セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

TISAX（Trusted Information Security Assessment Exchange）は、自動車産業のサプライチェーンで利用される情報セキュリティの評価・結果共有の仕組みです。自動車メーカーや一次サプライヤーから機密情報、試作車両、個人データなどを預かる企業では、取引条件としてTISAXラベルの提示を求められる場合があります。 TISAXはISO/IEC 27001のような「認証証明書を取得する制度」とは異なります。ENX Associationが運営する仕組みの中で、対象範囲と評価目的を登録し、ISA（Information Security Assessment）に基づく自己評価と、認定された監査プロバイダーによる評価を受けます。評価を通過するとTISAXラベルを取得し、結果を指定した取引先へ共有できます。 2026年9月時点ではISA 6が現行評価の基準です。一方、ENXとVDAは2026年7月に次期版「ISA2027」を公表しており、2027年1月1日以降に発注するTISAX評価からISA2027が適用されます。 TISAXとは TISAXは、自動車産業で企業間の情報セキュリティ評価を共通化し、その結果を取引先間で共有するための仕組みです。 自動車メーカーは、設計情報、試作情報、車両データ、顧客データなどを多数のサプライヤーやサービス事業者と共有します。各社が取引先ごとに個別監査を実施すると、評価する側・される側の双方に負担が生じます。 TISAXでは、共通の評価基準で評価を実施し、その結果をENX Portal経由で共有します。ENXはTISAXを「assessment and exchange mechanism（評価・交換の仕組み）」と説明しています。 TISAXの評価基準となるISAは、ISO/IEC 27001などの考え方を基礎としつつ、自動車産業のリスクやサプライチェーンの実態に合わせて更新されています。 なお、「TISAX認証」「TISAX認証取得」という表現が使われることがありますが、ENXは壁に掲示するような認証証明書を発行していません。評価を通過した企業が得るのは、評価結果を示すTISAXラベルです。 TISAXが対象になる企業 TISAXは自動車メーカーだけを対象にした仕組みではありません。自動車産業の取引の中で保護対象情報を扱う企業が対象になり得ます。 代表的には次のような企業です。 自動車部品メーカー 車載機器・電子部品メーカー ソフトウェア開発会社 システムインテグレーター クラウド・SaaS事業者 設計・研究開発の受託会社 試作・テスト関連事業者 データ処理・分析事業者 自動車関連企業から機密情報や個人データを預かる委託先 ただし、自動車業界と取引している企業が一律にTISAX評価を受けなければならないわけではありません。 実務では、まず取引先から「どのTISAXラベルが必要か」「どの拠点・業務を評価対象にするか」を確認します。ENXのParticipant Handbookでも、評価目的は取引先に代わって取り扱う情報の種類によって決まるとされています。 取引先から単に「TISAX対応が必要」と言われた場合は、評価目的と対象範囲を確認してから監査準備へ進みます。 TISAXの評価目的とAssessment Level TISAXでは、扱う情報や業務に応じて「Assessment Objective（評価目的）」を設定します。評価目的によって、ISAで確認される要求事項とAssessment Level（AL）が決まります。 2026年時点で利用される主な評価目的は次のとおりです。 評価目的 主な対象 Assessment Level Confidential 高い保護が必要な機密情報 AL2 Strictly confidential 非常に高い保護が必要な機密情報 AL3 High availability 高い可用性が必要な業務・情報 AL2 Very high availability 非常に高い可用性が必要な業務・情報 AL3 Proto parts 試作部品 AL3 Proto vehicles 試作車両 AL3 Test vehicles テスト車両 AL2 Proto events 試作関連イベント AL2 Data 個人データ AL2 Special data 特に保護が必要な個人データ AL3 AL1は自己評価を中心とする水準で、ENXはTISAX内では評価結果の信頼性が低いため利用していないと説明しています。 AL2では、監査プロバイダーが自己評価の妥当性を確認します。AL3では、証拠や実際の運用状況をより詳細に検証します。 「AL2とAL3のどちらを選ぶか」を自社だけで決めるのではなく、取引先が求めるTISAXラベルを起点に判断します。 TISAXとISO27001・ISMSの違い TISAXとISMS（ISO/IEC 27001）は、どちらも情報セキュリティマネジメントを扱いますが、制度の目的と評価方法が異なります。 比較項目 TISAX ISO/IEC 27001のISMS認証 主な用途 自動車産業の取引先間で評価結果を共有 業種を問わずISMSへの適合性を第三者認証 運営・枠組み ENX Association ISO規格と各国の認定・認証制度 評価基準 ISA ISO/IEC 27001 評価結果 TISAXラベル、評価結果 認証証明書 結果共有 ENX Portalで共有範囲を指定 認証情報を対外的に提示可能 評価範囲 TISAXのスコープ定義に従う 組織がISMS適用範囲を定義 自動車固有要件 試作保護などを含む 自動車固有の制度ではない ISO/IEC 27001の認証を取得していても、それだけでTISAXラベルを取得したことにはなりません。 ENXは、ISO/IEC 27001ではISMSの適用範囲と認証監査の範囲が一致するのに対し、TISAXではISMSの範囲と評価スコープが異なる場合があると説明しています。 ISMSの概要は「ISMSとは？認証取得するメリット・デメリットを解説」も参考になります。 TISAX評価の流れ ENXのParticipant Handbookは、TISAXのプロセスを大きく「Registration」「Assessment」「Exchange」の3段階に分けています。 段階 主な作業 Registration 参加者登録、評価スコープ、拠点、評価目的の登録 Assessment ISAによる自己評価、監査プロバイダー選定、初回評価、是正 Exchange TISAXラベル・評価結果を取引先へ共有 1. 取引先の要求を確認する 最初に確認するのは、取引先が必要としている評価目的です。 同じ企業でも、機密情報を扱う部署、試作車両を扱う施設、個人データを処理する業務では要求が異なる場合があります。 2. ENX Portalへ登録する 企業情報、拠点、評価スコープ、評価目的などを登録します。 評価対象に含める拠点を誤ると、評価を終えた後に「取引先情報を扱っている拠点がスコープ外だった」という問題が生じる可能性があります。 3. ISAで自己評価する ISAの質問票に沿って、自社の情報セキュリティ管理を評価します。 規程が存在するかだけでなく、規程どおり運用されているかを確認します。アクセス権限、ログ、インシデント対応、委託先管理などは、実際の運用記録を提示できる状態にしておきます。 4. ギャップを是正する 自己評価で要求を満たしていない項目を洗い出し、対策します。 設備改修が必要な試作保護と、規程改定やログ整備で対応できる項目では必要な期間が異なります。監査日から逆算するのではなく、先にギャップを把握します。 5. TISAX監査プロバイダーによる評価を受ける TISAX評価を実施できるのは、ENXが承認した監査プロバイダーです。 評価の結果、不適合がある場合は是正計画を作成し、必要に応じてフォローアップ評価を受けます。 6. ラベルを取得し結果を共有する 要求を満たした場合、対応するTISAXラベルを取得します。 評価結果は自動的にすべての企業へ公開されるわけではありません。ENX Portal上で、自社が共有先と共有レベルを管理します。 TISAX取得に必要な期間と費用 TISAXには「全社一律○万円」「必ず○か月で取得できる」という固定条件はありません。 企業規模、拠点数、評価目的、準備状況などが異なるためです。監査プロバイダーの費用も各社の算定によって異なります。 費用を見積もる場合は、少なくとも次を分けて確認します。 ENXへの登録・参加に関する費用 監査プロバイダーへ支払う評価費用 コンサルティングを利用する場合の費用 社内の規程整備・証跡作成にかかる工数 入退室管理、監視、ネットワーク等の設備・システム改修費 不適合の是正と追加評価にかかる費用 監査費用だけで予算を組むと、技術対策や物理対策の改修費が後から発生することがあります。 2027年からISA2027へ移行 2026年7月、ENXとVDAは次期基準となるVDA ISA2027を公表しました。 ISA2027は2027年1月1日以降に発注するTISAX評価へ適用されます。ENXは今後、ISAの名称を連番ではなく適用年で示し、原則として毎年夏に次年度版を公開する方針を示しています。 ISA2027では、サプライヤーのセキュリティ管理、試作保護、他基準とのマッピングなどが更新されています。 一方、ISAが毎年更新されるからといって、取得済みTISAXラベルを毎年更新する必要はありません。TISAXラベルの有効期間は原則3年間で、ENXはISAの年次更新によって再評価頻度が増えるわけではないと説明しています。 2026年後半から新規取得を進める企業は、監査プロバイダーへ「ISA 6で評価を開始するのか」「ISA2027へ移行するのか」を確認しておくとよいでしょう。 TISAX取得前に情報システム部門が確認したいポイント 取引先が要求するTISAXラベルを把握しているか 取引先情報を扱う拠点をすべて洗い出しているか 評価スコープと自社ISMSの適用範囲の違いを整理しているか ISAの自己評価を監査前に実施しているか 規程だけでなく、運用記録やログを提示できるか 委託先・再委託先の情報セキュリティ管理を確認できるか 試作車両・試作部品を扱う場合、物理的な保護要件を確認しているか 不適合の是正に必要な予算と担当部署を決めているか 取得後のラベル有効期限と更新時期を管理しているか 2027年以降に評価を発注する場合、ISA2027への対応を確認しているか まとめ TISAXは、自動車産業で取引先の情報セキュリティを共通基準で評価し、結果を共有するための仕組みです。 ISO/IEC 27001との共通点はありますが、評価スコープ、評価目的、試作保護、結果の共有方法が異なります。ISO/IEC 27001認証を取得済みでも、取引先からTISAXラベルを求められた場合は別途TISAXのプロセスが必要です。 新規取得では、監査対策から始めるのではなく、取引先が要求するラベル、対象拠点、ISA自己評価の順に整理します。2027年に評価を発注する企業は、ISA2027への移行も確認対象です。 出典 TISAX Participant Handbook - ENX Association TISAX - ENX Association Download Center / ISA2027・ISA 6 - ENX Association 10 Years of TISAX – VDA ISA2027 Released - ENX Association Informationssicherheit in Unternehmen - VDA

ブログ