Ortak Kriterler (Common Criteria) Belgelendirmesi

Common Criteria (ISO/IEC 15408), bilgi teknolojisi ürünlerinin güvenlik özelliklerinin bağımsız olarak değerlendirilmesi için uluslararası bir çerçevedir. Değerlendirme, ürünün güvenlik hedefi (Security Target) dokümanında beyan ettiği iddialara karşı yapılır ve sonuçta bir Değerlendirme Güvence Seviyesi (EAL 1-7) verilir. Ortak Kriterler Tanıma Düzenlemesi (CCRA) sayesinde sertifikalar taraf ülkelerde karşılıklı tanınır.

• Akıllı kart, güvenli eleman ve HSM üreticileri
• Ağ güvenlik cihazı (güvenlik duvarı, VPN) üreticileri
• İşletim sistemi ve veri tabanı geliştiricileri
• Kamu ve savunma alımlarına giren BT ürünü üreticileri
• Elektronik kimlik ve pasaport çipi üreticileri

Genel olarak zorunlu değildir; kamu ve savunma alımlarında sıkça şart koşulur. Bazı sektörlerde (ör. ödeme kartları, elektronik kimlik) fiilen zorunludur. Değerlendirme, yetkilendirilmiş bir laboratuvarda yapılır ve sertifikayı ulusal şema otoritesi düzenler.

• Değerlendirme Hedefi (TOE — Target of Evaluation) tanımı ve sınırları
• Koruma Profili (PP) seçimi veya Güvenlik Hedefi (ST) hazırlanması
• Güvenlik fonksiyonel şartları (SFR): kimlik doğrulama, erişim kontrolü, kriptografik destek, denetim, veri koruması
• Güvenlik güvence şartları (SAR): geliştirme, kılavuz dokümanlar, yaşam döngüsü desteği, test, zafiyet değerlendirmesi
• Değerlendirme Güvence Seviyeleri (EAL 1-7) ve seçim gerekçesi
• Zafiyet analizi ve sızma testi (seviyeye göre derinleşir)
• Yetkilendirilmiş laboratuvarda (ITSEF) değerlendirme
• Ulusal şema otoritesi tarafından sertifikalandırma
• Sertifika sürdürme ve ürün güncellemelerinin değerlendirilmesi

1. 1Başvuru ve Ürün TanımıÜrün ailesi, model listesi, teknik özellikler ve hedef pazar belirlenir. Uygulanacak standart ve belgelendirme yolu bu adımda netleşir.
2. 2Teknik Dosya İncelemesiTasarım dokümanları, malzeme listesi, kritik bileşen sertifikaları ve kullanım kılavuzu incelenir.
3. 3Ürün Testleriİlgili standardın gerektirdiği deneyler yapılır. Test raporu, belgelendirme kararının temel dayanağıdır.
4. 4Fabrika DenetimiŞema gerektiriyorsa üretim yerinde imalatın sürekliliği ve ürün kontrolü (FPC) doğrulanır.
5. 5Belge Düzenlenmesi ve İşaretlemeUygunluk doğrulandığında belge düzenlenir; ürün ve ambalaj üzerindeki işaretleme kuralları uygulanır.
6. 6Takip DenetimleriŞemaya göre periyodik fabrika denetimi ve/veya piyasadan numune alınarak takip testi yapılır.

Geçerlilik süresi şemaya göre değişir: kimi ürün belgesi süresiz olup periyodik fabrika denetimine bağlıdır, kimi şema (ör. ülke pazar işaretleri) yıllık veya sevkiyat bazlı yenileme ister. Ürün tasarımında yapılan her değişiklik belgenin gözden geçirilmesini gerektirir.

• Ürün model ve varyant listesi
• Teknik çizim, şema ve malzeme listesi
• Kritik bileşenlerin sertifikaları
• Kullanım kılavuzu ve etiket örneği
• Varsa mevcut test raporları
• Üretim yeri bilgileri

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Ürün ailesindeki model ve varyant sayısı
• Uygulanacak standardın gerektirdiği test kapsamı
• Fabrika denetimi gerekip gerekmediği
• Hedef pazar sayısı ve her pazarın ayrı test isteyip istemediği
• Mevcut test raporlarının kabul edilip edilemeyeceği

Ürün belgelendirmesi ISO/IEC 17065 kapsamında yürütülür; belgelendirmeye dayanak olan deneyler ise ISO/IEC 17025 akreditasyonuna sahip laboratuvarlarda yapılır. İki kapsam birbirinden ayrıdır. Akreditasyon kurumları arasındaki tanınma IAF ve ILAC anlaşmalarıyla sağlanır.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• IEC 62443Endüstriyel Otomasyon Siber Güvenliği
• Cybersecurity AssessmentSiber Güvenlik Değerlendirmesi
• ISO/IEC 27001Bilgi Güvenliği Yönetimi
• ISO/IEC 27017Bulut Güvenliği
• ISO/IEC 27018Bulutta Kişisel Veri
• ISO/IEC 27701Gizlilik Bilgi Yönetimi
• ISO/IEC 42001Yapay Zeka Yönetim Sistemi
• SOC 1Finansal Raporlama Kontrolleri