Évaluation de la sécurité de l'information automobile (TISAX)

TISAX (Trusted Information Security Assessment Exchange) est un mécanisme permettant la reconnaissance mutuelle des évaluations de sécurité de l'information dans le secteur automobile. Il est basé sur le catalogue de questions VDA ISA. Il ne s'agit PAS d'un système de certification : le résultat est un label TISAX, pas un certificat, et le label est partagé via le portail ENX. L’objectif est d’empêcher chaque OEM d’auditer séparément le même fournisseur.

• Fournisseurs recevant des prototypes, des données de conception ou des données personnelles des OEM
• Entreprises fournissant des services d’ingénierie et de conception automobiles
• Organisations fabriquant des pièces prototypes et effectuant des tests
• Fournisseurs de logiciels automobiles et de services informatiques

Pas obligatoire ; il est effectivement requis dans les contrats OEM et Tier 1. Le niveau d'évaluation (AL 1, 2, 3) est déterminé par les besoins de protection des informations traitées : AL 2 est à distance/basé sur des documents, tandis que AL 3 comprend un audit sur site et un examen plus approfondi des preuves.

• VDA ISA — Sécurité de l'information : politique, organisation, gestion des actifs, contrôle d'accès, cryptographie, sécurité physique, sécurité des opérations, communications, relations fournisseurs, gestion des incidents, continuité, conformité
• VDA ISA — Protection des prototypes : sécurité physique et environnementale, gestion des accès, transport et protection lors des tests et des événements
• VDA ISA — Protection des données : exigences supplémentaires pour le traitement des données personnelles (liées à l'alignement du RGPD)
• Notation au niveau de maturité et atteinte de la maturité cible
• Détermination du niveau d'évaluation (AL 1/2/3)
• Inscription sur le portail ENX, définition du périmètre et partage du label

1. 1Détermination de la portée et du programmeLes sites et les processus à auditer, ainsi que la durée de l'audit requise par le programme, sont déterminés.
2. 2Pré-évaluationUne analyse des écarts est éventuellement effectuée ; les lacunes deviennent visibles avant l’audit principal.
3. 3Audit sur siteL'examen des dossiers, l'observation du site et les entretiens avec les travailleurs sont effectués par rapport à la liste de contrôle du programme.
4. 4Restitution des constatsLes résultats sont rapportés selon la classification du programme. Le résultat de ces programmes est un rapport d’audit et non un certificat.
5. 5Actions correctives et suiviUn plan d'actions correctives est soumis aux constats ; il est clôturé par un audit de suivi dans le cadre du programme.

La durée de validité des rapports d'audit est fixée par le régime et se situe généralement entre un et deux ans. Le rapport est utilisé pour la période acceptée par la marque acheteuse.

• Détails de l'organisation et du site
• Effectif et répartition des équipes
• Permis et licences légaux
• Politiques et procédures pertinentes
• Registres de paie, de temps et du personnel

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

• Le nombre de sites à auditer et l'effectif
• La durée d’audit prescrite par le programme
• Si une pré-évaluation (analyse des lacunes) est demandée
• Si un audit de suivi est requis

La plupart de ces systèmes produisent des rapports d'audit, et non des documents, et sont soumis au propre système d'approbation du propriétaire du système (par exemple Sedex, amfori, RBA) ; L'accréditation au sens classique du terme n'est pas présente dans tous les systèmes. La compétence de l'auditeur et la validité du rapport sont déterminées par les règles du propriétaire du système.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

• ISO 26262Sécurité fonctionnelle
• ISO/SAE 21434Cybersécurité des véhicules
• SOC 1Contrôles des rapports financiers
• SOC 2Contrôles de confiance de l'organisation de services
• PCI DSSSécurité des données des cartes de paiement
• IATF 16949Gestion de la qualité automobile
• VDA 6.1Audit du système de gestion de la qualité automobile
• VDA 6.3Audit de processus