[GM SSQ Readiness Practical Guide (1)] What Are GM TPCR·SSQ? Information Security Requirements Automotive Parts Suppliers Need to Know

Project Insight / By

GM SSQ Readiness Practical Guide — Four-Part Series

This four-part series explains the information security requirements of the global automotive supply chain and examines practical response strategies suited to the size and circumstances of small and mid-sized manufacturers.

  1. What Are GM TPCR·SSQ? Information Security Requirements Automotive Parts Suppliers Need to Know – This article
  2. GM SSQ Requirements Analysis: How Should Security Controls and Evidence Be Prepared? – Upcoming
  3. Cost-Effective GM SSQ Readiness: A Strategy for Building an Open-Source Security System – Upcoming
  4. Responding to the GM SSQ On-Site Assessment: From Interview Preparation to Continuous Security Operations – Upcoming

In an Automotive Parts Supply Contract, Information Security Is a Baseline Qualification

The competitiveness of automotive parts manufacturers has long been evaluated around Quality, Cost, and Delivery. With the digital transformation of the automotive industry and the growing connectivity of global supply chains, it is now an established fact that information security is also a basic qualification for sound management.

Automotive parts manufacturers handle a wide range of information, including customers’ design drawings and technical data, production information, and quality-control data, and they also operate IT systems connected to ERP, MES, production equipment, and suppliers. An information security incident in this environment can go beyond a simple system failure and lead to leakage of technical information, production stoppages, delivery delays, and a loss of trading confidence.

Following global automakers such as BMW, Volkswagen, and Daimler, General Motors (GM) also maintains information security policies and requirements for suppliers. Depending on the scope of a supplier’s contract, GM presents either the Third Party Cybersecurity Requirements (TPCR) or the Standard Security Questionnaire (SSQ) and requires a response.

This practical guide series sets TPCR aside and is limited to the SSQ. It provides practical guidance on where to start, what to prepare, and how to prepare for GM’s small and mid-sized automotive parts suppliers that do not have sufficient information security specialists or budget.

1. Understanding GM’s Supplier Information Security SSQ

The SSQ is not met by document preparation alone

The GM SSQ consists of five domains (Governance, Identify, Protect, Detect, Response) and 36 questions, and a related explanation is required when an item is not in a Compliant state. Simply having the relevant policies and guidelines in place is unlikely to be recognized as a Compliant state. Recognition requires connected evidence submitted in a three-tier structure (policies and procedures – execution and evidence – leadership review and improvement evidence).

In addition, a confirmation meeting follows the submission of evidence for each question, so it is also important that actual operating conditions match the evidence submitted.

Looking at an actual question as an example makes the meaning easier to understand.

[SSQ Actual Question Example — Detect Section, Question 4]

“Is the network infrastructure monitored and logs captured, analyzed and investigated? (Is the network infrastructure monitored, are logs collected and analyzed, and are identified anomalies investigated?)” 

If preparation for this question consists only of deploying a centralized log server and collecting logs from the network infrastructure, the item is very likely to be assessed as Partial or Not Compliant. To be assessed as Compliant, the following core activities and evidence are required.

  • (Identify scope) Has the network infrastructure to be monitored been identified?  Policy
  • (Check status) Is the status of the network infrastructure checked?  Execution
  • (Collect logs) Are the relevant network logs collected?  Execution
  • (Anomalies) Are logs analyzed and anomalies investigated?  Execution
  • (Blind-spot management) Are compensating measures applied to network infrastructure from which logs cannot be collected?  Execution
  • (Reporting and improvement) Is this reported to decision-makers on a regular (or ad hoc) basis?  Leadership

Therefore, specialists must first interpret the precise meaning of all 36 questions. On that basis, targets can be set for what to prepare, to what level, and how.

2. SSQ readiness must cover not only documents but actual operating conditions.

SSQ readiness does not end when evidence is submitted for each question. It also includes a confirmation-meeting stage and stages for assessment results and corrective action.

In addition, GM plans to repeat this management cycle regularly every year and therefore requires continuous maintenance of the information security level.

With this in mind, the phased procedure we propose is as follows.

Phased preparation activities for the SSQ assessment

The phased procedure below is the practical preparation process we propose.

  • Step-1 (Confirm requirements) Confirm the applicable TPISR·SSQ documents, the assessment scope, and the schedule
  • Step-2 (Self-assessment of the current state) Analyze the current operating level and gaps for each SSQ item
  • Step-3 (Strengthen security controls) Implement the required policies, procedures, and technical safeguards
  • Step-4 (Prepare responses and evidence) Review the adequacy of responses and secure related operating evidence
  • Step-5 (Prepare for on-site verification) Prepare for staff interviews, confirmation of actual operating conditions, and demonstrations
  • Step-6: (Post-improvement management: corrective actions and record management for identified gaps)

3. Practical Difficulties Faced by Small and Mid-Sized Automotive Parts Suppliers

SSQ readiness is therefore not a simple administrative task of answering information security questions. It is a combined undertaking that requires interpreting the requirements, implementing the necessary security controls, securing operating evidence, and being able to explain the actual state of implementation.

However, not every automotive parts supplier has sufficient specialists and investment capacity to carry out these activities.

According to 2025 statistics from the Korea Auto Industries Cooperative Association, 392 (55.9%) of the 701 tier-1 automotive parts suppliers that deliver directly to automakers in Korea are classified as small enterprises in those statistics. 

In this industrial structure, the information security challenge facing small and mid-sized manufacturers is not simply recognizing the importance of security. It is the need to implement multiple requirements to an actually operable level with limited staff and budget.

According to the “2025 Information Security Status Survey” published by the Ministry of Science and ICT and the Korea Information Security Industry Association, 80.6% of companies in Korea recognize information security as important, but only 52.6% have an information security policy and only 32.7% have conducted information security training.

Among companies that perform information security work, only 35.3% have a security organization.

These figures are not the result of a survey limited to automotive parts suppliers, but they show that companies in Korea face a gap between awareness of the importance of information security and actual response capability.

(1) Shortage of Information Security Specialists and Operating Capability

Among companies that perform information security work, 35.3% have a separate information security organization, and even among those that do, concurrent (dual-role) operation is common. In addition, 45.7% of companies cited operation and management of an information security management system as a major difficulty.

If an IT staff member at a manufacturer must handle the internal network, servers, business systems, and user support while also covering information security policy, vulnerability analysis, security monitoring, and incident response, the workload inevitably grows.

Rather than securing every dedicated security specialist in-house, it is necessary to draw a reasonable line between the role of internal staff and the scope of support from an external specialist organization.

(2) Difficulty Gaining Visibility into IT Assets and the Security Environment

To meet SSQ requirements, an organization must first confirm which IT·OT assets and systems exist and which security controls are applied where.

Manufacturers may operate systems with different characteristics, including not only general business PCs and servers but also ERP, MES, production equipment, and industrial networks.

In particular, equipment managed by equipment suppliers and OT environments in which production stoppages must be minimized are difficult to manage in the same way as ordinary IT assets.

The information security survey also found that 42.6% of companies have difficulty searching for the security products and services they need.

This suggests that, beyond simply choosing a new solution, it is important to identify precisely the assets that must be protected today and the security functions that are required.

A technical survey of existing IT·OT assets and the security environment should therefore come before the selection of security products.

(3) Implementation Cost of Security Solutions and the Ongoing Operating-Cost Burden

In the “2025 Information Security Status Survey,” the greatest difficulty cited by companies was securing an information security budget (49.1%), and only 54.8% of all companies reported that they actually use an information security budget.

When license, maintenance, system-upgrade, and operating-staff costs are considered together with the initial purchase cost of a security solution, the burden on the company grows further.

In particular, if log management, asset management, vulnerability management, access control, and backup and recovery must all be invested in at the same time for SSQ readiness, a phased approach that reflects the company’s size and capacity to invest is required.

It is important to review whether existing IT resources can be reused and to compare the total cost of ownership (TCO) of open-source and commercial solutions so that the required security controls can be implemented at a reasonable cost.

(4) Limited Experience with Evidence Management and On-Site Verification Response

Introducing an information security policy or system alone does not sufficiently demonstrate that management activities are actually taking place.

The information security survey in Korea found that 52.6% of companies have an information security policy and 32.7% conduct training, showing that differences among companies exist even in basic management activities.

That survey result does not, however, directly measure the level of SSQ evidence management.

Responding to an SSQ assessment requires, together with policy documents, materials that prove actual operation, such as system configuration records, inspection records, security-event investigation results, and corrective-action history.

In an on-site interview, the responsible staff must also be able to explain how security controls are operated and what results have been achieved.

It is therefore preferable to establish an evidence-management system so that routine security activities are recorded and can be verified whenever needed, rather than rushing to draft documents just before an assessment.

These difficulties are not unique to small and mid-sized manufacturers. They are a practical management challenge that small information security companies, which deliver professional security services with limited staff and budget, can also understand.

As a small enterprise ourselves, we understand the constraints of staffing and investment cost. Rather than recommending unconditional new investment or an excessive security system, we place importance on practical solutions that use existing capabilities and resources.

What GM SSQ readiness requires, in the end, is not the most expensive security solution or the most complex management system.

What matters is implementing the controls needed for the company’s size and environment, and making continuous operation and verification possible at a reasonable cost.

4. Three Directions for Cost-Effective GM SSQ Readiness

Taking into account the circumstances of manufacturers with limited specialists and budget, we propose the following three response principles.

Principle 1. Minimize new investment cost by reusing existing IT assets and the security system

Before purchasing a new security solution, existing servers, networks, security equipment, and operating procedures should be surveyed and confirmed.

Requirements that can be met by using the functions of systems already in place need to be distinguished from areas that require additional technology.

For example, if the log-collection functions of the existing firewall and servers can be used, a central log-management system may be built without replacing every device.

Using current assets and capabilities first reduces duplicate investment and concentrates budget on the security controls that are needed.

Principle 2. Turn SSQ requirements into actual security controls and operating evidence so that the assessment response is effective

For each SSQ question, the detailed control elements that must actually be implemented, the operating procedures, the responsible staff, and the evidence should be distinguished, and the target level to be achieved should be defined.

The log-management question in the Detect Section reviewed earlier can likewise be examined as separate activities: log collection, monitoring, analysis, and investigation.

This approach helps identify specifically what is already satisfied and what requires further improvement.

When assessors check actual operating conditions, the systems, operating records, and responsible staff related to each requirement can also be presented clearly.

Principle 3. Optimize the total cost of ownership of build and operation by using open source and external specialist capability

Comparing only the initial purchase cost when adopting a security solution makes it difficult to reach a sound investment decision.

In some security areas, open-source technology with no license fee can substantially reduce the cost burden of adopting a commercial product.

It depends on each company’s situation, but in our experience open-source technology can be applied to 27 SSQ items and can be implemented at 1/5 the cost of adopting commercial products.

Open source also incurs design, implementation, maintenance, upgrade, and technical-support costs, so the level of requirements coverage and the total cost of ownership (TCO) should be reviewed together.

Given corporate environments in which it is difficult to secure every security specialist in-house, monitoring, inspection, technical support, and evidence-management work can be supplemented through the Managed Security services of an external information security specialist firm.

This approach can be a practical alternative for maintaining the required information security level continuously while reducing excessive initial investment and the burden of operating staff.

5. Five-Phase Roadmap Proposed by WIKI Security

We propose an approach that links GM SSQ readiness not to a one-time assessment response but to building an information security system that can be operated continuously.

  • Phase 1 (Technical Discovery & Fact Finding) Identify the current state of IT/OT assets, systems, and security management
  • Phase 2 (SSQ Gap Assessment) Analyze the current state of each item, set implementation targets and approaches, and design the Roadmap
  • Phase 3 (Baseline Implementation) Build and implement the targeted administrative and technical security controls in phases
  • Phase 4 (Managed Security Operation) Security monitoring, periodic inspection, and technical operations management
  • Phase 5 (Continuous Improvement) Evidence management, assessment response, mock on-site verification, and continuous improvement

The approach we propose aims to carry out the activities required for SSQ readiness in phases, make the fullest use of the existing IT environment, and secure a continuous information security operating system.

The security controls and operating evidence that are established can also be used later when reviewing other customers’ information security requirements or an ISO/IEC 27001-based management system.

They do not automatically satisfy a different customer’s assessment scheme or an international standard, and a separate requirements analysis is necessary.

6. How Prepared Is Your Company for GM SSQ Readiness?

Being able to answer the 36 GM SSQ questions and being sufficiently prepared for the actual assessment are two different matters.

The level of assessment readiness varies depending on whether the requirements of each question are accurately understood, how far the actual security controls have been implemented, whether evidence supporting the answers is ready, and whether operating conditions can be demonstrated in an on-site interview.

WIKI Security provides the “GM SSQ Assessment Readiness Self-Check” so that this level of preparation can be checked easily.

This self-check covers 10 areas, including requirements analysis, current-state assessment, improvement planning, security-control implementation, evidence management, on-site verification, and continuous operation.

Answering each question shows the current stage of preparation and the areas that need further improvement.

[Start the GM SSQ Assessment Readiness Self-Check]  

(*) This self-check is a reference tool designed by WIKI Security for internal reference. It does not represent GM’s official assessment score or a conformity determination.

7. WIKI Security’s GM SSQ Readiness Support Services

GM SSQ readiness is not completed simply by answering 36 questions and submitting evidence. A sequence of work must be carried out systematically, from accurate interpretation of the requirements through diagnosis of the current level, implementation of security controls, securing of operating evidence, and response to on-site verification.

Drawing on experience in information security consulting, vulnerability assessment, security architecture design, and security technology implementation, WIKI Security provides professional services suited to a company’s level of preparation for the GM SSQ assessment and to its actual operating conditions.

In particular, so that small and mid-sized manufacturers without sufficient dedicated information security staff or budget can receive selective support for the work they need, we propose the following five services.

  1. Requirement Analysis (Requirements analysis): Interpretation of SSQ requirements, analysis of the detailed security controls for the 36 questions, and definition of the assessment subjects and scope of application
  2. Gap Assessment (Current-state and gap diagnosis): Diagnosis of the current security-control level, identification of gaps, setting of target levels, and development of an improvement roadmap
  3. Baseline Implementation (Implementation of security controls): Use of existing IT·OT resources, application of open-source and commercial technology, and verification that security controls are built and operating normally
  4. Evidence Readiness Review (Verification of evidence readiness): Mapping of SSQ answers to evidence, verification of consistency with actual operating conditions, and review of the adequacy of submission materials
  5. Mock Assessment & Managed Security (Mock assessment and continuous operation): Pre-checks of on-site interviews and demonstrations, support for operating staff during the response, security monitoring, and continuous evidence management

Selective Support Matched to the Company’s Level of Preparation

A company that already operates some security controls does not need to build an entire security system from scratch. For example, a company that has difficulty interpreting SSQ requirements and setting the scope of application can start with Requirements Analysis, while a company that has already implemented security controls but is uncertain about the adequacy of its evidence can focus on the Evidence Readiness Review.

A company that lacks a dedicated information security organization can also supplement continuous security management and evidence maintenance through Managed Security that uses external specialists.

WIKI Security pursues an approach that makes the fullest use of a company’s existing IT assets and security investment, applies specialist technology and resources only where they are needed, and manages total build and operating cost on a reasonable basis. Together with the customer, we review a realistic direction of response, taking into account the customer’s size, existing security investment, operating staff, and assessment requirements.

WIKI Security Co., Ltd.