TISAX（VDA ISA 6.0）汽車產業資訊安全評鑑內部評估員培訓課程
TISAX（VDA ISA 6.0）汽車產業資訊安全評鑑內部評估員培訓課程
TISAX 是汽車產業用來評鑑及交換資訊安全評估結果的機制，以 VDA ISA 要求目錄為基礎。它協助供應鏈保護設計圖面、客戶資料、生產資訊與原型，並透過共同評鑑制度減少重複審查。
本課程適合汽車零組件、電子製造、軟體開發、工程服務及其他接觸客戶敏感資訊的企業。學員將練習 ISA 自評、成熟度判讀、證據查核與改善追蹤，協助企業在正式評鑑前找出準備缺口。
現在準備 TISAX，應使用 ISA 6.0 還是 ISA2027？
必須先確認評鑑委託日期及適用版本。截至本文更新日，官方仍提供 ISA 6.0.3；ISA2027 已發布，英文版已更新為 ISA2027.1，並將適用於 2027 年起新委託的評鑑。
| 情況 | 適用原則 |
|---|---|
| 準備 ISA 6 系列評鑑 | 使用官方 ISA 6.0.3，避免沿用未修正問卷 |
| 2027 年 1 月 1 日起新委託評鑑 | 採用 ISA2027 系列要求 |
| 2027 年以前已委託 ISA 6 評鑑 | 可依過渡規則辦理；ISA 6 初次評鑑最晚須於 2027 年 3 月啟動 |
| 已持有有效 TISAX 標籤 | 新版發布不會直接縮短既有標籤效期 |
版本判定不能只看平台註冊日或專案啟動會議日期。企業應與正式評鑑服務提供者確認委託及初次評鑑安排；課程則依專案版本選用教材，加入必要的新版差異說明。
TISAX 與 ISO/IEC 27001 有什麼不同？
ISO/IEC 27001 著重資訊安全管理系統，TISAX 則提供汽車供應鏈的評鑑與結果交換機制。兩者的風險管理及制度證據可以整合，但交付成果不同。
| 比較項目 | ISO/IEC 27001 | TISAX |
|---|---|---|
| 主要依據 | 資訊安全管理系統標準 | VDA ISA 與 TISAX 評鑑規則 |
| 應用對象 | 各產業組織 | 汽車產業及相關供應鏈 |
| 評估關注 | 管理系統符合性與有效性 | 指定範圍、保護需求及控制措施成熟度 |
| 對外成果 | 經認證後取得管理系統證書 | 評鑑結果與對應 TISAX 標籤 |
| 結果使用 | 依證書範圍向客戶說明 | 透過平台向指定合作夥伴分享 |
已通過 ISO/IEC 27001 的企業，可利用既有風險評估、權限管理及內稽紀錄作為基礎，但仍須確認客戶要求的 TISAX 範圍、目標與證據是否完整。
哪些人適合參加，需要先具備哪些能力？
適合負責資訊安全制度、客戶評鑑或跨部門改善的人員。建議由資訊、品質、研發、人資及廠務共同參與，讓評估涵蓋實際作業。
| 參訓角色 | 課程應用重點 |
|---|---|
| 資訊安全、IT 與 OT 人員 | 系統權限、弱點管理、備份還原及事件處理 |
| 品質、內稽與專案窗口 | 自評填寫、證據抽查、缺口紀錄及改善追蹤 |
| 研發與原型管理人員 | 圖面、樣件、原型及拍攝管制 |
| 人資、採購與廠務人員 | 人員管理、供應商要求及實體安全 |
具備基本資訊安全或管理系統經驗較容易進入實作。沒有資安背景者，建議先補足資訊分類、存取權限、風險評估與事件通報的基本概念。
內部評估員課程會教哪些實務內容？
課程重點是把 ISA 要求轉成可查證的問題與證據。以下為建議課綱，可依企業評鑑目標、場址與既有制度調整。
| 課程單元 | 實作內容 |
|---|---|
| 範圍與目標確認 | 整理客戶要求、相關場址、資訊流向及保護需求 |
| 資訊安全治理 | 檢查職責、資產分類、風險處理與管理制度 |
| 人員與實體安全 | 抽查人員異動、訪客管理、區域管制及設備處置 |
| IT／OT 安全與營運持續 | 檢查權限、弱點、日誌、事件應變及還原證據 |
| 原型保護與資料保護 | 依適用目標檢視原型、保密及個人資料處理要求 |
| ISA 自評與內部評估 | 練習成熟度判讀、訪談、抽樣及缺口撰寫 |
| 改善與版本銜接 | 追蹤矯正措施，確認 ISA2027 差異對專案的影響 |
ISA 6 特別強化生產供應商的 IT／OT 可用性、事件應變、持續運作及復原能力。內部評估應確認控制措施實際運作，不能只檢查程序文件是否存在。
如何判讀成熟度，避免自評分數失真？
ISA 使用 0 至 5 級成熟度模型；常見控制問題的目標為第 3 級。評分應依流程落實及客觀證據判定，自評填到目標分數不代表正式評鑑一定通過。
課程可用「離職人員帳號停用」案例，讓學員比對人資通知、系統帳號、停用紀錄與定期檢查結果。若文件要求已停權，系統卻仍允許登入，就應記錄實際缺口。
如何確認備份真的能支援復原？
建議演練同時檢查備份範圍、保管方式、還原測試與業務可接受的中斷程度。看到備份成功訊息後，仍需追查資料或服務能否在需要時恢復。
原型保護與資料保護都要評嗎？
應依客戶要求、評鑑目標及實際活動判定適用內容。接觸未公開樣件、試驗車輛或代客處理個人資料的企業，應提前釐清相應保護要求，避免遺漏重要作業。
AL2 與 AL3 有什麼差別？
AL 代表評鑑深度，不是成熟度分數。評鑑等級應依所選目標確認，不能只為降低費用而自行選擇。
| 評鑑等級 | 主要方式 | 企業準備方向 |
|---|---|---|
| AL1 | 自評層級，結果不作為 TISAX 交換使用 | 內部盤點與初步改善 |
| AL2 | 檢查自評合理性，通常透過遠端訪談 | 說明清楚並提供支持證據 |
| AL3 | 深入驗證文件、訪談與現場作業 | 確保制度、紀錄及現場一致 |
AL3 不等於成熟度第 3 級。前者說明外部評鑑採取多深入的方法，後者反映流程建立與執行的成熟程度。
課程如何安排，需要多少時間？
已有管理系統基礎的團隊，可規劃三天、共 21 小時的內訓。以下為建議安排，並非 ENX 規定的人員資格時數。
| 安排 | 建議時數 | 課程重點 |
|---|---|---|
| 第一天 | 7 小時 | TISAX 機制、版本、範圍與 ISA 要求 |
| 第二天 | 7 小時 | 成熟度、訪談、證據抽查及缺口判讀 |
| 第三天 | 7 小時 | 模擬評估、報告、改善追蹤及學習評量 |
需要原型保護、資料保護或多場址案例者，可另行規劃專題。企業制度建置及正式評鑑所需時間，應另外評估，不宜與上課天數混為一談。
完成培訓後，企業如何推進正式評鑑？
先確認客戶接受的範圍與目標，再依準備程度安排評鑑。培訓可協助團隊完成自評與改善；正式 TISAX 評鑑須由 ENX 核准的評鑑服務提供者執行。
| 步驟 | 企業執行工作 | 主要產出 |
|---|---|---|
| 1. 確認需求 | 核對客戶、場址、目標及適用版本 | 評鑑需求清單 |
| 2. 註冊及洽詢 | 建立參與者與評鑑範圍，確認服務及排程 | 範圍資料與評鑑安排 |
| 3. 自評與改善 | 填寫 ISA、抽查證據及處理缺口 | 自評表與改善紀錄 |
| 4. 正式評鑑 | 接受外部審查，處理發現事項 | 評鑑報告與矯正證據 |
| 5. 分享結果 | 依平台權限向客戶提供結果 | 對應標籤及分享設定 |
報名前，費用、資格與風險有哪些常見疑問？
培訓費用包含正式評鑑嗎？
應分項確認，不能把課程費視為完整 TISAX 專案費。報價取決於人數、時數、語言、案例深度與授課方式。
| 費用類別 | 需要確認的範圍 |
|---|---|
| 培訓費 | 授課、教材、演練、評量及結業證明 |
| 客製與輔導費 | 文件檢視、案例設計及改善支援 |
| 註冊費 | 依官方計價規則與納入範圍的場址確認 |
| 正式評鑑費 | 評鑑目標、場址、規模、差旅及後續評鑑 |
| 制度改善費 | 系統、設備、技術服務與內部人力投入 |
註冊費與正式評鑑費屬於不同支出；前者可查官方價目，後者須依企業範圍向評鑑服務提供者詢價。
結業後就是 ENX 認可的 TISAX 評鑑員嗎？
不是。本課程培養企業內部評估能力，結業證明不等同 ENX 認可資格，也不授權學員執行正式 TISAX 評鑑。發證條件應以課程約定為準。
沒有 ISO/IEC 27001 證書，可以準備 TISAX 嗎？
可以。企業仍須建立符合適用 ISA 要求的制度及執行證據；是否已有其他證書，不能取代對實際管理能力的檢查。
從上課到取得評鑑結果，需要多久？
取決於現有制度、缺口、場址及評鑑排程，不能承諾固定取標籤天數。涉及設備改善或需累積執行紀錄時，應提早安排。
| 時間項目 | 規劃原則 |
|---|---|
| 課程 | 本文建議 3 天，共 21 小時 |
| 制度準備 | 依缺口及證據完整性估算 |
| 初評後缺失改善 | 最長 9 個月，自初次評鑑結束會議日起算 |
| 標籤效期 | 最長 3 年，同樣自初次評鑑結束會議日起算 |
缺失未在規定期限內完成處理，可能需要重新進行初次評鑑，因此應將改善與後續查核時間一起納入計畫。
通過 TISAX 就代表符合法規、沒有資安風險嗎？
不能直接等同。TISAX 可支持資訊安全與資料保護管理，但仍需依營運地點、資料處理活動及合約確認適用法規，也須持續處理事件、變更與新風險。
還有哪些主題值得延伸閱讀？
可依企業目前的準備缺口，搭配以下主題：
ISO/IEC 27001 資訊安全管理系統：建立風險管理及內部稽核基礎。
ISA2027 版本轉換：確認新版要求與既有證據的差距。
營運持續與災難復原演練：檢查關鍵服務能否恢復。
原型保護與供應商資訊安全管理：補足跨部門及外包作業的控制措施。
下一步如何執行，ODI MORGAN 能提供哪些服務？
先提供客戶要求、預計評鑑委託日期、場址數量與參訓人員背景。若已有 ISA 自評表、資訊安全程序或既有評鑑缺失，可提供經授權資料，協助確認課程版本與實作深度。
ODI MORGAN 可依需求整合 TISAX 內部評估員培訓、ISA 自評指導、證據整理、模擬訪談及改善追蹤，並協助企業規劃 ISA2027 版本銜接與正式評鑑前的準備工作。
聯繫 ODI MORGAN，從客戶要求與現有缺口開始，安排適合團隊的培訓與輔導方案，讓自評表、作業紀錄及現場執行相互一致。
