ما هي الشهادة؟
المعايير المشتركة (ISO/IEC 15408) هي إطار عمل دولي للتقييم المستقل للميزات الأمنية لمنتجات تكنولوجيا المعلومات. يتم إجراء التقييم مقابل المطالبات التي يقدمها المنتج في مستند الهدف الأمني الخاص به، والنتيجة هي مستوى ضمان التقييم (EAL 1-7). بفضل ترتيبات الاعتراف بالمعايير المشتركة (CCRA)، يتم الاعتراف بالشهادات بشكل متبادل بين الدول المشاركة.
لمن هو مطلوب؟
- الشركات المصنعة للبطاقة الذكية والعنصر الآمن وHSM
- الشركات المصنعة لأجهزة أمان الشبكات (جدار الحماية، VPN).
- مطورو أنظمة التشغيل وقواعد البيانات
- مصنعي منتجات تكنولوجيا المعلومات ضمن نطاق المشتريات العامة والدفاعية
- الشركات المصنعة لبطاقات الهوية الإلكترونية ورقاقة جواز السفر
هل هو إلزامي؟
عموما ليس إلزاميا؛ غالبًا ما يكون مطلوبًا في المشتريات العامة والدفاعية. وفي بعض القطاعات (مثل بطاقات الدفع والهوية الإلكترونية) يكون ذلك إلزاميًا فعليًا. يتم التقييم في مختبر معتمد، ويتم إصدار الشهادة من قبل هيئة المخطط الوطني.
نطاق المواصفة
- تحديد هدف التقييم (TOE) وحدوده
- تحديد ملف تعريف الحماية (PP) أو إعداد هدف أمني (ST)
- المتطلبات الوظيفية الأمنية (SFRs): المصادقة، والتحكم في الوصول، ودعم التشفير، والتدقيق، وحماية البيانات
- متطلبات ضمان الأمن (SARs): التطوير، وثائق التوجيه، دعم دورة الحياة، الاختبار، تقييم الضعف
- مستويات ضمان التقييم (EAL 1-7) ومبرر الاختيار
- تحليل الثغرات الأمنية واختبار الاختراق (التعمق مع المستوى)
- التقييم في مختبر معتمد (ITSEF)
- التصديق من قبل هيئة المخطط الوطني
- صيانة الشهادة وتقييم تحديثات المنتج
عملية منح الشهادة
- 1التطبيق ووصف المنتجيتم تحديد عائلة المنتجات وقائمة الطرازات والمواصفات الفنية والسوق المستهدف. يصبح المسار القياسي وإصدار الشهادات المطبق واضحًا في هذه الخطوة.
- 2مراجعة الملف الفنيويتم فحص وثائق التصميم وقائمة المواد وشهادات المكونات الحرجة وتعليمات الاستخدام.
- 3اختبار المنتجيتم إجراء الاختبارات التي يتطلبها المعيار ذو الصلة. تقرير الاختبار هو الأساس الأساسي لقرار الشهادة.
- 4تدقيق المصنعإذا كان المخطط يتطلب ذلك، يتم التحقق من استمرارية التصنيع ومراقبة إنتاج المصنع (FPC) في الموقع.
- 5إصدار الشهادة والتأشيربمجرد التحقق من المطابقة، يتم إصدار الشهادة؛ يتم تطبيق قواعد وضع العلامات على المنتج والتعبئة والتغليف.
- 6متابعة عمليات التدقيقاعتمادًا على المخطط، يتم إجراء عمليات تدقيق دورية للمصنع و/أو اختبارات المتابعة على العينات المأخوذة من السوق.
مدة الصلاحية
تختلف فترة الصلاحية حسب المخطط: بعض شهادات المنتجات غير محددة وتعتمد على عمليات تدقيق دورية للمصنع، في حين تتطلب بعض المخططات (مثل علامات السوق القطرية) تجديدًا سنويًا أو لكل شحنة. يتطلب كل تغيير في تصميم المنتج مراجعة الشهادة.
المستندات المطلوبة
- قائمة نماذج المنتجات والمتغيرات
- الرسومات الفنية والرسوم البيانية وفاتورة المواد
- شهادات للمكونات الهامة
- تعليمات الاستخدام وتسمية العينة
- تقارير الاختبار الموجودة، إن وجدت
- تفاصيل موقع الإنتاج
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد النماذج والمتغيرات في عائلة المنتج
- نطاق الاختبار الذي يتطلبه المعيار المعمول به
- ما إذا كان التدقيق في المصنع مطلوبًا أم لا
- عدد الأسواق المستهدفة وما إذا كان كل منها يتطلب اختبارًا منفصلاً
- ما إذا كان يمكن قبول تقارير الاختبار الحالية
الاعتماد
يتم إصدار شهادة المنتج بموجب ISO/IEC 17065؛ يتم إجراء الاختبارات التي تشكل أساس الشهادة في مختبرات حاصلة على اعتماد ISO/IEC 17025. النطاقان منفصلان. يتم توفير الاعتراف بين هيئات الاعتماد من خلال اتفاقيات IAF و ILAC.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
هل المنتج الذي يحتوي على EAL أعلى أكثر أمانًا؟
ليس بالضرورة. يوضح EAL مدى دقة تقييم المطالبة الأمنية، وليس مدى اتساع نطاق المطالبة نفسها. يمكن أن يعني الحصول على EAL مرتفع مقابل هدف أمني ضيق حماية أقل من EAL الأقل التي تم الحصول عليها مقابل هدف واسع النطاق. يجب قراءة وثيقة الهدف الأمني عند مقارنة المنتجات.
ما هو ملف تعريف الحماية (PP)؟
إنها مجموعة موحدة من متطلبات الأمان لفئة منتج معينة. توفر التقييمات التي يتم إجراؤها مع ادعاء المطابقة لـ PP إمكانية المقارنة بين المنتجات؛ ويعتمد الاعتراف المتبادل بموجب قانون CCRA أيضًا بشكل كبير على التقييمات المستندة إلى PP.