TISAX là gì? Quy trình đánh giá và hướng dẫn chuẩn bị cho doanh nghiệp

Khách hàng ô tô yêu cầu TISAX, nhưng doanh nghiệp chưa rõ cần chọn AL2 hay AL3, chuẩn bị hồ sơ nào và dự toán chi phí ra sao? Việc đầu tiên là xác định đúng yêu cầu khách hàng và phạm vi cần đánh giá. Từ đó, doanh nghiệp mới có thể lập kế hoạch cải tiến hệ thống quản lý an toàn thông tin phù hợp.

Bài viết giải thích những khái niệm cần biết, gợi ý checklist chuẩn bị và cách tổ chức công việc tại doanh nghiệp Việt Nam. Nội dung được rà soát ngày 19/10/2026, có lưu ý về thời điểm áp dụng ISA2027.

TISAX là gì

TISAX là viết tắt của Trusted Information Security Assessment Exchange, cơ chế đánh giá và trao đổi kết quả an toàn thông tin trong ngành ô tô do ENX Association quản lý. Hoạt động đánh giá sử dụng bộ tiêu chí ISA; kết quả được chia sẻ với đối tác qua ENX Portal. (ENX – About TISAX)

Cụm từ “tiêu chuẩn TISAX” hoặc “chứng nhận TISAX” thường được dùng khi tìm hiểu dịch vụ. Cách diễn đạt cần phân biệt: TISAX là cơ chế đánh giá và trao đổi, còn ISA là bộ tiêu chí dùng để đánh giá. ISA được ENX Working Group ISA phát triển, duy trì và được VDA công bố dưới tên VDA ISA. (ENX – ISA)

Với doanh nghiệp, câu hỏi thực tế là: thông tin nào cần bảo vệ, bộ phận nào đang xử lý thông tin đó, biện pháp hiện tại có hiệu lực không và có bằng chứng để chứng minh hay chưa?

Doanh nghiệp nào cần chuẩn bị TISAX

Hãy bắt đầu từ yêu cầu trong hợp đồng, hồ sơ lựa chọn nhà cung cấp hoặc thông báo của khách hàng. Doanh nghiệp cần làm rõ yêu cầu trước khi tự đặt mục tiêu dự án. Một số tình huống nên rà soát ngay gồm:

• Nhận bản vẽ, dữ liệu thiết kế hoặc thông tin sản phẩm chưa công bố từ khách hàng ô tô.

• Cung cấp dịch vụ kỹ thuật, phần mềm hoặc vận hành hệ thống có tiếp cận thông tin của khách hàng.

• Có nhiều nhà máy, văn phòng hoặc nhà thầu cùng tham gia xử lý dữ liệu dự án.

• Được khách hàng yêu cầu cung cấp kết quả TISAX trước một mốc phê duyệt nhà cung cấp.

Nên tổng hợp yêu cầu của từng khách hàng vào một bảng gồm mục tiêu, địa điểm liên quan, hạn hoàn thành và người xác nhận. Cách làm này giúp tránh chọn phạm vi thiếu hoặc triển khai một dự án lớn hơn nhu cầu thực tế.

TISAX AL2 và AL3 khác nhau như thế nào

Cấp độ đánh giá mô tả cách đánh giá; không phải thang điểm trưởng thành của hệ thống. Cần xác nhận mục tiêu đánh giá và phạm vi, thay vì chỉ hỏi “làm AL2 hay AL3”. (ENX – TISAX Participant Handbook)

Cập nhật VDA ISA2027 cho kế hoạch đánh giá

ENX đã công bố ISA2027 trong năm 2026. Phiên bản này áp dụng cho các cuộc đánh giá được đặt từ ngày 01/01/2027. (ENX – VDA ISA2027)

Nếu dự án kéo sang năm 2027, doanh nghiệp nên xác nhận bằng văn bản với đơn vị đánh giá: ngày đặt đánh giá, phiên bản ISA áp dụng và lịch đánh giá ban đầu. Không quyết định phiên bản chỉ theo ngày bắt đầu thuê tư vấn. Lưu bản ISA đang sử dụng cùng ngày tải để tránh các bộ phận tự đánh giá trên những phiên bản khác nhau.

Quy trình đánh giá TISAX và cách tổ chức dự án

Luồng thực hiện gồm đăng ký phạm vi, lựa chọn đơn vị đánh giá được ENX phê duyệt, đánh giá và trao đổi kết quả. Tự đánh giá theo ISA là phần chuẩn bị quan trọng. (ENX – About TISAX) Doanh nghiệp có thể tổ chức công việc thành các bước dưới đây; đây là cách lập kế hoạch triển khai, không phải hệ thống cấp độ bổ sung của TISAX.

Bước 1 Làm rõ đầu vào từ khách hàng

Lập danh sách thông tin cần bảo vệ, địa điểm tham gia, yêu cầu kết quả và hạn hoàn thành. Cử một đầu mối liên hệ với khách hàng để chốt những điểm chưa rõ. Đầu ra nên là một bảng yêu cầu đã được xác nhận, có người phụ trách từng nội dung.

Bước 2 Đối chiếu phạm vi và phiên bản ISA

Vẽ luồng thông tin từ khi tiếp nhận đến khi lưu trữ, sử dụng, chia sẻ và hủy bỏ. Đánh dấu nơi có dữ liệu, người có quyền tiếp cận và đơn vị cung cấp dịch vụ liên quan. Dùng sơ đồ này để trao đổi phạm vi và lịch áp dụng phiên bản với đơn vị đánh giá.

Bước 3 Tự đánh giá và lập danh sách khoảng cách

Với từng yêu cầu áp dụng, ghi cách doanh nghiệp đang thực hiện, người chịu trách nhiệm và đường dẫn tới bằng chứng. Những câu trả lời chỉ có “đã thực hiện” cần được làm rõ. Sắp xếp hành động theo mức độ rủi ro, thời gian triển khai và sự phụ thuộc giữa các bộ phận.

Bước 4 Triển khai biện pháp và tạo bằng chứng vận hành

Cập nhật quy trình đồng thời với cấu hình hệ thống, đào tạo người dùng và kiểm tra tại hiện trường. Ví dụ, sau khi sửa quy trình thu hồi tài khoản, cần kiểm tra một trường hợp nghỉ việc thực tế để biết quy trình có được thực hiện đủ và đúng thời điểm hay không.

Bước 5 Chuẩn bị buổi đánh giá

Thống nhất lịch, đầu mối và cách cung cấp bằng chứng. Lập danh mục tài liệu để tìm nhanh, nhưng vẫn kiểm soát quyền truy cập và dữ liệu nhạy cảm. Nhân sự phụ trách cần giải thích được cách làm thực tế, thay vì chỉ đọc lại quy trình.

Bước 6 Khắc phục và theo dõi hiệu lực

Nếu có phát hiện, xác định nguyên nhân, hành động, người chịu trách nhiệm và bằng chứng hoàn thành. Với một lỗi lặp lại, cần kiểm tra cả các bộ phận hoặc địa điểm có điều kiện tương tự. Thống nhất tiến độ và cách xác nhận khắc phục với đơn vị đánh giá.

Bước 7 Hoàn tất trao đổi kết quả và duy trì

Kiểm tra đối tác đã nhận đúng kết quả cần thiết. Sau dự án, đưa các hoạt động rà soát quyền truy cập, diễn tập, đào tạo và xử lý thay đổi vào lịch quản lý thường xuyên. Khi đổi địa điểm, hệ thống hoặc phạm vi xử lý thông tin, cần xem xét ảnh hưởng tới phạm vi đã đánh giá.

Checklist hồ sơ và bằng chứng chuẩn bị TISAX

Bảng dưới đây là gợi ý tổ chức công việc. Đây không phải danh mục tài liệu bắt buộc giống nhau cho mọi doanh nghiệp; cần đối chiếu từng yêu cầu ISA áp dụng, mục tiêu và phạm vi đã thống nhất.

Ví dụ chuẩn bị tại một nhà máy linh kiện

Ví dụ minh họa: một nhà máy nhận bản vẽ từ khách hàng, chuyển cho kỹ thuật lập hướng dẫn rồi gửi một phần dữ liệu cho nhà thầu gia công. Khi rà soát, doanh nghiệp phát hiện thư mục dự án cho phép quá nhiều người truy cập và tài khoản của một nhân sự đã nghỉ vẫn còn hoạt động.

Kế hoạch cải tiến nên gồm: xác định chủ sở hữu thư mục, lập ma trận quyền theo vai trò, thu hồi tài khoản, kiểm tra người nhận dữ liệu bên ngoài và quy định cách đóng dự án. Bằng chứng nên cho thấy quyền đã thay đổi trên hệ thống, có người phê duyệt và có kiểm tra sau thực hiện. Một quy trình mới ban hành nhưng chưa áp dụng sẽ chưa giải quyết được tình huống này.

Chi phí đánh giá TISAX gồm những khoản nào

Không nên dùng một mức giá chung cho mọi nhà máy. Phạm vi, số địa điểm, mục tiêu bảo vệ và hiện trạng hệ thống là các yếu tố cần làm rõ khi yêu cầu báo giá. Đơn vị đánh giá cần các thông tin này để xác định công việc và chi phí phù hợp. (DQS – Đánh giá TISAX)

Khi so sánh báo giá, nên yêu cầu cùng một phạm vi và tách chi phí đánh giá khỏi chi phí tư vấn, hạ tầng và nguồn lực nội bộ. Đừng cắt các hạng mục thiết yếu chỉ để giảm ngân sách trên giấy rồi phải khắc phục gấp trước buổi đánh giá.

Triển khai TISAX mất bao lâu

Doanh nghiệp cần lập tiến độ sau khi biết khoảng cách thực tế và lịch của đơn vị đánh giá. Một hệ thống đã vận hành ổn định sẽ có công việc khác với nhà máy chưa kiểm soát đầy đủ tài khoản, sao lưu hoặc nhà thầu. Những thay đổi cần mua sắm, thi công hoặc phối hợp nhiều địa điểm thường ảnh hưởng lớn tới thời hạn.

Cách lập kế hoạch hữu ích là đi ngược từ mốc khách hàng cần kết quả: dự phòng thời gian khắc phục, chốt lịch đánh giá, dành thời gian vận hành thử và xác nhận các hạng mục mua sắm. Mỗi đầu việc cần có người phụ trách và điều kiện hoàn thành rõ ràng. Thời gian dự kiến phải được cập nhật khi có thay đổi phạm vi.

Câu hỏi thường gặp về TISAX

Có ISO 27001 rồi có cần làm TISAX không

ISO/IEC 27001 và TISAX liên quan đến an toàn thông tin nhưng có cách đánh giá và đầu ra khác nhau. Doanh nghiệp vẫn cần đối chiếu yêu cầu TISAX của khách hàng; hệ thống ISO 27001 có thể hỗ trợ chuẩn bị, nhưng không tự động thay thế kết quả TISAX. (DQS – Đánh giá TISAX)

TISAX Label có hiệu lực bao lâu

TISAX Label thông thường có thời hạn ba năm. Doanh nghiệp nên kiểm tra ngày hiệu lực của kết quả cụ thể trên ENX Portal; nhãn tạm thời có điều kiện và thời hạn riêng. (ENX – TISAX Participant Handbook)

AL2 có nghĩa là chỉ cần làm tài liệu không

Không nên hiểu như vậy. Bản tự đánh giá cần được hỗ trợ bằng bằng chứng phù hợp. Doanh nghiệp nên chuẩn bị để giải thích cách thực hiện, người chịu trách nhiệm và kết quả kiểm tra, thay vì chỉ cung cấp danh mục quy trình.

Có phải mua phần mềm mới để chuẩn bị TISAX không

Hãy đánh giá mức đáp ứng và rủi ro của hệ thống đang dùng trước khi quyết định đầu tư. Công cụ mới chỉ hữu ích khi giải quyết một khoảng cách cụ thể và có người vận hành, giám sát. Doanh nghiệp cần cân nhắc cả cấu hình, quy trình, năng lực nhân sự và chi phí duy trì.

Cần gửi gì khi yêu cầu tư vấn TISAX

Nên cung cấp yêu cầu khách hàng, số địa điểm, loại thông tin được xử lý, hiện trạng IT, các hệ thống quản lý đang áp dụng và thời hạn cần kết quả. Khi trao đổi ban đầu, có thể mô tả dữ liệu thay vì gửi ngay bản vẽ hoặc tài liệu mật.

Phạm vi hỗ trợ chuẩn bị TISAX của ITVC

Nội dung đề nghị trao đổi có thể gồm: rà soát hiện trạng, tổ chức bản tự đánh giá, hướng dẫn hồ sơ và bằng chứng, phân công trách nhiệm và chuẩn bị làm việc với đơn vị đánh giá. Phạm vi dịch vụ cụ thể cần được xác nhận trong đề xuất và hợp đồng. Đánh giá độc lập thực hiện qua TISAX Audit Provider được ENX phê duyệt.

Xem thêm: Dịch vụ tư vấn TISAX của ITVC Toàn Cầu.