《TISAX 参与者手册》

范围描述规定了评估工作的范围。您需要从以下两种范围类型中选择一种：

我们将在下一节讨论标准范围。对于 99% 以上的参与者，标准范围就是正确之选。因此，我们只在章节 7.8, “附录：自定义范围” 中讨论自定义范围。

标准范围是开展 TISAX 评估的基础，其他 TISAX 参与者也仅接受基于标准范围描述的评估结果。

标准范围是预先定义好的，无法更改。

使用标准范围的好处是，您无需自己定义范围。

这是标准范围说明（2.0 版）：

我们强烈建议选择标准范围，因为所有 TISAX 参与者都接受基于标准范围作出的信息安全评估结果。

在确定了范围类型后，下一个任务便是决定哪些公司地点属于评估范围。

如果您的公司规模不大（仅一处地点），那便好办，您只需将公司地点添加到评估范围即可。

如果您的公司规模较大，可以考虑注册一个以上的评估范围。

您可以注册一个囊括所有公司地点的单一范围，这样做的好处是：

然而，单一范围也有缺点，比如：

是选择一个范围还是选择多个范围，这个问题只能留给您自己。然而，通过回答下图中的问题，可有助于您做出决定。

现在，您已经确定哪些地点属于评估范围，接下来，您可以着手收集与地点相关的信息。

对于每一处地点，我们都要求提供相应的信息，如公司名称和地址。另外，我们还需要您提供一些附加信息，以便我方的 TISAX 认证机构能够更好地了解您公司的结构。您提供的信息将是其开展评估工作的基础。

针对您公司的各个地点，请准备好提供以下信息（红色星号 *表示在线流程中的必填信息）：

对于每个地点，您必须指定一个“location name”（“地点名称”）。地点名称的作用是，在将地点分配给评估范围时，更容易对其进行引用。

我们建议，根据以下格式来指定地点名称：

对于每个范围，您必须指定一个“scope name”（“范围名称”）。范围名称的主要目的是，方便您在 ENX 门户的范围概览列表中辨别范围。您应指定一个对读者和同事都有帮助的名称。在对外通信时，应使用范围 ID。

您可以指定任意范围名称，但不要为一个以上的范围分配相同的范围名称。

如果以后想要更新 TISAX 评估，您到时要创建一个新范围（可能与当前范围完全相同）。因此，我们建议将评估年份添加到范围名称中。

我们建议，根据以下格式来分配范围名称：

为了与您保持沟通，我们会收集您公司的联系人信息。

我们通常要求您公司至少要指定一名联系人来作为 TISAX 参与者，并为每一个评估范围相应指定一名联系人。另外，您还可以添加其他联系人。

在注册准备期间，您应当决定自己公司的联系人人选。

我们需要以下联系人信息：

TISAX 的主要目的，是向其他 TISAX 参与者发布您的评估结果，并与您的合作伙伴共享评估结果。

您可在注册过程中或以后的任何时候决定是否发布和共享您的评估结果。

如果您想从“占据先手”这一角度出发来参与 TISAX 流程，那么您已经可以决定将评估结果向其他 TISAX 参与者发布。否则，您无需针对该阶段进行准备。

如果您的合作伙伴要求您完成 TISAX 评估流程，那么，您迟早要共享评估结果。在注册期间，您已经可以与合作伙伴共享状态信息。一旦您拿到了评估结果，合作伙伴将自动拥有访问权限。^[6]

若要共享状态信息，您需要两项信息：

因此，您可能希望确保自己已掌握上述信息。

有关发布和共享评估结果的详细信息，请参阅 章节 6, “交换（第 三步）”。

目前有十二项 TISAX 评估对象。您需要选择至少一个评估对象，也可以选择多个。

请将评估对象视为对您的信息安全管理体系进行评估的基准，因为评估对象是 TISAX 流程的关键输入。所有 TISAX 认证机构的评估策略都主要基于评估对象。

目前，TISAX 评估对象如下所示：

示例：如果您正在公路上进行试驾，那么“Test vehicles”便是您的评估对象之一。

ISA 包含三个标准目录（信息安全、原型保护、数据保护）。每个标准目录都由“控制问题”和相关要求组成。

每个评估对象都定义了：

某些评估对象只有部分控制问题和要求适用。

有关 TISAX 评估对象及适用控制问题和要求的更多背景信息，请参阅 章节 5.2.2, “看懂 ISA 文件”。

您的合作伙伴可能会提起“TISAX 标签”，而“评估对象”和“TISAX 标签”基本上是一回事。不同点在于，评估过程刚开始时会有“评估对象”，如果通过了评估，则您会收到相应的“TISAX 标签”。

示例：您的合作伙伴要求您获得 TISAX标签“Info high（保护需求较高的信息）”。然后，您选择“Info high（保护需求较高的信息）”作为评估对象。

下图为您展示了 TISAX 流程的输入和输出：

有关 TISAX 标签的更多信息，请参阅 章节 5.4.14, “TISAX 标签”。

理想情况下，您的合作伙伴会准确地告诉您哪些评估对象必须达标。

在下列情况下，您应根据自己的判断来选择评估对象：

如果您需要根据自己的判断来选择评估对象，以下建议可能会对您有所帮助：

补充说明：

您的合作伙伴拥有不同类型的信息，有些信息的保护级别可能需要高于其他信息。为了应对这种情况，ISA 标准定义了三大“保护需求”（ “protection needs”）：正常（normal）、高（high）和极高（very high），来对信息进行区分。您的合作伙伴可通过对自己的信息进行分类，从而相应确定保护需求。

保护需求越高，您的合作伙伴就越希望确保能够放心地让您处理他们的信息。因此，TISAX 定义了三大“评估级别（Assessment Level，简称 AL）”。评估级别规定了认证机构必须采用的评估方法。评估级别越高，评估工作量就越大，因此评估也就越细致和准确。

下表显示了适用于 TISAX 评估对象的评估级别：

评估级别 1（AL 1）：

评估级别 1 主要针对公司内部用途，是真正意义上的自我评估（ self-assessment）。

为确认是否符合该级别（级别 1），审计人员只会检查是否存在完整的自我评估结果，但不会对自我评估的内容进行评估，甚至也不会要求提供进一步的证据。

该级别（级别 1）的评估结果可信度低，因而不被 TISAX 采纳。但是，您的合作伙伴仍然完全有可能会要求您在 TISAX 评估的框架之外，额外完成这样一份自我评估。

评估级别 2（AL 2）：

为确认是否符合该级别（级别 2），认证机构会对您的自我评估结果（针对评估范围内的所有地点）执行合理性检查。此外，认证机构还会检查相关的证据^[8]，并需要接受信息安全负责人谈话。

认证机构通常以网络会议的形式完成谈话过程，您亦可要求其与您进行面对面谈话。

如果某些证据材料不方便寄给认证机构，则可要求其进行现场检查。这样一来，认证机构依然可对这类“仅供内部使用”的证据执行检查。

评估级别 3（AL 3）：

为确认是否符合该级别（评估级别 3），认证机构会根据适用要求对您公司的合规性进行全面核查。审计人员使用您的自我评估和所提交的文档来准备评估。但不同于评估级别 2，审计人员将开展全方位核查。审计人员将：

评估级别和评估方法

下表中简要列出了与各评估级别相对应的审计方法：

补充信息：

选择 TISAX 并不一定意味着，您所有的供应商都要满足同样的要求。如果您的评估对象为“信息安全——保护需求极高”，那么这并不是说，您的供应商都要在相同的评估对象方面达标，更不是说他们都需要获得 TISAX 标签。

只不过，您仍需自行审核并判断，使用供应商所提供的服务是否会增加风险，或带来新风险。

两个非常简化的示例：

然而，经过风险评估后，有可能出现您的供应商亦需满足针对“极高保护需求”的要求这一情况。此时，TISAX 标签便是一种可为您提供相应证明的可选方案。

参与者 ID 的特点：

范围 ID 的特点：

当前，ISA 有三大“标准目录”^[13]：

每一个标准目录都有对应的 Excel 表：

哪些标准目录与您相关？这取决于您的 评估对象。

每个评估对象都定义了哪些要求适用哪些标准目录。某些评估对象只适用一个标准目录中的要求，而其他评估对象则适用多个标准目录中的要求。

前述提到的评估对象与这些标准目录呈对应关系：

示例：如果您选择了评估对象“数据保护”，则必须回答“信息安全”和“数据保护”这两个标准目录中的问题。

您可能注意到了，每个标准目录所对应的评估对象不止一个。那么，如何知道哪些要求适用于哪个评估对象？

下表将为您展示所适用的要求：

以下截图展示了“信息安全”标准目录中控制问题的主要元素。（其他标准目录仅包含这些元素的子集。）我们将在下文中逐一解释这些元素。

每个标准目录都以章节形式对问题进行分组。

例如“2 人力资源”

该分组的依据是公司内的典型职责。这些部门在“流程实施的常规负责人”（上例中为“人力资源”）列中指定。

针对每一个标准目录，您可在相应的 Excel 表中看到该问题。

例如：“4.1.2 用户在访问网络服务、IT 系统及 IT 应用时，其安全性保障程度如何？”

“控制”问题亦称作“控制点”，是“审计人员行话”。ISA 所依据的 ISO 标准使用“控制”一词。

在“Maturity level”（ 成熟度等级）列和 “Control question”（ 控制问题）列之间，是您在进行自我评估时需要填写的表单字段：

只有“实施描述”和“参考文件”为必填项。上述信息将有助于我们的 TISAX 认证机构更好地了解您的公司，从而更有针对性地准备评估工作。

为了支持您开展自我评估，以下几列信息可供您参考：

“控制问题（Control question）”列的右侧是“目标（Objective）”列（J 列）。该栏内容描述了，为了在所提到的方面使您的信息安全管理符合要求，您需要具体做什么。

示例（针对控制问题 4.1.2）：“只有经过安全识别（验证）的用户才能访问 IT 系统。鉴于此，将通过适当的流程来确认用户的身份，从而确保访问安全。”

要求是指为了实现目标而需要满足的条件。

相关要求分布在以下四列中：

根据您需要达到的保护需求（可参考您的评估对象），您应当相应满足所有的要求。

某些评估对象只有部分要求适用。如需详细了解要求的适用性，请参阅章节 5.2.2.1, “标准目录”中的表格 8, “要求是否适用于评估对象”，特别是该节末尾处的note。

欲进一步了解 ISA 对要求等级“必须（must）”和“应当（should）”的定义，请参见 Excel 表“定义（Definitions）”中的“关键术语（Key terms）”。

针对您的信息安全管理体系，ISA 使用“maturity levels”（“成熟度等级”）这个概念来对其各个方面的质量水平进行评级。您的信息安全管理体系越复杂，其成熟度等级就越高。

ISA 区分六种不同的成熟度等级，您可在 Excel 表“Maturity levels”（“成熟度等级”）中查看详细定义。为了以直观的方式了解各个成熟度等级，我们在此引用 ISA 中给出的非正式描述：

您应当按照各个问题，来对您信息安全管理体系的成熟度等级进行评估。在“Maturity level”（“成熟度等级”）（E 列）这一列中输入您的成熟度等级。

欲进一步了解目标成熟度等级，及其对您评估结果的影响，请参见 章节 5.2.4, “解读自我评估结果”。

有了进一步的了解之后，您便可准备开始进行自我评估了。

您的结果得分是对自我评估结果的总结。

您可在 Excel 表“结果”（Results，ISA5）（D6 单元格）中查看结果得分（“回归至目标成熟度等级的结果”）。我们将稍后解释什么是“回归”。

为了理解并随后对您的自我评估结果和结果得分进行解读，您需要区分两种类型的分析级别：

下图中展示了这两个分析级别：

下图展示了在何处可以看到 分数级和 问题级的结果。

下图直观展示了分析级别、 ISA 目标定义以及 您本人的结果：

以下章节对结果及其分析进行了详细的阐述。

ISA 为每个问题所规定的“目标成熟度等级”为 3。

欲进一步了解各个成熟度等级的定义，请参见 章节 5.2.2, “看懂 ISA 文件”。

ISA 在 Excel 表“结果”（Results，ISA5）中（从 G 列、第 22 行开始，见下图）对目标成熟度等级进行了定义。

为了获得 TISAX 标签，您通常需要使每个问题的成熟度等级等于或者高于目标成熟度等级。

示例：如果问题 X 的目标成熟度等级为“3”，则您针对该问题的成熟度等级也应当为“3”或者更高。但是，如果您的成熟度等级在“3”以下，那么就有可能无法获得 TISAX 标签。

这一点只适用于单个问题，比如说，如果两个问题的目标成熟度等级都是“3”，而您针对其中一个问题的成熟度等级是“2”，另一个为“4”，那么，您不能采用“取高补低”的做法，让两个成熟度等级都达到“3”。

ISA 文件会自动将您的成熟度等级从 Excel 表“信息安全”（E 列）转移到 Excel 表“结果”（Results，ISA5）（从 H 列、第 23 行开始）中：

在 ISA 文件总结您的成熟度等级，并将之体现在得分结果中之前，会对其进行计算。一个基本原则是，您的成熟度等级会“回归”到目标成熟度等级。这样做是为了防止一旦您针对某些问题的成熟度等级高于目标成熟度等级，而针对另一些则低于目标成熟度等级，从而出现两者之间“取高补低”的情况。

以下是 ISA 计算结果（问题级）的方式：

示例（见下图）： 目标成熟度等级为“3”，而 您的成熟度等级为“4”。因此，针对该问题，您的“回归结果”将为“3”。

在下图中可以看到，如果您的成熟度等级高于目标成熟度等级，ISA 将执行回归操作（图中的绿色、橙色和红色对应了“结果”列中使用的颜色，请见插图 19, “Excel 表“结果”（Results，ISA5）中您的成熟度等级”）。

以下是另一种查看成熟度等级（问题级）的方式。圆圈的颜色代表目标成熟度等级，或与它之间的“距离”（例如，如果成熟度等级比目标成熟度等级低“1”级，则用橙色圆圈表示）。对勾则代表您的成熟度等级。

ISA 定义了一个“理想”的总体成熟度等级——即“最高结果得分”（或“最高得分”，G6 单元格）。

理论上来说，该总体成熟度等级是所有目标成熟度等级（问题级）的平均值，也就是最高结果得分为“3.0”。

然而，该值为“3.0”的前提条件是，所有问题均适用于您的具体情况。一旦某个问题不适用于您的情况，那么平均值就会发生变化，最高结果得分将低于“3.0”。

根据上图（插图 22, “成熟度等级（问题级）”）所示，再参照下图，您可以看到最高结果得分平均值的变动轨迹：

您的总体结果得分（“回归至目标成熟度等级的结果”，D6 单元格）：

同样，根据上图（插图 22, “成熟度等级（问题级）”）所示，再参照下图，您可以看到结果得分平均值的变动轨迹：

通过结果得分，您可以看到：

如果您的结果得分（“回归至目标成熟度等级的结果”）在“3.0”以下，则说明至少在一个问题上，您的成熟度等级未达到目标成熟度等级。在这种情况下，为做好接受 TISAX 评估的准备，您或许应首先对自己的信息安全管理体系进行改进。

上述分析的目的是让您了解自己是否已准备好接受 TISAX 评估。

如果您的结果得分（“回归至目标成熟度等级的结果”）为（接近于）“3.0”，那么毫无疑问，您已具备接受 TISAX 评估的资格。在这种情况下，“结果”列（H）中的所有值均为绿色（无橙色或红色）。

如果不是绿色，那么您需要对自我评估结果进行分析总结（请参见 章节 5.2.5, “分析并总结自我评估结果”）。

下图中展示了 Excel 表“结果”（Results，ISA5）中的 ISA 蜘蛛网图。 绿线表示每一章对应的目标成熟度等级。如果您的成熟度等级 恰好达到或超过该线，则表明您已经可以接受 TISAX 评估了。反之，如果在该线 以下，则说明您的条件还不足以获得 TISAX 标签。

如果您将 ISA 蜘蛛网图“展开”到问题级，则会获得类似的 绿色/红色视图（问题级）：

与所有 TISAX 评估一样，初始评估开始的标志是召开正式立项会议。正式立项会议通常以电话或视频会议的形式进行。对于小公司，尤其是有其他审计经验的公司，此过程通常不会花费太长时间。

会议的目的是：

认证机构将依据准备工作计划，来相应执行初始评估。具体评估过程将视您的评估对象而定。评估形式主要包括电话会议、现场约谈以及现场检查，其所涉及的评估深度各不相同。^[23]

在初始评估期间，认证机构将介绍所有的评估发现。

在结项会议上，认证机构将再次总结所有的评估发现。

在结项会议之后，认证机构会准备并向您发送“TISAX 评估报告”（草稿版）。如果您认为，认证机构在某些事项上存在误解，则您可以提出异议。^[24]之后，认证机构将签发“TISAX 评估报告”。

在此阶段，整体评估结果的状态有可能是：

如果在初始评估阶段，您的整体评估结果就已经为“符合”，那么您可跳过其余评估环节，直接前往评估结果“交换”这一步。

如果您的整体评估结果为“重大不符合”，那么您接下来的任务便是相应制定计划，对照评估发现进行纠错整改，并消除认证机构所发现的漏洞。这项计划被正式称为“纠正行动计划”（ “corrective action plan”）。

开展“纠正行动计划评估”的原因有：

“纠正行动计划评估”并非一定是一项独立进行的活动。在初始评估的结项会议上，您便已经可以选择展示您的“纠正行动计划”。在此情况下，认证机构可直接执行“纠正行动计划评估”。

如果您将“纠正行动计划评估”与初始评估结合执行，并且您的“纠正行动计划”符合要求，那么您可以与认证机构商议，无需再出具“初始评估报告”。反之，认证机构将着手准备“纠正行动计划评估报告”。该报告可让您直接获得 TISAX 临时标签。

认证机构将参照以下要求来评估您的“纠正行动计划”：

如果您的整体评估结果为“轻微不符合”，则可获得 TISAX 临时标签。

TISAX 临时标签的优点是，它通常被您的合作伙伴接受；但前提是，您之后会顺利获得 TISAX 正式标签。如果您急需向合作伙伴证明，您的信息安全管理体系运作符合要求，则该标签会对您有所帮助。

获得 TISAX 临时标签的前提条件是，已出具纠正行动计划评估报告，且整体评估结果为“轻微不符合”。

临时 TISAX 标签等同于永久 TISAX 标签。 唯一的区别在于 TISAX 临时标签的有效期较短。

临时 TISAX 标签的最常有效期为初始评估结项会议后的九个月。临时 TISAX 标签的有效期由纠正行动的最长实施期限决定。

示例：

关于实施期限要求的更多信息，请参见 章节 5.4.9.3, “纠正行动计划要求”

一旦所有纠正行动落实完毕，您便可请求执行“后续工作评估”。

您的认证机构可执行后续工作评估的最长时限为：初始评估结项后九个月内。^[26]

如果您不需要 TISAX 临时标签，便可直接请求执行“后续工作评估”。您不一定非要先进行“纠正行动计划评估”，然后再执行“后续工作评估”。

如果您需要 TISAX 临时标签，那么您应该希望确保在获得 TISAX 正式标签之前，不会出现什么意外。因此，我们建议您在“最迟可用日期”^[27]。 这样一来，一旦在后续工作评估期间发现了轻微不符合项，您将有足够的缓冲时间来解决问题。

评估对象与相应 TISAX 标签之间的对应关系十分直接。此外，某些 TISAX 标签之间存在上下级关系，这一点亦十分重要。换句话说，如果您获得了某个 TISAX 标签，您将自动获得该标签所对应等级“之下”的 TISAX 标签。

示例：如果您的评估对象是“Very high availability”，您会收到相应的 TISAX 标签“Very high availability”。但由于评估对象“Very high availability”是“High availability”的超集，您也会自动获得 TISAX 标签“High availability”。

这些 TISAX 标签目前都采用这种层次结构：

您可以比较适用要求，推导出这些层次关系（适用要求请参见表格 8, “要求是否适用于评估对象”。

可能并非每一位参与者都会注意到这一点。但想象一下，您的一位合作伙伴要求您出示 TISAX 标签“Very high availability”，而另一位合作伙伴则要求提供标签“High availability”。这种情况下，同时拥有两个 TISAX 标签就轻松得多，因为没有人需要明白，“High availability”是“Very high availability”的子集。对于那些要求提供 TISAX 标签来相应满足严格的采购流程要求的合作伙伴来说，这一点尤为重要。这样一来，关于“Very high availability”是否要“好于”“High availability”，您亦无需另作解释，只需出示您所有的 TISAX 标签即可。评估执行人员可以很容易发现是否有“High availability”这个“强制性”标签，从而在相应要求前打勾。

通常，TISAX 标签的有效期为三年。该有效期限自评估流程结束之时（亦有可能在 TISAX 评估报告签发之前）算起。

如果涉及 TISAX 评估范围变更等重大事宜，则上述期限有可能会缩短。

例如：公司迁址、添加地点。（关于如何应对此类情形，请参见 章节 7.9.3.2, “如何请求更改地点” 以及 章节 7.9.3.4, “如何添加额外地点”。）

为了保证 TISAX 标签长期有效，应当每三年换发一次。^[30]

为此，您需要再次完成 TISAX 评估流程（注册评估范围、接受 TISAX 评估、共享评估结果）。只不过，注册过程会更加容易，因为您无需重新将公司注册为“TISAX 参与者”。另外，您依然可以使用此前录入 TISAX 数据库的所有联系人和评估地点。

现在，您已经获得了 TISAX 标签，可以前往下一步骤，即与合作伙伴进行共享。