Τι είναι το πιστοποιητικό;

Το Common Criteria (ISO/IEC 15408) είναι ένα διεθνές πλαίσιο για την ανεξάρτητη αξιολόγηση των χαρακτηριστικών ασφαλείας των προϊόντων τεχνολογίας πληροφοριών. Η αξιολόγηση πραγματοποιείται έναντι των αξιώσεων που κάνει ένα προϊόν στο έγγραφο Στόχου Ασφάλειας και το αποτέλεσμα είναι ένα Επίπεδο Διασφάλισης Αξιολόγησης (EAL 1-7). Χάρη στη συμφωνία αναγνώρισης κοινών κριτηρίων (CCRA), τα πιστοποιητικά αναγνωρίζονται αμοιβαία μεταξύ των χωρών που συμμετέχουν.

Ποιοι το χρειάζονται;

Κατασκευαστές έξυπνων καρτών, ασφαλών στοιχείων και HSM
Κατασκευαστές συσκευών ασφαλείας δικτύου (τείχος προστασίας, VPN).
Προγραμματιστές λειτουργικών συστημάτων και βάσεων δεδομένων
Κατασκευαστές προϊόντων πληροφορικής εντός του πεδίου των δημοσίων και αμυντικών προμηθειών
Κατασκευαστές τσιπ ηλεκτρονικών ταυτοτήτων και διαβατηρίων

Είναι υποχρεωτικό;

Γενικά δεν είναι υποχρεωτικό. Συχνά απαιτείται στις δημόσιες προμήθειες και τις προμήθειες στον τομέα της άμυνας. Σε ορισμένους τομείς (π.χ. κάρτες πληρωμής, ηλεκτρονική ταυτότητα) είναι ουσιαστικά υποχρεωτικό. Η αξιολόγηση πραγματοποιείται σε διαπιστευμένο εργαστήριο και το πιστοποιητικό εκδίδεται από την εθνική αρχή του συστήματος.

Πεδίο εφαρμογής του προτύπου

Καθορισμός του στόχου αξιολόγησης (TOE) και των ορίων του
Επιλογή Προφίλ Προστασίας (PP) ή προετοιμασία στόχου ασφαλείας (ST)
Λειτουργικές απαιτήσεις ασφαλείας (SFR): έλεγχος ταυτότητας, έλεγχος πρόσβασης, κρυπτογραφική υποστήριξη, έλεγχος, προστασία δεδομένων
Απαιτήσεις διασφάλισης ασφάλειας (SARs): ανάπτυξη, έγγραφα καθοδήγησης, υποστήριξη κύκλου ζωής, δοκιμές, αξιολόγηση ευπάθειας
Επίπεδα διασφάλισης αξιολόγησης (EAL 1-7) και το σκεπτικό της επιλογής
Ανάλυση τρωτότητας και δοκιμή διείσδυσης (εμβάθυνση με το επίπεδο)
Αξιολόγηση σε διαπιστευμένο εργαστήριο (ITSEF)
Πιστοποίηση από την εθνική αρχή του συστήματος
Συντήρηση πιστοποιητικού και αξιολόγηση ενημερώσεων προϊόντων

Διαδικασία πιστοποίησης

1Εφαρμογή και Περιγραφή ΠροϊόντοςΚαθορίζεται η οικογένεια προϊόντων, η λίστα μοντέλων, οι τεχνικές προδιαγραφές και η αγορά-στόχος. Το ισχύον πρότυπο και η διαδρομή πιστοποίησης καθίστανται σαφείς σε αυτό το βήμα.
2Ανασκόπηση τεχνικού φακέλουΕξετάζονται τα έγγραφα σχεδιασμού, ο λογαριασμός υλικών, τα πιστοποιητικά κρίσιμων συστατικών και οι οδηγίες χρήσης.
3Δοκιμή προϊόντοςΠραγματοποιούνται οι δοκιμές που απαιτεί το σχετικό πρότυπο. Η έκθεση δοκιμής είναι η θεμελιώδης βάση για την απόφαση πιστοποίησης.
4Έλεγχος εργοστασίουΕάν το απαιτεί το σύστημα, η συνέχεια της κατασκευής και ο έλεγχος της παραγωγής στο εργοστάσιο (FPC) επαληθεύονται επί τόπου.
5Έκδοση Πιστοποιητικού και ΣήμανσηΜόλις επαληθευτεί η συμμόρφωση, εκδίδεται το πιστοποιητικό. εφαρμόζονται οι κανόνες σήμανσης για το προϊόν και τη συσκευασία.
6Επακόλουθοι έλεγχοιΑνάλογα με το σχέδιο, πραγματοποιούνται περιοδικοί έλεγχοι στο εργοστάσιο ή/και δοκιμές παρακολούθησης σε δείγματα που λαμβάνονται από την αγορά.

Διάρκεια ισχύος

Η περίοδος ισχύος ποικίλλει ανάλογα με το σύστημα: ορισμένα πιστοποιητικά προϊόντων είναι αόριστα και βασίζονται σε περιοδικούς ελέγχους στο εργοστάσιο, ενώ ορισμένα συστήματα (π.χ. σήματα αγοράς χώρας) απαιτούν ετήσια ανανέωση ή ανανέωση ανά αποστολή. Κάθε αλλαγή σχεδιασμού στο προϊόν απαιτεί έλεγχο του πιστοποιητικού.

Απαιτούμενα έγγραφα

Η λίστα με τα μοντέλα και τις παραλλαγές προϊόντων
Τεχνικά σχέδια, διαγράμματα και λογαριασμός υλικών
Πιστοποιητικά για κρίσιμα εξαρτήματα
Οδηγίες χρήσης και δείγμα ετικέτας
Υπάρχουσες εκθέσεις δοκιμών, εάν υπάρχουν
Στοιχεία τοποθεσίας παραγωγής

Κόστος πιστοποίησης

Δεν υπάρχει σταθερή τιμή καταλόγου· το κόστος υπολογίζεται βάσει των παρακάτω μεταβλητών και παρέχεται γραπτώς στην προσφορά.

Ο αριθμός των μοντέλων και των παραλλαγών στην οικογένεια προϊόντων
Το εύρος δοκιμής που απαιτεί το ισχύον πρότυπο
Εάν απαιτείται έλεγχος εργοστασίου
Ο αριθμός των αγορών-στόχων και εάν η καθεμία απαιτεί ξεχωριστές δοκιμές
Εάν οι υπάρχουσες αναφορές δοκιμών μπορούν να γίνουν αποδεκτές

Διαπίστευση

Η πιστοποίηση προϊόντος πραγματοποιείται σύμφωνα με το ISO/IEC 17065. Οι δοκιμές που αποτελούν τη βάση για την πιστοποίηση πραγματοποιούνται σε εργαστήρια με διαπίστευση ISO/IEC 17025. Τα δύο πεδία είναι χωριστά. Η αναγνώριση μεταξύ των φορέων διαπίστευσης παρέχεται μέσω συμφωνιών IAF και ILAC.

Το πεδίο εφαρμογής στο οποίο μπορεί να προσφερθεί αυτό το σχήμα ποικίλλει ανάλογα με το προϊόν και τη δραστηριότητά σας· επιβεβαιώνεται γραπτώς στο στάδιο της προσφοράς.

Πεδίο εφαρμογής και εξουσιοδοτήσεις

Σχετικές πιστοποιήσεις

Συχνές ερωτήσεις

Είναι πιο ασφαλές ένα προϊόν με υψηλότερο EAL;

Όχι απαραίτητα. Το EAL δείχνει πόσο αυστηρά αξιολογήθηκε η αξίωση ασφάλειας και όχι πόσο ευρεία είναι η ίδια η αξίωση. Ένα υψηλό EAL που επιτυγχάνεται έναντι ενός στενού στόχου ασφαλείας μπορεί να σημαίνει λιγότερη προστασία από ένα χαμηλότερο EAL που επιτυγχάνεται έναντι ενός ευρύτερου στόχου. Το έγγραφο του Στόχου Ασφαλείας θα πρέπει να διαβάζεται κατά τη σύγκριση προϊόντων.

Τι είναι το Προφίλ Προστασίας (PP);

Είναι ένα τυποποιημένο σύνολο απαιτήσεων ασφαλείας για μια συγκεκριμένη κατηγορία προϊόντων. Οι αξιολογήσεις που πραγματοποιούνται με ισχυρισμό συμμόρφωσης με ένα PP παρέχουν συγκρισιμότητα μεταξύ των προϊόντων. Η αμοιβαία αναγνώριση βάσει του CCRA βασίζεται επίσης σε μεγάλο βαθμό σε αξιολογήσεις που βασίζονται σε PP.

Κοινά Κριτήρια (Common Criteria) — πιστοποίηση