第1回　TISAX（Trusted Information Security Assessment Exchange）とは？仕組み・メリット・評価項目を解説

TISAX（ティーサックス）とは？

TISAX（Trusted Information Security Assessment Exchange）とは、自動車業界における情報セキュリティの審査結果を相互に認識・共有するための仕組みです。審査は、VDAが発行する「Information Security Assessment（ISA）」を基盤として行われ、ENX協会がTISAXの運営や審査結果の交換を担っています。

近年、自動車のコネクテッド化や電動化、ソフトウェア化に伴い、サプライチェーン全体でのサイバーセキュリティ対策が極めて重要になっています。TISAXは、自動車業界におけるサプライヤーのセキュリティ水準を統一・可視化する仕組みとして誕生しました。

TISAXの審査を受け、所定の要件を満たすと、審査結果に応じてTISAXラベルが発行されます。TISAXラベルは、自社の情報セキュリティに関する審査結果を取引先に示すために利用でき、ENX Portalを通じて審査結果を共有できます。

TISAXの成り立ちと進化

従来は、自動車メーカー（OEM）ごとに独自のセキュリティ調査票や訪問監査が実施されていました。しかし、サプライヤー側は取引先ごとに異なる監査を受ける負担が大きく、OEM側もすべてのサプライヤーを個別に監査するコストが重荷となっていました。

こうした相互の負担を解消し、自動車業界共通の審査基準に基づいて情報セキュリティを審査し、その結果を共有する仕組みとして、2016年に開始されたのがTISAXです。現在では、ドイツや欧州だけでなく、グローバルな自動車サプライチェーンで活用されています。

審査の基盤となる「ISA（Information Security Assessment）」も、時代の変化に合わせて継続的に進化しています。初期のISAはISO/IEC 27001などの国際的な情報セキュリティの考え方を参考に作られ、その後、自動車業界特有のリスクや要求を反映しながら独自の評価カタログとして発展してきました。現在もサイバーセキュリティを取り巻く環境の変化に合わせて改版が重ねられています。

企業の主なメリット ～ 重複監査の削減

TISAXの大きなメリットの一つが、取引先ごとに個別のセキュリティ監査を受ける負担を減らせることです。

審査結果を複数の取引先と共有できる

TISAXでは、取得したTISAXラベルの情報をENX Portalを通じて複数の取引先と共有できます。取引先ごとに個別の評価を受けるのではなく、共通の審査結果を複数の取引先に示せるため、セキュリティ評価への対応負担を軽減できます。

• 従来の課題
  A社、B社、C社からそれぞれ異なるセキュリティ調査票への回答や個別の監査を求められ、その都度対応する必要がある。
• TISAX取得後
  TISAXの審査結果をENX Portal上で取引先に共有することで、共通の審査結果を複数の取引先に示せる。

このように、TISAXでは共通の評価基準と審査結果の共有の仕組みを活用することで、取引先ごとの個別対応を減らし、セキュリティ評価にかかる工数や負担の軽減につながります。

なお、TISAXラベルの有効期間は原則3年間です。継続してTISAXラベルを取得する場合は、3年ごとに再審査を受ける必要があります。

ビジネス機会の維持・拡大

自動車メーカーや主要サプライヤーとの取引において、TISAXへの対応やラベルの取得を求められるケースがあります。TISAXラベルを取得することで、取引先から求められる情報セキュリティ要件への対応状況を示し、新規案件への参加や既存取引の継続に向けた要件を満たすための一つの手段となります。

TISAXの審査の仕組み

TISAXの審査では、まず審査対象となる範囲であるアセスメントスコープ（Assessment scope/審査スコープ）を定め、その範囲に対して、取り扱う情報や目的に応じたアセスメントオブジェクティブ（Assessment Objective/審査目的）を選択します。さらに、アセスメントオブジェクティブに応じてアセスメントレベル（Assessment Level(AL)/審査レベル（AL））が決まり、ISAの要求事項に基づいて審査が行われます。それでは詳しく見ていきましょう。

①　アセスメントスコープ（Assessment scope/審査スコープ）～ どこを審査する？

TISAXでは、まずアセスメントスコープ（Assessment scope/審査スコープ）を定めます。アセスメントスコープとは、審査の対象となる拠点や、組織の管理下にあるプロセス・手順・リソースの範囲を定めるものです。

アセスメントスコープの設定は、主に以下の2つの理由から重要となります。

• 取引先の要求を満たすため
  取引先の情報を扱う自社の範囲がアセスメントスコープに含まれていなければ、その審査結果では取引先が求める要件を満たせない場合があります。
• 費用を適切に見積もるため
  審査対象となる範囲を明確にすることで、TISAXの審査プロバイダーが必要な審査工数や費用を見積もりやすくなります。

TISAXのスコープには、標準スコープとカスタムスコープがあります。標準スコープはあらかじめ定義されており、TISAXでは原則として標準スコープの利用が推奨されています。なお、カスタムスコープにはカスタム拡張スコープとフルカスタムスコープの2種類があります。

• 標準スコープ（Standard Scope）
  指定した拠点において、組織の責任下にある、対象となる保護対象や保護目標のセキュリティに関連するプロセス・手順・リソースが審査対象となります。取引先（OEM等）からの信頼性が最も高く、特別理由がない限りは原則として標準スコープの利用が推奨されています。
• カスタム拡張スコープ（Custom extended scope）
  標準スコープの要件をすべて含んだ上で、さらに広い範囲（検査項目や対象など）を追加したスコープです。社内での独自の管理目的や、自動車業界以外の取引先へのアピール・活用を想定して設定されます。標準スコープの内容を完全に網羅しているため、TISAXラベルが発行され、他のTISAX参加企業にも審査結果が受け入れられます。なお、スコープ定義は自社で作成する必要があります。
• フルカスタムスコープ（Full custom scope）
  標準スコープの定義を使わず、自社で審査範囲を完全に独自定義するスコープです。複数拠点を支える中央IT部門やデータセンターなど、特定の共通サービス部分だけを切り出して評価し、他拠点の審査でその結果を再利用・効率化したい場合などに用いられます。フルカスタムスコープではTISAXラベルが発行されません。ENXポータル上には評価結果（適合/不適合など）が記録・共有できますが、ラベルが付与されないため、多くの取引先からは審査不合格だったと誤解されるリスクがあります。他のTISAX参加企業からは一般的に受け入れられません。

複数の拠点を持つ企業では、すべての拠点を1つのスコープに含めるか、複数のスコープに分けるかを検討します。1つのスコープにまとめる場合、以下の点に注意が必要です。

• すべての拠点に同じアセスメントオブジェクティブ（審査目的）を適用する必要がある。
• すべての拠点の審査が完了してから審査結果が得られる。
• 1つの拠点が不合格になると、スコープ全体としても合格の審査結果を得られない。ただし、問題のある拠点をいったんスコープから外し、対応後にスコープ拡張審査によって追加することもできます。

② アセスメントオブジェクティブ（Assessment Objective/審査目的）～　何を審査する？

TISAXでは、アセスメントスコープを定めたうえで、その範囲に対してどのような情報や活動を対象として審査するのかをアセスメントオブジェクティブ（Assessment Objective/審査目的）で定めます。

アセスメントオブジェクティブは現在12種類あり、取引先から求められている情報の保護レベルや、取り扱う対象・活動などに応じて選択します。例えば、情報セキュリティに関する審査では、保護する情報の重要度に応じて「Info high」「Info very high」「Confidential」「Strictly confidential」などのアセスメントオブジェクティブがあります。また、プロトタイプを扱う場合は「Proto parts」「Proto vehicles」など、データ保護を目的とする場合は「Data」「Special data」などを選択します。

審査目的は、TISAXラベルを要求するパートナーから指定されることが基本です。一方で、パートナーからTISAX対応を求められる前に審査を受けたい場合や、パートナーから達成すべき審査目的を指定されていない場合は、TISAX Participant Handbookに示されている選択方法を参考に、自社で審査目的を選択する必要があります。TISAX Participant Handbookでは、審査目的を自社で選択する場合の考慮事項が示されています。以下に、その内容を簡略化して紹介します。

アセスメントオブジェクティブ	選択の目安
Info high	パートナーから扱う情報について高い保護もしくは非常に高い保護が求められる場合
Info very high
Confidential	機密性の高い情報を扱う場合
Strictly confidential	非常に高い機密性が求められる情報を扱う場合
High availability	情報やサービスの可用性が重要で、障害時に短期間で顧客への大きな影響が想定される場合
Very high availability	可用性が非常に重要で、障害時に短期間で重大な影響が想定される場合
Proto parts	要保護に分類される部品・コンポーネントを製造・保管・使用する場合
Proto vehicles	保護が必要なプロトタイプ車両を扱う場合
Test vehicles	テスト車両を扱う場合
Proto events	プロトタイプ関連のイベントや展示などを扱う場合
Data	データ保護を目的とする場合
Special data	特別な保護が必要なデータを扱う場合

このように、自社がどのような情報や対象を取り扱い、取引先からどのような保護を求められているのかを確認したうえで、該当するアセスメントオブジェクティブを選択します。

アセスメントオブジェクティブとISAのクライテリアカタログとの関係

アセスメントオブジェクティブを選択すると、それに応じて、ISAのどのクライテリアカタログ（Criteria Catalogue/基準カタログ）の要求事項を審査するかが決まります。

ISAには、次の3つのクライテリアカタログがあります。

• 情報セキュリティ（Information Security）
• プロトタイプの保護（Prototype Protection）
• データ保護（Data Protection）

つまり、3つのクライテリアカタログから直接審査する項目を選ぶのではなく、アセスメントオブジェクティブを選択し、その内容に応じて適用されるクライテリアカタログと要求事項が決まるという構造です。例えば、DataやSpecial dataのアセスメントオブジェクティブでは、Information SecurityとData Protectionの2つのクライテリアカタログが適用されます。

次の表はTISAX Participant Handbookに定義されている審査目的とISA基準カタログの対応表になります。

No.	TISAX assessment objective (TISAX審査目的)	ISA criteria catalogue(s)（ISA基準カタログ）
1	Info high	Information Security （情報セキュリティ）
2	Info very high	Information Security （情報セキュリティ）
3	Confidential	Information Security （情報セキュリティ）
4	Strictly confidential	Information Security （情報セキュリティ）
5	High availability	Information Security （情報セキュリティ）
6	Very high availability	Information Security （情報セキュリティ）
7	Proto parts	Prototype Protection （プロトタイプの保護）
8	Proto vehicles	Prototype Protection （プロトタイプの保護）
9	Test vehicles	Prototype Protection （プロトタイプの保護）
10	Proto events	Prototype Protection （プロトタイプの保護）
11	Data	Information Security （情報セキュリティ） Data Protection （データ保護）
12	Special data	Information Security （情報セキュリティ） Data Protection （データ保護）

③ アセスメントレベル（Assessment Level/AL）～どのような方法で審査する？

TISAXでは、取り扱う情報や対象の保護の重要度に応じてProtection Needs（保護ニーズ）とアセスメントレベル（審査レベル/AL）が設定されています。

Protection Needsには、Normal、High、Very highの3段階があります。取引先が取り扱う情報を分類し、通常はその保護ニーズを指定します。保護ニーズが高いほど、情報が適切に保護されていることをより慎重に確認する必要があります。

そのためTISAXでは、アセスメントレベルに応じて具体的な審査方法（リモート審査、現地審査など）が定められています。アセスメントレベルはAL1～AL3の3段階に分かれています。ALが高くなるほど、より詳細な検証が行われます。ただし、TISAXで利用されるのは主にAL2とAL3です。AL1は、自己評価が完了していることのみを確認するレベルで、TISAXでは利用されません。

AL2では、自己評価の内容について妥当性を確認し、証跡の確認や情報セキュリティ責任者への面談を行います。面談は原則としてWeb会議で実施され、必要に応じてオンサイトでの調査を依頼することもできます。AL3では、審査プロバイダーが要求事項への適合状況を包括的に検証します。文書や証跡の確認だけでなく、プロセスオーナーへの計画的な面談、現地の状況やプロセスの実施状況の確認、プロセス参加者への非計画の面談などが行われます。なお、AL2には、通常の妥当性確認に代えて、リモートで要求事項を全面的に評価するAL2.5という方法もあります。正式にはAL2として扱われ、将来的にAL3へのアップグレードを見据えて選択することもできます。

アセスメントオブジェクティブ（審査目的)とアセスメントレベル（審査レベル）の関係

各Assessment Objectiveには、対応するAssessment Levelが定められています。

No.	TISAX assessment objective (TISAX審査目的)	アセスメントレベル(AL)
1	Info high	AL2
2	Info very high	AL3
3	Confidential	AL2
4	Strictly confidential	AL3
5	High availability	AL2
6	Very high availability	AL3
7	Proto parts	AL3
8	Proto vehicles	AL3
9	Test vehicles	AL2
10	Proto events	AL2
11	Data	AL2
12	Special data	AL3

AL3はAL2を包含する関係にあります。そのため、AL3で審査を受けた場合、AL2を求める取引先の要求も満たすことができます。

TISAXの仕組みをおさらい

TISAXは、自動車業界における情報セキュリティの審査結果を相互に認識・共有するための仕組みです。自動車メーカーやサプライヤーなどの企業間で共通の基準に基づいて審査を行い、その結果を取引先と共有できることが特徴です。

TISAXの審査では、まずどこを審査するのかをアセスメントスコープで定め、そのうえで何を対象として審査するのかをアセスメントオブジェクティブで決定します。

さらに、保護ニーズに応じてアセスメントレベルが定まり、審査プロバイダーが適用する審査方法が決まります。

このように、TISAXでは審査対象の範囲や審査目的、審査レベルが体系的に定められており、取引先が求める情報セキュリティ要件に応じて審査を受ける仕組みになっています。次回は、多くの方が疑問に抱くISO 27001（ISMS）との違いについて解説します。