注意 | VDA-ISA5.0.4版本已更新！汽車企業(yè)如何增強供應(yīng)鏈信息安全？
汽車行業(yè)擁有廣泛而復(fù)雜的供應(yīng)鏈，包括汽車整車制造商、不同層級的零部件廠商、供應(yīng)商、服務(wù)商等眾多企業(yè)。在這個鏈條上，其中任何一家企業(yè)的網(wǎng)絡(luò)安全問題不論是數(shù)據(jù)泄密還是內(nèi)外部攻擊都有可能對整個供應(yīng)鏈造成巨大影響。
比如2021年6月，某德國汽車公司有330萬名客戶的數(shù)據(jù)遭泄露。與此同時，另一世界聞名的豪華汽車品牌也發(fā)生數(shù)據(jù)泄露事件，共計不到1000人的信用得分、駕駛證號碼、社會保險號碼、信用卡信息等個人信息處于公開可訪問狀態(tài)。而在今年4月，某美國汽車公司也被曝出，在線客戶的賬戶出現(xiàn)了可疑登錄，導(dǎo)致在未經(jīng)授權(quán)的情況下使用了客戶的獎勵積分兌換禮品。今年10月，某日本汽車公司也被爆使用其T-connect服務(wù)的29.6萬客戶的個人信息可能被泄露，包括電子郵箱地址、客戶管理號碼等。
在層出不窮的信息安全事件之下，供應(yīng)商如何向主機廠商證明其自身的信息安全能力，如何保護主機廠的原型、樣件、各類商業(yè)機密與客戶數(shù)據(jù)，成為了汽車行業(yè)近年來的熱門話題。
為保護汽車行業(yè)數(shù)據(jù)交互的安全，德國汽車工業(yè)協(xié)會 (VDA) 多年前就基于 ISO27000 系列標準建立了 VDA-ISA（Information Security Assessment）信息安全評估標準。VDA 于2017年聯(lián)合ENX推出新的“可信信息安全評估交換 Trusted Information Security Assessment Exchange (TISAX) ”機制，此機制可以實現(xiàn)汽車行業(yè)信息安全評估的相互認可，并提供通用的評估和交換機制。
TISAX 認證適用于汽車行業(yè)上下游供應(yīng)鏈中的所有組織。奔馳、寶馬、大眾、奧迪等主機廠都已強制要求其各個級別的供應(yīng)商必須通過 TISAX 認證，才能與之進行數(shù)據(jù)交換；國內(nèi)眾多零部件供應(yīng)商也都接到了主機廠的通知而紛紛著手準備。
經(jīng)過多年的推廣實施，已有數(shù)千家企業(yè)獲得了 TISAX 標簽。通過收集各家機構(gòu)在評估過程中對于標準內(nèi)容的反饋，推動 TISAX 標準更好地適用于全球汽車產(chǎn)業(yè)鏈，VDA 已更新至 VDA-ISA 5.0.4 版本。
VDA-ISA 5.0.4 信息安全評估標準主要內(nèi)容
（針對標紅部分，寧盾將給出對應(yīng)解決方案）
1、信息安全制度和組織
? 建立企業(yè)信息安全制度
? 明確責任，分擔職責，定期審查
? 進行資產(chǎn)管理
? 信息安全風險管理
2、人力資源安全
? 檢查員工的適用性
? 確保員工遵守政策并了解不當行為的后果
? 通過培訓培養(yǎng)員工安全意識
? 遠程辦公時需要采取相應(yīng)保護措施
?? 標準要求：
? 遠程辦公時需要采取相應(yīng)保護措施
在標準中2.1.4提到，企業(yè)在遠程辦公時必須滿足通過安全連接（例如VPN）和強身份驗證獲得對企業(yè)網(wǎng)絡(luò)的訪問權(quán)限。
?? 寧盾解決方案：
為確保VPN登錄安全，獲得訪問權(quán)限，用戶身份需要進行認證，要求對賬號密碼進一步加固，寧盾提供雙因素MFA認證解決方案，在原有靜態(tài)密碼基礎(chǔ)之上加動態(tài)口令，支持短信、郵件、H5、APP、推送認證、硬件令牌等多種形式，實現(xiàn)用戶強身份驗證要求。
3、物理環(huán)境安全
? 對敏感信息處理設(shè)施的安全區(qū)域的定義、保護和監(jiān)測
? 對自然災(zāi)害、故意襲擊或事故產(chǎn)生影響的應(yīng)對
? 信息安全要求和危機事件下的ISMS的連續(xù)性的界定、實施、核實和評估
? 移動設(shè)備和移動存儲設(shè)備的保護
?? 標準要求：
? 對敏感信息處理設(shè)施的安全區(qū)域的定義、保護和監(jiān)測
在標準中3.1.1提到，企業(yè)需要保護網(wǎng)絡(luò)/基礎(chǔ)設(shè)施組件（自有或客戶網(wǎng)絡(luò)）免受未經(jīng)授權(quán)的訪問。在標準中5.2.7也提到，企業(yè)需要確定并滿足有關(guān)網(wǎng)絡(luò)分段的要求，適當分離自己的網(wǎng)絡(luò)和客戶網(wǎng)絡(luò)。
?? 寧盾解決方案：
通過寧盾有線無線網(wǎng)絡(luò)認證，可以區(qū)分員工、訪客、外包人員，滿足不同角色的有線無線上網(wǎng)認證需求，針對不同的用戶身份，可設(shè)置不同認證方式，如802.1x認證、Portal認證，分配不同的上網(wǎng)權(quán)限。并且支持多分支有線無線統(tǒng)一認證、授權(quán)、審計和無縫漫游。
4、身份和訪問管理
? 使用身份認證，保護網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用
? 確保只有授權(quán)用戶才能訪問信息和 IT 應(yīng)用程序
? 管理用戶賬戶、登錄信息（賬戶生命周期程序、何時禁用、審查）
? 特權(quán)用戶和技術(shù)賬戶的分配和使用的監(jiān)督審查
?? 標準要求：
? 使用身份認證，確保只有授權(quán)用戶才能訪問信息喝IT應(yīng)用程序
在標準中4.1.1和4.1.2和4.1.4提到，根據(jù)相關(guān)業(yè)務(wù)和安全要求定義和應(yīng)用用戶身份驗證程序；高級程序用于特權(quán)用戶帳戶的身份驗證（例如特權(quán)訪問管理、雙因素身份驗證）。在訪問具有非常高保護需求的數(shù)據(jù)之前，用戶需要根據(jù)現(xiàn)有技術(shù)通過強身份驗證（例如雙因素身份驗證）進行身份驗證。
?? 寧盾解決方案：
用戶需要根據(jù)賬號角色以及權(quán)限訪問不同的服務(wù)/應(yīng)用，同時要進行身份驗證確保用戶身份安全，寧盾提供對應(yīng)用的身份和權(quán)限進行管理，用戶只允許訪問權(quán)限內(nèi)的應(yīng)用服務(wù)，提供獨立的SSO單點登錄門戶使用，并且通過雙因素認證技術(shù)進行強身份驗證。
?? 標準要求：
? 管理用戶賬戶、登錄信息
在標準中4.1.3提到，第一次登錄后需要更改臨時或初始登錄信息；對登錄信息質(zhì)量的要求（例如密碼長度、字符類型）；員工離開企業(yè)后（例如，在雇傭合同終止時）立即禁用用戶帳戶。
?? 寧盾解決方案：
用戶登錄應(yīng)用/IT系統(tǒng)等資源，需要對用戶賬號登錄信息進行認證，監(jiān)控賬號的全生命周期，寧盾提供身份目錄服務(wù)能力，將員工的入職、轉(zhuǎn)崗、離職等信息轉(zhuǎn)化為賬號的創(chuàng)建、刪除和更新任務(wù)，提供員工入離職流程中，賬號的創(chuàng)建、回收以及禁用等自動化管理以及用戶身份認證的能力。
5、網(wǎng)絡(luò)安全
? 使用加密程序時考慮安全性
? 通過公共或私人網(wǎng)絡(luò)傳輸信息時，采取適當措施進行保護
? 企業(yè)在對業(yè)務(wù)流程和IT系統(tǒng)進行更改時需要考慮信息安全
? 開發(fā)、測試和生產(chǎn)系統(tǒng)根據(jù)風險分析結(jié)果實施分離
? 保護IT系統(tǒng)免受惡意軟件的侵害
? 對IT系統(tǒng)進行日志記錄
? 識別和解決漏洞
? IT系統(tǒng)審計，識別可能產(chǎn)生的危害
? 對網(wǎng)絡(luò)進行分段，區(qū)分員工網(wǎng)絡(luò)和客戶網(wǎng)絡(luò)
?? 標準要求：
? 保護 IT 系統(tǒng)免受惡意軟件的侵害
在標準中5.2.3提到，對于不使用惡意軟件防護軟件的，采取適當?shù)谋Ｗo措施禁用網(wǎng)絡(luò)訪問（例如給予很少的服務(wù)，網(wǎng)絡(luò)隔離等）
?? 寧盾解決方案：
通過寧盾終端準入，主動檢測各終端的合規(guī)性，包括終端類型、殺毒軟件狀態(tài)、補丁版本更新狀態(tài)、安裝的軟件、運行進程、網(wǎng)絡(luò)流量等，實時定位終端風險，并及時對其進行自動隔離，如切虛擬防火墻，切VLAN/802.1x等多種方式對終端網(wǎng)絡(luò)進行阻斷，保證入網(wǎng)終端的合規(guī)性。
6、供應(yīng)商關(guān)系
? 保證供應(yīng)商和合作伙伴之間的信息安全
? 通過保密協(xié)議為企業(yè)的信息提供法律保護
7、合規(guī)
? 確保遵守監(jiān)管和合同規(guī)定
? 根據(jù)相關(guān)國家法律和法規(guī)要求，考慮個人數(shù)據(jù)的隱私和保護
8、原型保護
? 確保物理和環(huán)境安全
? 對企業(yè)的管理要求
? 整車及零配件處理
? 對測試車輛的要求
? 活動拍攝及拍照要求
9、數(shù)據(jù)保護
? 數(shù)據(jù)保護的實施程度
? 個人身份數(shù)據(jù)處理的合法性保障措施
? 內(nèi)部或工作流程在數(shù)據(jù)保護法規(guī)下進行
? 有關(guān)處理流程在何種程度上記錄了其可受理性
國際社會對信息安全越來越重視，其中汽車行業(yè)因其自身本身就擁有極其復(fù)雜的上下游供應(yīng)鏈，其中任何一家企業(yè)發(fā)生信息安全問題都可能會對整個供應(yīng)鏈帶來安全隱患。寧盾作為身份管理廠商，針對汽車行業(yè)有成熟的解決方案，產(chǎn)品涉及雙因子認證、網(wǎng)絡(luò)準入、終端準入、單點登錄、NDS 國產(chǎn)LDAP目錄服務(wù)、NingDS 身份目錄云、網(wǎng)絡(luò)設(shè)備AAA管理等，已為 2400 余家中大型企業(yè)客戶解決企業(yè)終端安全和身份安全問題。
（本文來源于寧盾，僅供學習和參考，未經(jīng)授權(quán)禁止轉(zhuǎn)載和復(fù)制。如欲了解更多內(nèi)容，可前往寧盾官網(wǎng)博客解鎖更多干貨）
