级是“2”，另一个为“4”，那么，您不能采用“取高补低”的做法，让两个成熟度等级都达到“3”。

ISA 文件会自动将您的成熟度等级从 Excel 表“信息安全”（E 列）转移到 Excel 表“结果”（Results，ISA5）（从 H 列、第 23 行开始）中：

在 ISA 文件总结您的成熟度等级，并将之体现在得分结果中之前，会对其进行计算。一个基本原则是，您的成熟度等级会“回归”到目标成熟度等级。这样做是为了防止一旦您针对某些问题的成熟度等级高于目标成熟度等级，而针对另一些则低于目标成熟度等级，从而出现两者之间“取高补低”的情况。

以下是 ISA 计算结果（问题级）的方式：

示例（见下图）： 目标成熟度等级为“3”，而 您的成熟度等级为“4”。因此，针对该问题，您的“回归结果”将为“3”。

在下图中可以看到，如果您的成熟度等级高于目标成熟度等级，ISA 将执行回归操作（图中的绿色、橙色和红色对应了“结果”列中使用的颜色，请见插图 21, “Excel 表“结果”（Results，ISA5）中您的成熟度等级”）。

以下是另一种查看成熟度等级（问题级）的方式。圆圈的颜色代表目标成熟度等级，或与它之间的“距离”（例如，如果成熟度等级比目标成熟度等级低“1”级，则用橙色圆圈表示）。对勾则代表您的成熟度等级。

ISA 定义了一个“理想”的总体成熟度等级——即“最高结果得分”（或“最高得分”，G6 单元格）。

理论上来说，该总体成熟度等级是所有目标成熟度等级（问题级）的平均值，也就是最高结果得分为“3.0”。

然而，该值为“3.0”的前提条件是，所有问题均适用于您的具体情况。一旦某个问题不适用于您的情况，那么平均值就会发生变化，最高结果得分将低于“3.0”。

根据上图（插图 24, “成熟度等级（问题级）”）所示，再参照下图，您可以看到最高结果得分平均值的变动轨迹：

您的总体结果得分（“回归至目标成熟度等级的结果”，D6 单元格）：

同样，根据上图（插图 24, “成熟度等级（问题级）”）所示，再参照下图，您可以看到结果得分平均值的变动轨迹：

通过结果得分，您可以看到：

如果您的结果得分（“回归至目标成熟度等级的结果”）在“3.0”以下，则说明至少在一个问题上，您的成熟度等级未达到目标成熟度等级。在这种情况下，为做好接受 TISAX 评估的准备，您或许应首先对自己的信息安全管理体系进行改进。

上述分析的目的是让您了解自己是否已准备好接受 TISAX 评估。

如果您的结果得分（“回归至目标成熟度等级的结果”）为（接近于）“3.0”，那么毫无疑问，您已具备接受 TISAX 评估的资格。在这种情况下，“结果”列（H）中的所有值均为绿色（无橙色或红色）。

如果不是绿色，那么您需要对自我评估结果进行分析总结（请参见 章节 5.2.5, “分析并总结自我评估结果”）。

下图中展示了 Excel 表“结果”（Results，ISA5）中的 ISA 蜘蛛网图。 绿线表示每一章对应的目标成熟度等级。如果您的成熟度等级 恰好达到或超过该线，则表明您已经可以接受 TISAX 评估了。反之，如果在该线 以下，则说明您的条件还不足以获得 TISAX 标签。

如果您将 ISA 蜘蛛网图“展开”到问题级，则会获得类似的 绿色/红色视图（问题级）：

与所有 TISAX 评估一样，初始评估开始的标志是召开正式立项会议。与其他 TISAX 评估类型不同的是，该会议期间所讨论的事宜最为全面，因为这也是首次与您的审计服务提供商进行互动。正式立项会议通常以电话或视频会议的形式进行。

会议的目的是：

待检查的评估前提条件有：

评估计划包括：

审计服务提供商将依据准备工作计划，来相应执行初始评估。具体评估过程将视您的评估对象而定。评估形式主要包括电话会议、现场约谈以及现场检查，其所涉及的评估深度各不相同。^[28]。

在初始评估期间，审计服务提供商将介绍所有的评估发现。

在结项会议上，审计服务提供商将再次总结所有的评估发现。

在结项会议之后，审计服务提供商会准备并向您发送“TISAX 报告”（草稿版）。如果您认为，审计服务提供商在某些事项上存在误解，则您可以提出异议。^[29]之后，审计服务提供商将正式签发“TISAX 报告”。

在此阶段，整体评估结果的状态有可能是：

如果在初始评估阶段，您的整体评估结果就已经为“符合”，那么您可跳过其余评估环节，直接前往评估结果“交换”这一步。

如果您的整体评估结果为“重大不符合”，那么您接下来的任务便是相应制定计划，对照评估发现进行纠错整改，并消除审计服务提供商所发现的漏洞。这项计划被正式称为“纠正行动计划”( “corrective action plan”).

执行“纠正行动计划评估”的先决条件为：

“纠正行动计划评估”并非一定是一项独立进行的活动。在初始评估的结项会议上，您便已经可以选择展示您的“纠正行动计划”。在此情况下，审计服务提供商可直接执行“纠正行动计划评估”。

如果您将“纠正行动计划评估”与初始评估结合执行，并且您的“纠正行动计划”符合要求，那么您可以与审计服务提供商商议，无需再出具“初始评估报告”。反之，审计服务提供商将着手准备“纠正行动计划评估报告”。该报告可让您直接获得 TISAX 临时标签。

审计服务提供商将参照以下要求来评估您的“纠正行动计划”：

如果您的整体评估结果为“轻微不符合”，则可获得 TISAX 临时标签。

TISAX 临时标签的优点是，它通常被您的合作伙伴接受；但前提是，您之后会顺利获得 TISAX 正式标签。如果您急需向合作伙伴证明，您的信息安全管理体系运作符合要求，则该标签会对您有所帮助。

获得 TISAX 临时标签的前提条件是，已出具纠正行动计划评估报告，且整体评估结果为“轻微不符合”。

关于有效期期限，TISAX 临时标签：

一旦所有纠正行动落实完毕，您便可请求执行“后续工作评估”。

您的审计服务提供商可执行后续工作评估的最长时限为：初始评估结项后九个月内。^[32]

如果您不需要 TISAX 临时标签，便可直接请求执行“后续工作评估”。您不一定非要先进行“纠正行动计划评估”，然后再执行“后续工作评估”。

如果您需要 TISAX 临时标签，那么您应该希望确保在获得 TISAX 正式标签之前，不会出现什么意外。因此，我们建议您在“最迟可用日期”^[33]。 这样一来，一旦在后续工作评估期间发现了轻微不符合项，您将有足够的缓冲时间来解决问题。

评估对象与相应 TISAX 标签之间的对应关系十分直接。此外，某些 TISAX 标签之间存在上下级关系，这一点亦十分重要。换句话说，如果您获得了某个 TISAX 标签，您将自动获得该标签所对应等级“之下”的所有 TISAX 标签。

示例（使用缩略标签名称）：如果您的评估对象为“信息——极高保护需求（Info very high）”，那么您将相应获得 TISAX 标签“Info very high”。但由于评估对象“信息——极高保护需求（Info very high）”是“信息——高保护需求（Info high）”的扩展，因而您也将自动获得 TISAX 标签“Info high”。

可能并非每一位参与者都会注意到这一点。但想象一下，您的一位合作伙伴要求您出示 TISAX 标签“Info very high”，而另一位合作伙伴则要求提供标签“Info high”。这种情况下，同时拥有两个 TISAX 标签就轻松得多，因为没有人需要明白，“Info high”是“Info very high”的子集。对于那些要求提供 TISAX 标签来相应满足严格的采购流程要求的合作伙伴来说，这一点尤为重要。这样一来，关于“Info very high”是否要“好于”“Info high”，您亦无需另作解释，只需出示您所有的 TISAX 标签即可。评估执行人员可以很容易发现是否有“Info high”这个“强制性”标签，从而在相应要求前打勾。

通常，TISAX 标签的有效期为三年。该有效期限自评估流程结束之时（亦有可能在 TISAX 报告签发之前）算起。

如果涉及 TISAX 评估范围变更等重大事宜，则上述期限有可能会缩短。

例如：公司迁址、添加地点。（关于如何应对此类情形，请参见 章节 7.8.4, “地址变更” 以及章节 7.8.5, “添加地点（范围扩展评估）”。）

为了保证 TISAX 标签长期有效，应当每三年换发一次。^[36]

为此，您需要再次完成 TISAX 评估流程（注册评估范围、接受 TISAX 评估、共享评估结果）。只不过，注册过程会更加容易，因为您无需重新将公司注册为“TISAX 参与者”。另外，您依然可以使用此前录入 TISAX 数据库的所有联系人和评估地点。

现在，您已经获得了 TISAX 标签，可以前往下一步骤，即与合作伙伴进行共享。