Cuộc phỏng vấn với ông Robert Brown, Trưởng Bộ phận Ô tô Toàn cầu, BSI
TISAX® ISA2027 có chu kỳ phát hành dễ dự đoán hơn, yêu cầu rõ ràng hơn và chú trọng nhiều hơn vào an ninh chuỗi cung ứng. Chúng tôi đã hỏi ông Robert Brown về những thay đổi, thời điểm áp dụng các yêu cầu mới và những việc bạn nên làm ngay lúc này.
Các thông tin chính: Tiêu chuẩn Đánh giá An toàn Thông tin (ISA) TISAX® đã được cập nhật thành VDA ISA2027 vào ngày 1 tháng 7 năm 2026.
- TISAX® ISA sẽ được cập nhật hàng năm, công bố lại vào tháng 7 mỗi năm và có hiệu lực từ tháng 1 năm kế tiếp
- Từ ngày 1 tháng 1 năm 2027, ISA2027 sẽ trở thành danh mục đánh giá mặc định dành cho các hoạt động đánh giá TISAX® mới
- Các nhãn TISAX® hiện hành sẽ có hiệu lực cho đến ngày hết hạn được ghi trên nhãn
- Hoạt động đánh giá lại sẽ được thực hiện dựa trên phiên bản mới nhất của ISA
Tại sao TISAX® lại quan trọng đối với các tổ chức trong lĩnh vực ô tô?
TISAX® (viết tắt của Trusted Information Security Assessment Exchange – Hệ thống Trao đổi và Đánh giá An toàn Thông tin Đáng tin cậy) mang đến cho các nhà sản xuất và nhà cung cấp trong lĩnh vực ô tô một phương thức chung để đánh giá và trao đổi thông tin về an toàn thông tin. Điều đó có ý nghĩa rất quan trọng trong một lĩnh vực mà khối lượng lớn dữ liệu nhạy cảm được chuyển qua các chuỗi cung ứng toàn cầu phức tạp.
Chương trình đã phát triển nhanh chóng kể từ đợt đánh giá đầu tiên vào năm 2016. Ngày càng có nhiều nhà cung cấp Cấp 1 đang chuyển giao yêu cầu TISAX xuống cho các nhà cung cấp của họ.
Hiệp hội ENX, tổ chức điều hành TISAX® cho biết hiện có hơn 21.000 địa điểm đã được đánh giá và các cuộc đánh giá đó đã giúp xác định cũng như triển khai được hơn 100.000 cải tiến về an ninh. Hiện nay, đã có hơn 10 Nhà sản xuất thiết bị gốc (OEM) yêu cầu đánh giá TISAX® như một quy định bắt buộc, đồng thời sử dụng kết quả đánh giá này để đánh giá các đối tác kinh doanh và bảo vệ chuỗi cung ứng của mình trước các mối đe dọa về an toàn thông tin.
TISAX® ISA chính xác là gì?
ISA là từ viết tắt của Information Security Assessment, có nghĩa là Đánh giá An toàn Thông tin. Đây là danh mục yêu cầu được dùng làm cơ sở cho các hoạt động Đánh giá TISAX®.
Ban đầu, tiêu chuẩn này được biên soạn như một bản cải biên dành riêng cho lĩnh vực ô tô của tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27001. Hiện nay, ISA đã phát triển thành một tiêu chuẩn độc lập trong lĩnh vực, đồng thời vẫn duy trì sự nhất quán với các khuôn khổ an toàn thông tin được quốc tế công nhận.
Các đơn vị tham gia sử dụng ISA để chuẩn bị cho việc đánh giá và, nếu thành công, sẽ chia sẻ Kết quả Đánh giá TISAX® của mình với một số khách hàng và đối tác thông qua Cổng thông tin ENX.
Vậy, có những thay đổi gì đối với TISAX® ISA?
Câu trả lời ngắn gọn là ISA2027 làm cho danh mục này trở nên rõ ràng, nhất quán và phù hợp hơn với các rủi ro an ninh hiện nay.
Có 5 thay đổi chính nổi bật như sau:
- Việc đánh số phiên bản mới dựa trên năm. Tên gọi hiện sẽ cho biết thời điểm danh mục có hiệu lực. ISA2027 áp dụng cho các hoạt động đánh giá được đăng ký thực hiện trong năm 2027.
- Các bản đối chiếu được cập nhật. ENX đã cập nhật các bản đối chiếu theo Khung An ninh mạng NIST 2.0 và tiêu chuẩn ISO/IEC 27001:2022, làm rõ các bản đối chiếu theo ISA/IEC 62443 và xóa các mục tham chiếu tới ISO/IEC 27001:2013.
- Ngôn từ rõ ràng hơn. ENX đã rà soát lại cách diễn đạt, các bản dịch, định dạng và cấu trúc yêu cầu. Hiệp hội này cũng định nghĩa chính thức cụm từ “Các khía cạnh sau đây được xem xét”, theo đó, các tổ chức phải chủ động cân nhắc từng khía cạnh được liệt kê và giải thích về quyết định triển khai của họ trong quá trình đánh giá.
- Đảm bảo chuỗi cung ứng vững chắc hơn. Các tổ chức có nhu cầu bảo vệ ở mức cao cần phải lập văn bản, kiểm tra và giám sát chặt chẽ hơn việc tuân thủ của nhà cung cấp cũng như các bằng chứng hỗ trợ. Đối với nhu cầu bảo vệ ở mức rất cao, các nhà cung cấp cần chứng minh mức độ an toàn thông tin đầy đủ thông qua nhãn TISAX®, đánh giá tương đương của bên thứ ba hoặc quy trình đánh giá nhà cung cấp phù hợp.
- Quy trình Bảo vệ Mẫu thử được tái cấu trúc. 5 nhóm kiểm soát trước đây hiện được chia thành 2 lĩnh vực: Yêu cầu về tổ chức & An ninh vật lý và môi trường. Các biện pháp kiểm soát mới bao gồm khả năng truy xuất nguồn gốc và theo dõi vòng đời, cũng như quy trình thải bỏ, tái chế hoặc hoàn trả đối với các mẫu thử, linh kiện và công cụ được bảo vệ.
Lưu ý: Theo tài liệu so sánh đối chiếu chính thức của ENX, bảng câu hỏi về Bảo vệ Dữ liệu được giữ nguyên từ phiên bản ISA 6 đến ISA2027.
Khi nào các thay đổi đối với TISAX® ISA có hiệu lực?
ISA sẽ được cập nhật vào ngày 1 tháng 7 hàng năm và có hiệu lực từ ngày 1 tháng 1 của năm tiếp theo. Khoảng thời gian 6 tháng này cho phép các nhà cung cấp dịch vụ đánh giá được phê duyệt và các bên tham gia chuẩn bị sẵn sàng cho đợt đánh giá theo phiên bản mới.
ISA2027 trở thành danh mục mặc định cho các hoạt động Đánh giá TISAX® được ký hợp đồng từ ngày 1 tháng 1 năm 2027. Tuy nhiên, các hoạt động đánh giá đã ký hợp đồng trước ngày đó, hoặc có lịch đánh giá ban đầu (Giai đoạn 2) trước ngày 1 tháng 4 năm 2027, vẫn có thể được thực hiện theo tiêu chuẩn ISA 6. Ngày đăng ký phạm vi không quyết định phiên bản nào được áp dụng.
Bạn vẫn có thể thực hiện các hoạt động đánh giá đã đăng ký trước ngày 1 tháng 1 năm 2027 theo tiêu chuẩn ISA 6. ENX cũng đưa ra thông báo rằng tháng 3 năm 2027 là thời hạn cuối cùng để bắt đầu quy trình đánh giá ban đầu theo tiêu chuẩn ISA 6.
Đối với các hoạt động Đánh giá nhóm được đơn giản hóa và mở rộng phạm vi, phiên bản ISA dùng cho quy trình đánh giá ban đầu vẫn tiếp tục được áp dụng. Tất cả các địa điểm trong phạm vi phải được đánh giá theo cùng một phiên bản.
Chu kỳ phát hành hàng năm có đồng nghĩa với các hoạt động đánh giá hàng năm không?
Không. Đây là một điểm quan trọng. ENX dự kiến sẽ công bố các danh mục ISA trong tương lai theo định kỳ hàng năm, nhưng các nhãn TISAX® sẽ tiếp tục có hiệu lực trong thời hạn lên đến 3 năm.
Chu kỳ hàng năm cho phép danh mục phát triển theo những bước nhỏ hơn, dễ dự đoán hơn và không yêu cầu phải đánh giá lại hàng năm.
Trên thực tế, nhiều tổ chức sẽ chuyển đổi qua một số phiên bản ISA giữa các đợt đánh giá toàn diện.
Những đơn vị đã tham gia TISAX® cần phải làm gì?
Các đơn vị này không cần phải làm gì ngay lập tức. Nhãn TISAX® hiện hành của bạn vẫn còn hiệu lực cho đến ngày hết hạn.
Tuy nhiên, bây giờ là thời điểm thích hợp để xem xét thời hạn cho đợt đánh giá tiếp theo và xác định xem có bất kỳ yêu cầu nào của ISA2027 có thể ảnh hưởng đến tổ chức của bạn không. Phiên bản ISA dùng cho đợt đánh giá tiếp theo của bạn sẽ phụ thuộc vào thời điểm đăng ký; do đó, một số tổ chức có thể chuyển trực tiếp sang ISA2027, trong khi các tổ chức khác có thể chuyển sang một phiên bản thường niên mới hơn.
Các nhóm nên tập trung vào những hoạt động nào trong quá trình chuẩn bị?
Tôi sẽ bắt đầu với 4 hành động thiết thực:
- Tải ISA2027 và tài liệu so sánh đối chiếu của ENX xuống từ Cổng thông tin ENX.
- Đối chiếu các thay đổi với các biện pháp kiểm soát hiện có và phạm vi đánh giá của bạn.
- Xem xét các yêu cầu về Bảo vệ Mẫu thử và đảm bảo của nhà cung cấp.
- Cập nhật các chính sách, bằng chứng và đơn vị phụ trách nội bộ khi cần thiết.
Quan trọng không kém, hãy đảm bảo đội ngũ của bạn có thể giải thích được cơ sở hợp lý cho cách tiếp cận của họ. ISA2027 chú trọng nhiều hơn vào việc chứng minh rằng các quyết định đã được cân nhắc kỹ lưỡng và được lập văn bản rõ ràng.
ISA2027 có làm thay đổi quy trình đánh giá An ninh Mạng cho Xe (VCS) của ENX không?
Không trực tiếp thay đổi. ENX VCS, quy trình đánh giá an ninh mạng cho xe, là chương trình đánh giá riêng biệt dựa trên tiêu chuẩn ISO/SAE 21434.
Tuy nhiên, ENX cho biết bạn cần có nhãn TISAX® hợp lệ cho mọi địa điểm thuộc phạm vi đánh giá VCS vào thời điểm diễn ra cuộc đánh giá VCS.
Nếu bạn dự kiến sẽ thực hiện cả 2 hoạt động, hãy phối hợp lịch trình. Đảm bảo các nhãn TISAX® cần thiết vẫn còn hiệu lực và xác nhận phiên bản ISA nào sẽ được áp dụng cho bất kỳ hoạt động đánh giá TISAX® nào sắp tới.
Sau cùng thì ông có lời khuyên nào dành cho các đơn vị tham gia TISAX® không?
Hãy bắt đầu với các mốc thời gian quan trọng, sau đó tập trung vào những thay đổi sẽ mang lại tác động lớn nhất đối với tổ chức của bạn. Kiểm tra hạn sử dụng trên nhãn, ngày dự kiến đăng ký đánh giá, nhà cung cấp, nhu cầu bảo vệ và mọi hoạt động Bảo vệ Mẫu thử.
Xin lưu ý rằng ISA2027 là một bước phát triển chứ không phải lý do để bắt đầu lại từ đầu. Một đợt đánh giá GAP tập trung có thể giúp bạn bảo vệ những biện pháp kiểm soát đã và đang phát huy hiệu quả, đồng thời dành công sức cho các lĩnh vực đã có sự thay đổi.
Thực hiện bước tiếp theo
- Tải ISA2027 và tài liệu so sánh đối chiếu của ENX xuống – Xem lại danh mục chính thức và xác định những thay đổi liên quan đến phạm vi của bạn.
- Khám phá VDA ISA dựa trên chương trình đào tạo về TISAX® – Trang bị cho đội ngũ của bạn kiến thức về các yêu cầu của ISA và ISMS.
- Liên hệ BSI – Hãy thảo luận với đội ngũ của chúng tôi về thời điểm đánh giá và các ưu tiên cho mức độ sẵn sàng của bạn.
