블로그
운송 및 이동성

TISAX® ISA2027: 알아야 할 사항

TISAX®의 변화와 관련하여 가장 자주 묻는 질문에 대한 답변을 확인하세요.

BSI 자동차 부문 글로벌 책임자인 Robert Brown과의 인터뷰

TISAX® ISA2027은 더욱 예측 가능한 릴리스 주기와 명확한 요구사항을 제공하며, 공급망 보안에 대한 중점을 강화합니다. BSI는 Robert Brown에게 무엇이 변경되는지, 새로운 요구사항은 언제 적용되는지, 그리고 지금 어떤 작업을 수행해야 하는지 물어보았습니다.

핵심 사항: TISAX® 정보 보안 평가(ISA) 기준이 2026년 7월 1일에 VDA ISA2027로 업데이트되었습니다.

TISAX® ISA는 매년 업데이트되어 7월마다 새로 발행되며, 다음 해 1월부터 시행됩니다.
2027년 1월 1일부터 ISA2027이 신규 TISAX® 평가의 기본 평가 카탈로그가 됩니다.
기존 TISAX® 라벨은 명시된 만료일까지 유효합니다.
재평가는 최신 버전의 ISA를 기준으로 수행됩니다.

자동차 관련 조직에게 TISAX®가 중요한 이유는 무엇인가요?

TISAX®(Trusted Information Security Assessment Exchange)는 자동차 제조업체와 공급업체가 정보 보안 관련 정보를 평가하고 교환할 수 있는 공통된 방식을 제공합니다. 이는 방대한 양의 민감한 데이터가 복잡한 글로벌 공급망을 통해 이동하는 산업에서 매우 중요한 사안입니다.

이 제도는 2016년 첫 평가가 실시된 이후 빠르게 성장해 왔습니다. 이제는 점점 더 많은 1차 공급업체가 해당 공급업체에게도 TISAX 요구사항을 준수하도록 요구하고 있습니다.

TISAX®의 거버넌스 기구인 ENX 협회 보고서에 따르면 21,000개 이상의 비즈니스가 평가를 받았으며, 이러한 평가를 통해 10만 건이 넘는 보안 개선 사항이 식별되고 구현되었습니다. 오늘날 10개 이상의 OEM이 TISAX®를 의무화하고 있으며, 평가 결과를 활용해 비즈니스 파트너를 평가하고 정보 보안 위협으로부터 공급망을 보호하고 있습니다.

TISAX® ISA란 정확히 무엇인가요?

ISA는 정보 보안 평가(Information Security Assessment)의 약자입니다. 이는 TISAX® 평가의 기준으로 사용되는 요구사항 카탈로그입니다.

원래는 정보 보안 관리 표준인 ISO/IEC 27001을 자동차 산업에 맞게 적용하여 개발되었습니다. 현재 ISA는 국제적으로 인정받는 정보 보안 프레임워크와의 연계성을 유지하면서도 독립적인 산업 표준으로 발전했습니다.

참여 기업은 ISA를 활용해 평가를 준비하며, 평가를 성공적으로 완료하면 ENX 포털을 통해 특정 고객 및 파트너와 TISAX® 평가 결과를 공유합니다.

그렇다면 TISAX® ISA에는 어떤 변화가 있을까요?

간단히 말해, ISA2027은 요구사항 카탈로그를 더욱 명확하고 일관성 있게 작성했으며, 오늘날의 보안 리스크에 더 잘 부합하도록 개선했습니다.

다섯 가지 주요 변경 사항이 중요합니다.

연도 기반의 새로운 버전 관리. 이제 이름만으로 해당 카탈로그가 언제부터 적용되는지 알 수 있습니다. ISA2027은 2027년에 의뢰된 평가에 적용됩니다.
매핑 업데이트. ENX는 NIST 사이버보안 프레임워크 2.0 및 ISO/IEC 27001:2022에 대한 매핑을 업데이트하고 ISA/IEC 62443의 매핑을 명확히 했으며, ISO/IEC 27001:2013에 관한 참조를 삭제했습니다.
명확한 용어 사용. ENX는 문구, 번역, 서식 및 요구사항 구조를 검토했습니다. 또한 ‘다음 사항을 고려해야 함’이라는 문구를 공식적으로 정의했으므로 조직은 나열된 각 사항을 의식적으로 고려하고 평가 과정에서 이에 대한 구현 결정 내용을 설명해야 합니다.
공급망 보증 강화. 높은 수준의 보호가 필요한 조직은 공급업체 컴플라이언스와 이를 뒷받침하는 증거를 더욱 면밀히 문서화, 검토 및 모니터링해야 합니다. 매우 높은 수준의 보호가 필요한 경우, 공급업체는 TISAX® 라벨, 이와 동등한 제3자 평가 또는 적절한 공급업체 심사를 통해 충분한 정보 보안을 입증해야 합니다.
프로토타입 보호 체계 개편. 이전의 5개 통제 그룹이 2개 도메인으로 통합되었습니다. 조직적 요구사항과 물리적 및 환경적 보안. 새로운 통제 항목에는 추적성 및 수명주기 추적뿐만 아니라 보호 대상 프로토타입, 부품 및 도구의 폐기, 재활용 또는 반납에 관한 내용이 포함됩니다.

참고: 공식 ENX 변경 사항 비교에 따르면, 데이터 보호 설문지는 ISA 6과 ISA2027 간에 변경된 내용이 없습니다.

TISAX® ISA 변경 사항은 언제부터 적용되나요?

ISA는 매년 7월 1일에 업데이트되며, 다음 해 1월 1일부터 적용됩니다. 이 6개월의 기간은 승인된 심사 제공자와 참여 기업이 새 버전에 따른 평가를 준비할 수 있도록 설정되었습니다.

ISA2027은 2027년 1월 1일 이후 계약된 TISAX® 평가의 기본 카탈로그가 됩니다. 그러나 해당 날짜 이전에 계약된 평가이거나 2027년 4월 1일 이전에 예정된 최초 평가(스테이지 2)의 경우에는 여전히 ISA 6를 기준으로 수행될 수 있습니다. 평가 범위 등록일은 적용되는 버전을 결정하지 않습니다.

2027년 1월 1일 이전에 의뢰된 평가는 여전히 ISA 6를 기준으로 수행할 수 있습니다. 또한 ENX는 2027년 3월이 ISA 6에 따른 최초 평가를 시작할 수 있는 마지막 시기라고 밝혔습니다.

간소화된 그룹 평가 및 범위 확장의 경우, 최초 평가에 사용된 ISA 버전이 계속 적용됩니다. 범위 내의 모든 비즈니스는 동일한 버전을 기준으로 평가받아야 합니다.

연간 릴리스 주기가 매년 평가를 받아야 한다는 의미인가요?

아닙니다. 이는 중요한 부분입니다. ENX는 향후 ISA 카탈로그를 매년 발행할 계획이지만, TISAX® 라벨의 유효 기간은 최대 3년으로 계속 유지됩니다.

연간 주기를 통해 카탈로그를 더 작고 예측 가능한 단계로 발전시킬 수 있습니다. 매년 재평가를 받아야 할 필요성을 만들지는 않습니다.

실제로 많은 조직이 전체 평가를 수행하는 사이에 여러 ISA 버전을 거치게 될 것입니다.

기존 TISAX® 참여 기업은 어떤 작업을 수행해야 하나요?

즉시 취해야 할 조치는 없습니다. 기존 TISAX® 라벨은 만료일까지 유효합니다.

그러나 지금은 다음 평가 시기를 확인하고 조직에 영향을 미칠 수 있는 ISA2027 요구사항을 파악하기에 좋은 시기입니다. 다음 평가에 사용될 ISA 버전은 의뢰 시점에 따라 달라지므로 일부 조직은 ISA2027로 직접 전환할 수 있고, 다른 조직은 이후의 연간 버전으로 이동할 수도 있습니다.

팀은 준비 과정에서 어디에 중점을 두어야 하나요?

다음과 같은 네 가지 실질적인 작업으로 시작하는 것이 좋습니다.

ENX 포털에서 ISA2027과 ENX의 변경 사항 비교를 다운로드합니다.
변경 사항을 기존 통제 항목 및 평가 범위와 매핑합니다.
공급업체 보증 및 프로토타입 보호 요구사항을 검토합니다.
필요한 경우 정책, 증거 및 내부 소유권을 업데이트합니다.
중요한 점은 팀이 접근 방식에 대한 근거를 설명할 수 있어야 합니다. ISA2027은 의사 결정이 의식적으로 검토되고 문서화되었음을 입증하는 데 더 큰 비중을 둡니다.