VDA ISA 是德国汽车工业协会发布的信息安全评估问卷，6.0.3 是 6.0 主线的补丁版本，是2024-04-01起签约项目强制使用的TISAX评估基准，由ENX协会管理。它不是体系认证标准，是汽车供应链专用评估问卷，底层基于ISO27001:2022，叠加汽车行业原型件、研发数据、OT生产系统、整车供应链特殊风险。整套ISA分为信息安全目录、数据保护目录、原型保护目录三大部分，下面只介绍【信息安全目录】。

一句话定位：面向整车、Tier1、Tier2汽车供应链的信息安全成熟度评估工具，用来统一主机厂对供应商的二方审核标尺，评估结果在ENX平台互通，避免多家车企重复审核。

基础评估规则

评估采用成熟度打分，成熟度等级0到5级，常规目标成熟度为3级。
问卷内每个评估目标区分must强制项、should期望项；同时叠加三层保护需求：普通保护需求、高保护需求、极高保护需求，保护等级越高附加控制越多。
评估产出蜘蛛图，7大领域分别展示成熟度；评估标签分为保密、严格保密、高可用性、极高可用性四类标签，替代旧版的信息安全高/极高标签。
6.0.3 为6.0的修正补丁，主要是澄清判定口径、修正重复项、补充云与OT场景证据指引，控制框架和6.0保持一致；后续将在2027年1月切换至ISA2027版本。

7大领域整体框架（41个评估目标）

1 信息安全策略与组织
2 人力资源安全
3 物理安全与业务连续性
4 身份和访问管理
5 IT/网络安全（含密码、运维、系统开发采购）
6 供方关系管理
7 合规

领域1 信息安全策略与组织

1.1 信息安全方针：建立适配业务和保护需求的信息安全方针，高层批准、全员知晓、定期评审。高保护场景要求方针按资产分级差异化管控。
1.2 信息安全组织：明确信息安全负责人、委员会、岗位职责，内部分工清晰；对接外部监管、车企客户、应急合作方；区分IT和OT安全职责。
1.3 资产管理与资产分级：资产台账覆盖数据、系统、硬件、服务；建立统一分级体系，至少覆盖保密性；高保护需求同时评估完整性、可用性；分级结果驱动全部管控措施。
1.4 信息安全风险管理：风险评估流程落地，支持资产导向或场景导向评估；风险处置包含规避、降低、转移、接受；风险接受分级审批；变更、事件、新业务触发重评估，和GB/T31722思路对齐。
1.5 内部评估与审核：定期内审、管理评审，验证体系有效性；内审员能力满足要求，对应GB/T28450审核思路；识别差距并闭环整改。
1.6 安全事件与危机管理：事件分类分级、上报渠道、处置流程；包含危机管理、对外沟通、客户通知；事件复盘，整改回流风险评估和控制优化；覆盖IT、OT、研发泄密事件。

领域2 人力资源安全

覆盖员工、临时工、外包、实习生、访客。
入职前：背景审查，按信息保护等级差异化审查强度；签订NDA保密协议，敏感岗位在入职前完成签署。
在职期间：安全意识培训、岗位安全职责、权限定期复核、违规处置机制。
离职/调岗：账号、密钥、门禁、文档权限即时回收；归还公司介质、样机、原型资料；重申保密义务，离职后保密持续生效。

领域3 物理安全与业务连续性

3.1 安全区域管理：分区管控，服务器机房、研发密室、原型存放区、办公区、收货区划分安全域；边界隔离、访客登记、陪同管理；极高保护区域增加防窃听、防屏幕窥视措施。
3.2 移动设备与可移动介质：笔记本、平板、U盘、移动硬盘统一管理；加密、锁屏、注册登记；高保护需求下强制加密，无法加密时提供等效补偿措施。
3.3 业务连续性、备份与恢复：RTO、RPO按保护需求定义；定期备份、备份介质异地存放、恢复演练；灾难恢复预案；OT产线系统额外考虑生产停机风险。

领域4 身份和访问管理

4.1 身份载体管理：门禁卡、账号、证书、密钥全生命周期管控，发放、挂失、回收、销毁留痕；丢失有快速锁定机制。
4.2 用户账号与认证：账号最小权限、按需开通；多因素认证用于高保护系统；默认禁止共享账号；口令策略、定期轮换、账号休眠清理。
4.3 权限分配与权限复核：遵循知需原则；优先RBAC角色授权；权限定期复核，清理僵尸账号、过度权限；极高保护数据解密权限分离，特权账号专项管控。

领域5 IT安全/网络安全（体量最大）

5.1 密码学：加密算法合规，密钥生命周期管理；传输加密、存储加密；密钥分离保管，加密解密权限隔离；禁止硬编码密钥。
5.2 运维安全管理
变更管理：所有IT/OT变更做安全影响评估、测试、回滚方案；高保护需求变更上线前后安全验证。
环境隔离：开发、测试、生产环境逻辑/物理隔离，禁止生产数据直接流入测试环境。
恶意代码防护：杀毒、EDR、白名单，OT工控环境专用防护策略。
日志审计：系统、访问、变更、导出日志留存，日志防篡改；高保护场景长期留存。
漏洞管理：定期扫描、渗透测试、漏洞分级处置，补丁管理，OT设备考虑停机窗口。
网络安全：网络分区、防火墙、ACL、边界防护，工控网和办公网隔离。
5.3 系统采购、需求与开发安全
安全需求前置到采购和项目立项；供应商交付物安全验收；
安全开发生命周期SDL，代码审查、威胁建模；
云服务使用评估云服务商安全控制，明确责任边界。

领域6 供方关系

6.1 供应商信息安全准入：供应商筛选阶段评估安全能力，TISAX标签作为准入证据之一。
6.2 合同安全条款：外包、委托处理、云服务商合同写入信息安全、保密、原型保护、审计权、泄露通知、数据删除条款。
6.3 供应商监控与再评估：定期二方审核、风险复评；下游转包管控，不允许未经批准二次转包；供应商事件上报机制。

领域7 合规

识别适用法规、客户安全要求、内部制度；合规检查；记录留存；知识产权、研发数据保密合规；欧盟业务同步衔接GDPR（由独立的数据保护目录细化）。

配套的两个独立目录（不属于信息安全目录，但评估时经常一起勾选）

数据保护目录：专门处理作为处理者时的GDPR Article28要求，个人信息处理、数据主体权利、数据泄露通知，和ISO27701、GB/T45574可以联动。
原型保护目录：汽车行业特有，原型车、样件、试制零件、测试样件的专项管控，是TISAX区别于普通ISO27001最核心特色，单独标签。

和旧版VDA ISA5.1的核心变化

评估标签体系重构，可用性提升到和保密性同等重要，适配OT产线停机风险；
完整重写数据保护目录，GDPR条款细化；
明确纳入OT/工控系统安全，对齐ISA-62443；
主语言改为英文，英文版本作为争议仲裁版本；
增加云服务、远程访问、外包开发场景的评估指引；
成熟度判定口径收紧，很多原来should项在高保护场景升级为must。

落地使用场景

整车厂对Tier1/Tier2供应商二方审核，直接使用问卷作为检查表。
供应商自评估，提前识别差距，准备TISAX正式评估。
TISAX第三方评估，评估机构使用该问卷采集证据，在ENX发布标签结果。
体系融合：企业已经建立ISO27001体系，叠加ISA补充控制，同时满足27001和车企TISAX要求。
原型研发、自动驾驶算法、底盘电控等高保密研发部门专项安全管控。

高频误区澄清

误区1：TISAX是认证证书
纠正：TISAX产出的是评估标签，不是ISO类证书，评估结果在ENX平台交换，不是发证。
误区2：ISA信息安全目录包含原型保护
纠正：原型保护是独立目录，单独勾选，很多普通零部件供应商只需要信息安全标签，不需要原型标签。
误区3：TISAX等同于ISO27001
纠正：27001是通用体系，TISAX是汽车供应链专项评估，原型、OT、车企客户特定要求是额外加码项。
误区4：成熟度必须全部到5级
纠正：常规目标是成熟度3（已建立），只有极高保护需求场景才需要追求4、5级。