企业TISAX认证--从0到1设施指南(2)保姆级教程
内容提要
本文介绍了TISAX认证的详细过程，包括ISA文件内容和评估阶段。自评估需要确认评估等级、注册、自评估和提交预评估。机构评估包括审核申请、制定计划、审核和出具报告。最后，提到了整改计划和获得正式标签的过程。
延伸解读
ISA文件：自评估的核心工具
ISA文件是TISAX自评估的基础，包含信息安全、原型保护和数据保护三大标准目录。企业需根据评估对象选择对应的标准目录，并回答相关问题。例如，选择“数据保护”评估对象时，必须同时回答信息安全和数据保护两个目录的问题。ISA文件中的每个问题都有目标成熟度等级，企业需确保自身成熟度等级达到或超过目标等级，才能有望获得TISAX标签。
成熟度等级：不能“取高补低”
ISA采用六种成熟度等级来评估信息安全管理体系的质量水平。每个问题都有目标成熟度等级，通常为3级。企业需注意，不能用一个问题的高成熟度等级来弥补另一个问题的低成熟度等级。如果某个问题的成熟度等级低于目标值，即使其他问题表现优异，也可能无法通过评估。因此，企业需确保每个问题都达到目标成熟度等级。
评估结果与标签获取
机构评估后，会根据不符合项的类型出具审核报告。重大不符合项必须立即整改，否则无法获得标签；轻微不符合项可获得临时标签，有效期为九个月，需在期内完成整改；观察意见和改进建议则需企业自行评估处理。整体评估结果为“符合”可直接获得正式标签，“轻微不符合”可获得临时标签，“重大不符合”需整改后才能获得标签。
持续认证与三年周期
TISAX认证并非一次性任务，每三年需要重新认证。续证时，企业需再次完成注册、评估和交换流程，但注册过程会更简便，因为无需重新注册为“TISAX参与者”，且可沿用之前的联系人和评估地点。企业应将TISAX认证视为持续改进信息安全体系的过程，而非仅仅为了获取标签。
Q&A
TISAX认证的主要目的是什么？
TISAX认证旨在建立汽车制造商、供应商和评估机构之间的信任机制，以应对信息安全风险。
TISAX认证的流程包括哪些步骤？
TISAX认证流程分为注册、评估和交换三个步骤。
自评估阶段需要做哪些准备？
自评估前需确认评估等级、注册、进行信息安全管理体系调整，并下载理解ISA文件。
机构评估的主要步骤是什么？
机构评估包括审核申请、制定计划、审核和出具报告，企业需根据整改计划进行整改。
整改计划的作用是什么？
整改计划用于解决评估中发现的轻微不符合项，以便企业能够获得TISAX标签。
TISAX认证的有效期是多久？
TISAX认证每三年需要重新认证，以保持认证的有效性。
