技術文章

TISAX AL3 資訊安全要求完整指南：汽車供應鏈的最高安全標準

深入解析 TISAX AL3 評估等級的完整資訊安全要求，包含密碼學控制、資料傳輸保護、金鑰管理與輪替策略。協助汽車產業供應商順利通過現場稽核。

作者：雲杉科技安全團隊
#TISAX #AL3 #資訊安全 #加密 #HSM #金鑰管理 #汽車產業 #ISO27001 #VDA #合規

TISAX AL3：汽車產業資訊安全的最高標準

在全球汽車產業供應鏈中，TISAX (Trusted Information Security Assessment Exchange) 已成為最重要的資訊安全評估標準。特別是 AL3 評估等級，代表著業界對資訊安全保護的最高要求，適用於處理極敏感資料的組織。

AL3 適用情境

  • 未發表的車輛設計圖與技術文件
  • 原型車輛與零件資訊
  • 碰撞測試數據與 AI 系統資料
  • 被分類為「機密」或「絕密」的資料

TISAX 評估等級比較

TISAX 提供三個評估等級，各有不同的要求與適用對象：

評估等級評估方式適用對象保護需求稽核深度
AL1自我評估內部使用低無外部稽核
AL2遠端稽核一般供應商中等敏感資訊文件審查
AL3現場稽核最敏感資料處理極高實地驗證

AL3 的獨特要求

AL3 作為最高評估等級，具有以下特點：

  • 強制性現場稽核：由 ENX 認證的獨立稽核員親自到場
  • 實地驗證：不僅審查文件，更要實際檢驗控制措施
  • 人員訪談：與各層級員工進行深度訪談
  • 物理安全檢查：檢查實體環境與門禁系統
  • 成熟度要求：必須達到成熟度等級 3（已建立）以上

成熟度等級框架

TISAX 評估基於 VDA ISA 目錄 v6.0，使用成熟度模型評估 ISMS 品質：

Mermaid diagram

要通過 AL3 評估，組織必須在相關控制項目達到成熟度等級 3 以上，這意味著安全流程必須：

  • 標準化且文件完整
  • 在組織內一致應用
  • 定期審查與更新
  • 有明確的責任歸屬

資訊安全管理系統 (ISMS) 核心要求

1. 完整的 ISO 27001 框架

AL3 要求組織建立完整的 ISMS，包含：

管理層承諾

  • 高階管理層的資訊安全政策聲明
  • 明確的資源配置與責任分工
  • 定期的管理審查會議

風險管理

  • 系統化的風險評估方法
  • 資產盤點與分類
  • 風險處理計畫
  • 殘餘風險的接受與監控

持續改進

  • 內部稽核程序
  • 矯正與預防措施
  • 管理審查與改進

2. 實體安全控制

處理敏感汽車資料的區域必須實施嚴格的實體保護：

高敏感區域保護措施

✓ 生物辨識或多因素門禁系統
✓ 周邊防護（圍籬、監視系統）
✓ 入侵偵測與警報系統
✓ 嚴格的訪客管理與陪同制度
✓ 安全區域分級管理
✓ 實體媒體的加密與安全銷毀

3. 存取控制原則

最小權限原則

  • 員工僅能存取執行職務所需的最小資源
  • 定期審查存取權限（建議每季）
  • 自動化權限到期機制

職責分離

  • 關鍵操作需要多人授權
  • 避免單一人員擁有過大權限
  • 開發、測試、生產環境分離

特權帳號管理

  • 集中管理所有特權帳號
  • 所有特權操作完整記錄
  • 定期審查特權帳號使用情況

密碼學控制：AL3 的核心重點

密碼學控制是 AL3 評估中最重要的技術領域之一。稽核員會深入檢查組織如何保護靜態、傳輸中和使用中的資料。

資料加密的三種狀態

Mermaid diagram

加密演算法要求

AL3 要求使用經過驗證的強加密演算法：

加密類型允許使用禁止使用
對稱式加密AES-256, AES-128DES, 3DES, RC4
非對稱式加密RSA-2048+, ECC (P-256+)RSA-1024
雜湊函數SHA-256, SHA-384, SHA-512MD5, SHA-1

金鑰管理生命週期

這是 AL3 稽核的重點檢查項目。完整的金鑰管理必須涵蓋：

1. 金鑰生成

要求：
✓ 使用密碼學安全的亂數產生器 (QRNG, TRNG, CSPRNG)
✓ 金鑰長度符合當前安全標準
✓ 記錄生成時間、用途、負責人員

2. 金鑰儲存

關鍵原則：
✗ 嚴禁將金鑰與加密資料存放在同一位置
✓ 金鑰本身必須加密保護（Key Encryption Key）
✓ 使用專用金鑰管理系統或 HSM
✓ 實施職責分離

不良範例 ❌

# 將密碼直接寫在程式碼或設定檔
password = "MySecretKey123"
connection_string = "Server=db;Password=MySecretKey123"

良好範例 ✓

# 從安全的金鑰管理系統取得
import key_vault_client

# 執行時才從金鑰庫取得
db_password = key_vault_client.get_secret("database_password")
connection_string = f"Server=db;Password={db_password}"

3. 金鑰輪替（Key Rotation）

AL3 對金鑰輪替的實際要求

重要說明

TISAX AL3 並未明確規定「金鑰必須每 X 個月輪替」。但要求組織必須：

  • 建立金鑰輪替機制與政策
  • 基於風險評估決定輪替週期
  • 將政策文件化並確實執行
  • 保留完整的輪替記錄

業界參考標準（NIST SP 800-57）

金鑰類型建議輪替週期說明
根金鑰 (Root Key)2-5 年最高層級，用於加密其他金鑰
主加密金鑰 (KEK)1-3 年用於加密資料加密金鑰
資料加密金鑰 (DEK)3-12 個月直接用於加密資料
API 金鑰3-6 個月應用程式介面存取金鑰
Session Key每次會話TLS/VPN 連線金鑰

德國汽車產業常見做法

根據資料敏感度：
- 極敏感資料（未發表設計）：6 個月
- 高敏感資料（供應商資料）：12 個月
- 一般敏感資料：24 個月

必須立即輪替的情況

無論原定排程，以下情況必須立即更換金鑰：

1. 金鑰洩露或懷疑洩露
   - 員工離職且曾有金鑰存取權
   - 系統被入侵
   - 備份媒體遺失

2. 人員異動
   - 關鍵管理人員離職
   - 職責變更

3. 加密演算法弱點被發現
   - 該演算法被證實有漏洞
   - 需更換為更強演算法

4. 法規或政策要求
   - 新的合規要求
   - 客戶合約要求

金鑰輪替實施流程

Mermaid diagram

信封加密（Envelope Encryption）優化

對於大量資料，建議使用信封加密降低輪替成本：

概念：
- 使用主金鑰（KEK）加密資料金鑰（DEK）
- 輪替時只需重新加密 DEK
- 不需要重新加密所有資料
- 大幅降低輪替時間與成本

硬體安全模組 (HSM) 的重要性

對於 AL3 等級的敏感金鑰管理，強烈建議使用 HSM：

HSM 的核心優勢

Mermaid diagram

典型應用場景

  • 根金鑰與主加密金鑰儲存
  • 數位簽章私鑰保護
  • PKI 憑證授權中心（CA）私鑰
  • Code Signing 金鑰管理

資料傳輸保護

AL3 要求所有包含敏感資料的網路傳輸都必須加密。

TLS/SSL 協定要求

必須使用

  • TLS 1.2（最低要求）
  • TLS 1.3（建議使用，更安全更快）

嚴格禁止

  • SSL 2.0, SSL 3.0（已被破解）
  • TLS 1.0, TLS 1.1（存在安全漏洞）

協定對照表

通訊類型不安全協定 ❌安全協定 ✓
網頁瀏覽HTTPHTTPS (TLS)
檔案傳輸FTPSFTP, FTPS
電子郵件SMTP, POP3SMTP over TLS, IMAPS
遠端登入TelnetSSH
資料庫連線未加密TLS/SSL 加密
VPNPPTPOpenVPN, IPsec, WireGuard

VPN 與遠端存取要求

員工遠端存取公司系統時的安全要求：

✓ 使用強加密（AES-256）
✓ 雙因素認證（密碼 + OTP/生物辨識）
✓ 僅允許授權使用者連線
✓ 記錄所有 VPN 連線活動
✓ 定期審查 VPN 存取權限
✓ VPN 閒置自動斷線
✓ 分割隧道政策管理

電子郵件安全

郵件傳輸加密

✓ 伺服器間使用 TLS 加密
✓ 啟用 STARTTLS
✓ SPF、DKIM、DMARC 配置

郵件內容加密

對於包含敏感資訊的郵件，必須額外加密：

S/MIME（建議）

✓ 端到端加密
✓ 需要數位憑證
✓ 支援數位簽章
✓ 主流郵件客戶端支援

PGP/GPG

✓ 開源端到端加密
✓ 公鑰/私鑰體系
✓ 廣泛社群支援

實務做法範例

情境：寄送未發表車輛設計圖給供應商

基本做法 ✓：
1. 使用公司郵件系統（有 TLS 加密）
2. 檔案放在加密的壓縮檔
3. 密碼另外用電話告知

進階做法 ✓✓：
1. 使用 S/MIME 加密郵件本體
2. 檔案本身也加密
3. 透過企業安全檔案傳輸平台
4. 設定下載期限與通知

安全檔案傳輸

禁止的做法 ❌

✗ 免費雲端硬碟（個人 Dropbox、Google Drive）
✗ 即時通訊軟體傳送（WhatsApp、WeChat）
✗ 未加密的 USB 隨身碟
✗ 未加密的 FTP

允許的做法 ✓

✓ 企業級安全檔案傳輸平台
✓ 企業版雲端儲存（有加密與存取控制）
✓ SFTP 伺服器
✓ 符合政策的加密 USB
✓ 具備 DLP 功能的檔案傳輸系統

檔案傳輸平台必備功能

安全功能：
✓ 傳輸加密（TLS 1.2+）
✓ 儲存加密（AES-256）
✓ 細緻的存取控制
✓ 有效期限管理
✓ 下載通知與記錄
✓ 完整稽核軌跡
✓ 自動防毒掃描
✓ 檔案大小與下載次數限制

無線網路安全

Wi-Fi 加密標準

✓ 必須使用 WPA3 或 WPA2-Enterprise
✗ 禁止 WPA2-Personal（共享密碼）
✗ 絕對禁止 WEP 或開放式 Wi-Fi

企業 Wi-Fi 架構

✓ 訪客 Wi-Fi 與企業 Wi-Fi 完全隔離
✓ 企業 Wi-Fi 需個人帳號認證（802.1X）
✓ 不同安全等級網路分開（OT 與 IT 隔離）
✓ 無線入侵偵測系統（WIDS）

稽核準備：關鍵成功因素

稽核員會問的問題

關於金鑰管理政策

問：「貴公司的金鑰管理政策規定了什麼輪替週期?」

好的答案：
"我們的政策規定：
- 資料加密金鑰每 12 個月輪替
- API 金鑰每 6 個月輪替
- 根金鑰每 3 年輪替
這些週期基於風險評估結果訂定"

不好的答案：
"我們沒有明確規定時間"
"我們想到才換"

關於風險評估

問：「如何決定這個輪替週期?」

好的答案：
"我們評估了：
- 資料敏感度（包含未發表車輛設計）
- 參考 NIST SP 800-57 建議
- 技術可行性
- 同業最佳實踐
因此決定 12 個月週期"

不好的答案：
"沒有特別評估，覺得這樣就好"

關於執行證據

檢查內容：
□ 輪替記錄（時間、人員、版本）
□ 上次輪替何時？
□ 是否按照政策執行？
□ 有無逾期未輪替的金鑰？
□ 自動化機制？

稽核準備檢查清單

密碼學控制

□ 加密政策已制定並核准
□ 使用經認證的加密演算法
□ 金鑰管理程序已建立
□ 金鑰輪替政策已實施
□ 輪替記錄完整保存
□ HSM 已部署（如需要）
□ 職責分離已落實
□ 數位簽章機制已實施

資料傳輸保護

□ 所有系統使用 TLS 1.2+
□ TLS 1.0/1.1 已停用
□ SSL 2.0/3.0 已停用
□ SSL/TLS 憑證有效且定期更新
□ VPN 使用雙因素認證
□ 電子郵件傳輸加密
□ 敏感郵件使用 S/MIME 或 PGP
□ 檔案傳輸使用安全平台
□ 行動裝置已加密並受管理
□ Wi-Fi 使用 WPA3 或 WPA2-Enterprise

記錄與證據

□ 加密實施記錄
□ 金鑰輪替記錄
□ VPN 連線日誌
□ 檔案傳輸記錄
□ 憑證更新記錄
□ 例外情況記錄
□ 風險評估文件
□ 內部稽核報告

雲杉科技的 TISAX AL3 解決方案

作為 Thales 在台灣的核心合作夥伴，雲杉科技提供完整的 TISAX AL3 合規解決方案：

Luna Network HSM

FIPS 140-3 Level 3 認證

  • 符合 AL3 最高安全等級要求
  • 防篡改硬體保護
  • 金鑰永不離開 HSM

金鑰管理優勢

  • 集中管理所有加密金鑰
  • 支援自動化金鑰輪替
  • 高可用性叢集配置
  • 完整的稽核日誌

專業服務

技術實施

  • 加密作業與系統規劃
  • HSM 部署與配置
  • 加密解決方案整合
  • 金鑰管理系統建置

總結：成功通過 AL3 的關鍵

核心要點

1. 確保資料在任何狀態都受保護

- 儲存時（Data at Rest）→ 加密
- 傳輸時（Data in Transit）→ TLS/VPN
- 使用時（Data in Use）→ 安全環境

2. 完整的金鑰生命週期管理

產生 → 儲存 → 分發 → 輪替 → 銷毀
每個環節都需要嚴格控制與記錄

3. 基於風險的管理方法

- 不是所有金鑰都相同
- 根據敏感度決定控制強度
- 持續風險評估與調整

4. 可證明的有效執行

- 不只有政策，要實際執行
- 保留完整記錄
- 定期審查與改進

AL3 vs AL2 關鍵差異

項目AL2AL3
評估方式遠端稽核現場稽核
檢查深度文件審查實地驗證
人員訪談可能有必定有
物理安全無檢查實體環境
證據要求文件文件 + 實際運作

TISAX AL3 不只是一張證書，更是提升組織資訊安全成熟度的契機。透過系統化的準備與專業技術支援，您的組織將能順利通過評估，並建立長期的安全競爭優勢。

相關文章

標籤: #TISAX #AL3 #資訊安全 #加密 #HSM #金鑰管理 #汽車產業 #ISO27001 #VDA #合規

← 返回部落格列表