自動車メーカーからプロトタイプを預かる。なぜ TISAX のプロトタイプ保護が必要か？それは認証か？
自動車メーカーがサプライヤーにプロトタイプを渡す場合、TISAX の評価範囲にプロトタイプ保護を含めるよう求めることがあります。TISAX は自動車メーカーの商業上の要求で、法的義務ではなく、ISO の認証でもありません。評価質問票 VDA ISA はドイツ自動車工業会（VDA）が定め、仕組みは ENX 協会が運営し、評価は ENX が承認した監査プロバイダーが行い、結果は評価ラベルとして ENX プラットフォームで自動車メーカーと共有され、有効期間は最長 3 年です。
TISAX を求める自動車メーカーや Tier 1 サプライヤーに対して評価結果を示せないと、サプライヤー資格審査の段階で制約を受けることがあります。
ISA2027 でプロトタイプ保護の何が変わったか？自社の案件にはどの版が適用されるか？
プロトタイプ保護の管理項目は 22 から 20 に絞られ、従来の 8.1〜8.5 の五つの節が、8.1 組織的要求と 8.2 物理的・環境的セキュリティの二つに統合されました。
版を決めるのは評価日ではなく委託日です。
- 2026 年 12 月 31 日までに委託：ISA 6.0.3 で完了可能
- 2027 年 1 月 1 日以降に委託：一律に ISA2027 を適用
既存のラベルは元の有効期間（最長 3 年）を維持し、前倒しの再評価は不要です。評価範囲にプロトタイプ保護を含む場合は、実際の対策が変わらなくても文書体系の再マッピングが必要です。
Basic と Facilities の違いは？AL2 と AL3 は自分で選べるか？
選べません。レベルは評価目標で決まります。ISA2027 はプロトタイプ保護のラベルを二つだけ残しています。
| ラベル | 証明するもの |
|---|---|
| Prototype Protection Basic（AL2） | プロトタイプ部品とプロトタイプ車両を安全に扱うプロセスと人員 |
| Prototype Protection Facilities（AL3） | さらに拠点の物理的保護を加え、Basic のすべての要求を含む |
AL2 は妥当性確認、証拠の確認、インタビューが中心で通常はビデオ会議、AL3 は監査員が現地で完全な検証を行います。プロダクトマネージャーはまず顧客が求めるラベルを確認し、どのプロセスと拠点を範囲に入れるかを決めます。
準備にどのくらいかかるか？自動車メーカーの案件スケジュールに間に合わないことはあるか？
サービスページ記載：既存のセキュリティ成熟度により、準備期間は通常 7〜12 か月以上で、ISO 27001 取得済みなら短縮できます。評価範囲にプロトタイプ保護を含み、2027 年以降に委託する予定なら、ISA2027 に沿って文書を作り直す時間を見込みます。ENX 自身も全体の期間は見積もれないと明言しています。
圧縮できない部分：
- 自己評価の質が初回評価の合否を左右し、不適合は是正とフォローアップ評価の後にしか完了しない
- 監査プロバイダーの日程は企業がコントロールできない
- 範囲の概要を監査プロバイダーに送った後は、範囲の変更は監査プロバイダーを通じてのみ可能
顧客の納期は実際に必要な準備期間より短いことが多いため、ラベルを確認して逆算し、監査プロバイダーの枠を早めに押さえます。
Tier 1 顧客から TISAX の結果を求められた。どう提供し、どの拠点を含めるか？
Tier 1 顧客がサプライヤーに TISAX の評価結果を求める場合、Tier 2 も評価を受ける必要があります。合格後はラベルを取得し、ENX プラットフォームで顧客と共有します。ラベルの有効期間は 3 年で、その間サーベイランス審査はなく、期間満了時には完全な再評価が必要です。
範囲の決め方：
- 範囲内のすべての拠点が評価対象。一つの範囲で中央のプロセスを共有できる
- まず、どの拠点が顧客情報を扱うかを確認する
- 範囲の設定を誤ると再評価になるため、監査契約の締結前に決める
プロトタイプ案件で AI ツールを使う場合や、製品自体がソフトウェアを含む場合、ほかに何を見るべきか？
三つを分けて考えます。
- AI ツール：顧客の機密データやプロトタイプのデータを扱う限り、その処理は TISAX で評価される情報セキュリティ管理の範囲に入り、AI ツールの利用も管理が必要です。
- 製品のサイバーセキュリティエンジニアリング：TISAX は情報セキュリティ管理に、ISO/SAE 21434 は車両製品開発のライフサイクル全体のサイバーセキュリティエンジニアリングに重点を置き、両者は代替ではなく補完の関係です。
- EU CRA：型式認可を受けた車両とその部品は CRA の対象外ですが、単独で販売される車載デジタル製品は対象のままです。例えばアフターマーケット機器、診断ツール、充電設備です。
積穗科研はプロダクトマネージャーの TISAX プロトタイプ保護対応をどう支援するか？
積穗科研はまず顧客の要求で範囲を決め、そのうえで仕組みと現場の証拠をつなげます。
- 範囲の設定と現状診断：情報セキュリティ、プロトタイプ保護、データ保護のモジュールで現状を確認し、評価範囲と目標レベル（AL2／AL3）を設定
- 是正計画と仕組みの構築：該当する場合はプロトタイプとデータ保護の作業要求を含む
- ISO/SAE 21434 との統合（オプション）：セキュリティ方針の枠組みとリスク評価の作業資料を共有
- 模擬評価と正式評価への同行
積穗科研は支援コンサルタントで認証機関ではなく、ラベルの取得は保証しません。実名の支援実績：億豐金屬工業（VDA ISA 6.0、SGS Taiwan 評価、TISAX ラベル取得）。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。詳しく：TISAX 評価支援、TISAX のスケジュール、億豐の事例。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- プロダクトマネージャーと EU CRA：自社製品は対象か、発売前に何をそろえるか？
- プロダクトマネージャーと EU AI 法：製品の AI は発売前に何を終えるべきか？
- プロダクトマネージャーと ISO/IEC 29147・30111：脆弱性の開示と修正をどう約束するか？
- プロダクトマネージャーと IEC 62443-4-2：産業制御製品の認証で発売は遅れるか？
- プロダクトマネージャーと ISO/SAE 21434：車載製品は自動車メーカーの開発監査をどう通るか？
- プロダクトマネージャーと ISO 42001：AI 製品のガバナンス要求に顧客へどう応えるか？
- プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？