TISAX: أمن المعلومات في سلسلة التوريد في صناعة السيارات

تتولى ENX Association تشغيل TISAX: فهي تحدد المتطلبات المفروضة على جهات التقييم (TISAX ACAR) وتعتمدها وتراقب جودة التقييم؛ أما كتالوج التدقيق VDA ISA فيصدره اتحاد صناعة السيارات الألماني (VDA). وTISAX ليس برنامج اعتماد تقليديًا، بل آلية تبادل: يخضع المشاركون النشطون للتقييم ويتيحون نتائجهم، بينما يطلب المشاركون السلبيون نتائج شركائهم التجاريين — ويمكن الجمع بين الدورين في آن واحد. ولا يمكن الاطلاع على النتائج والعلامات إلا عبر منصة ENX، فهي ليست علنية.

يضم VDA ISA ثلاثة كتالوجات معايير: أمن المعلومات بوصفه الوحدة الأساسية، إضافة إلى حماية النماذج الأولية وحماية البيانات كوحدتين إضافيتين بحسب هدف التقييم. ولا يكون التقييم ثنائيًا، بل عبر نموذج نضج من 0 إلى 5؛ ويُعدّ مستوى النضج 3 («راسخ») في الغالب القيمة المستهدفة، وتُقصّ القيم الفعلية الأعلى عند حساب النتيجة إلى مستوى النضج المستهدف. والأساس الحالي هو ISA 6 (الإصدار 6.0.3)، وهو مُلزِم لجميع التقييمات المكلَّف بها منذ 1 أبريل 2024. وفي 1 يوليو 2026 نشر VDA النسخة اللاحقة ISA2027: وهي تسري على التقييمات المكلَّف بها اعتبارًا من 1 يناير 2027، وتُحدّث المطابقات مع ISO/IEC 27001:2022 وNIST CSF 2.0، وتعيد هيكلة حماية النماذج الأولية من خمس مجموعات ضوابط إلى مجالين؛ وستصدر نسخ ISA المستقبلية سنويًا وتحمل في اسمها سنة سريانها الإلزامي.

يحدد مستوى التقييم عمق الفحص ويُشتق من احتياج أهداف التقييم إلى الحماية — فهو ليس خيارًا حرًا للشركة. ففي AL1 تؤكد جهة التقييم فقط وجود تقييم ذاتي مكتمل، دون فحص مضمون البيانات؛ ولا تُستخدم نتائج AL1 في TISAX ولا تؤدي إلى أي علامة. أما AL2 فهو فحص معقولية للتقييم الذاتي استنادًا إلى أدلة الإثبات والمقابلات، عادةً عبر مؤتمر مرئي، ويسري على أهداف التقييم ذات الاحتياج المرتفع إلى الحماية. ويتطلب AL3 فحصًا شاملًا في الموقع مع الاطلاع على الوثائق وإجراء المقابلات، ويسري على الاحتياج المرتفع جدًا إلى الحماية، كما في هدف التقييم «Strictly confidential».

تؤدي التقييمات الناجحة إلى علامات TISAX لكل هدف تقييم: لأمن المعلومات «Confidential» و«Strictly confidential» (منذ 1 أبريل 2024، وسابقًا «Info high»/«Info very high») إضافة إلى «High availability» و«Very high availability»، ولحماية النماذج الأولية «Proto parts» و«Proto vehicles» و«Test vehicles» و«Proto events»، ولحماية البيانات «Data» و«Special data». وتسري العلامات ثلاث سنوات من تاريخ الاجتماع الختامي للتقييم؛ ولا توجد عمليات تدقيق رقابية خلال هذه المدة، وبعدها يلزم إجراء تقييم جديد كامل. وإذا رُصدت انحرافات طفيفة في التقييم الأول، يمكن منح علامات مؤقتة استنادًا إلى خطة إجراءات تصحيحية مُراجَعة — وتنتهي صلاحيتها بعد تسعة أشهر من الاجتماع الختامي للتقييم الأول.

يرتبط نطاق التقييم بالموقع ويُحدَّد عند التسجيل. وفي الحالة المعتادة يُستخدم النطاق القياسي المحدد مسبقًا، الذي لا يمكن تعديل وصفه؛ وتبقى النطاقات المخصصة (Custom Scopes) مقتصرة على الحالات الخاصة، ولمجموعات الشركات ذات المواقع الكثيرة يوجد Simplified Group Assessment. ويتبع المسار نمطًا ثابتًا: التسجيل كمشارك لدى ENX مع النطاق وأهداف التقييم، ثم تقييم ذاتي وفق VDA ISA وسدّ الثغرات المكتشفة، ثم التقييم من قِبل جهة تقييم معتمدة من ENX، وعند وجود انحرافات إجراءات تصحيحية مع تقييم متابعة ضمن نافذة الأشهر التسعة، وأخيرًا إتاحة النتائج للشركاء التجاريين عبر منصة ENX. وفي الممارسة يستغرق التحضير غالبًا وقتًا أطول بكثير من التقييم نفسه.

يستند VDA ISA إلى جوانب أساسية من ISO/IEC 27001، غير أن الإجراء يختلف اختلافًا واضحًا. إذ يُقيّم TISAX عبر مستويات النضج بدلًا من حكم مطابقة بحت، ويعمل بنطاقات موحدة مرتبطة بالموقع بدلًا من نطاق تطبيق نظام إدارة أمن المعلومات (ISMS) محدد بحرية، ويضيف وحدتي حماية النماذج الأولية وحماية البيانات الخاصتين بالقطاع، اللتين لا يغطيهما ISO 27001. والنتيجة ليست شهادة علنية، بل علامات تُشارَك حصريًا مع المشاركين الآخرين عبر منصة ENX. كما تسري علامة TISAX ثلاث سنوات دون عمليات تدقيق رقابية، بينما تنص شهادات ISO 27001 ضمن الدورة الثلاثية على عمليات تدقيق رقابية سنوية. لذلك لا تحل شهادة ISO 27001 القائمة في الغالب محل علامة TISAX — لكن نظام ISMS المُطبَّق فعليًا يختصر التحضير بشكل كبير، إذ يمكن إعادة استخدام الوثائق والعمليات إلى حد بعيد.