این گواهی چیست؟
معیارهای مشترک (ISO/IEC 15408) یک چارچوب بین المللی برای ارزیابی مستقل ویژگی های امنیتی محصولات فناوری اطلاعات است. ارزیابی در برابر ادعاهایی که یک محصول در سند هدف امنیتی خود مطرح می کند انجام می شود و نتیجه آن یک سطح تضمین ارزیابی (EAL 1-7) است. به لطف ترتیبات تشخیص معیارهای مشترک (CCRA)، گواهینامه ها به طور متقابل بین کشورهای شرکت کننده به رسمیت شناخته می شوند.
برای چه کسانی لازم است؟
- تولیدکنندگان کارت هوشمند، عنصر امن و HSM
- سازندگان دستگاه های امنیتی شبکه (فایروال، VPN).
- توسعه دهندگان سیستم عامل و پایگاه داده
- تولیدکنندگان محصولات فناوری اطلاعات در محدوده تدارکات عمومی و دفاعی
- تولید کنندگان تراشه شناسه و گذرنامه الکترونیکی
آیا اجباری است؟
به طور کلی اجباری نیست؛ اغلب در تدارکات عمومی و دفاعی مورد نیاز است. در برخی بخش‌ها (مانند کارت‌های پرداخت، شناسه الکترونیکی) عملاً اجباری است. ارزیابی در یک آزمایشگاه معتبر انجام می شود و گواهی توسط مرجع طرح ملی صادر می شود.
دامنه استاندارد
- تعریف هدف ارزیابی (TOE) و مرزهای آن
- انتخاب یک نمایه حفاظتی (PP) یا تهیه یک هدف امنیتی (ST)
- الزامات عملکردی امنیتی (SFR): احراز هویت، کنترل دسترسی، پشتیبانی رمزنگاری، ممیزی، حفاظت از داده ها
- الزامات تضمین امنیت (SARs): توسعه، اسناد راهنمایی، پشتیبانی چرخه عمر، آزمایش، ارزیابی آسیب پذیری
- سطوح اطمینان ارزیابی (EAL 1-7) و دلیل انتخاب
- تجزیه و تحلیل آسیب پذیری و تست نفوذ (تعمیق با سطح)
- ارزیابی در آزمایشگاه معتبر (ITSEF)
- صدور گواهینامه توسط سازمان ملی طرح
- نگهداری گواهی و ارزیابی به روز رسانی محصول
فرآیند صدور گواهی
- 1کاربرد و توضیحات محصولخانواده محصول، لیست مدل، مشخصات فنی و بازار هدف مشخص می شود. استاندارد قابل اجرا و مسیر صدور گواهینامه در این مرحله مشخص می شود.
- 2بررسی فایل فنیاسناد طراحی، صورتحساب مواد، گواهینامه های اجزای حیاتی و دستورالعمل استفاده مورد بررسی قرار می گیرد.
- 3تست محصولتست های استاندارد مربوطه انجام می شود. گزارش آزمون مبنای اساسی برای تصمیم گیری گواهینامه است.
- 4حسابرسی کارخانهاگر طرح به آن نیاز داشته باشد، تداوم ساخت و کنترل تولید کارخانه (FPC) در محل تأیید می شود.
- 5صدور گواهینامه و علامت گذاریپس از تأیید انطباق، گواهی صادر می شود. قوانین علامت گذاری برای محصول و بسته بندی اعمال می شود.
- 6ممیزی های بعدیبسته به طرح، ممیزی های دوره ای کارخانه و/یا آزمایشات بعدی بر روی نمونه های گرفته شده از بازار انجام می شود.
مدت اعتبار
مدت اعتبار بسته به طرح متفاوت است: برخی از گواهی‌های محصول نامشخص هستند و به ممیزی‌های دوره‌ای کارخانه متکی هستند، در حالی که برخی از طرح‌ها (مانند علائم بازار کشور) نیاز به تمدید سالانه یا هر محموله دارند. هر تغییر طراحی در محصول مستلزم بررسی گواهی است.
مدارک لازم
- لیست مدل ها و انواع محصول
- نقشه های فنی، نمودارها و صورتحساب مواد
- گواهی برای اجزای حیاتی
- دستورالعمل استفاده و یک برچسب نمونه
- گزارش های آزمایشی موجود، در صورت وجود
- جزئیات سایت تولید
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد مدل ها و انواع در خانواده محصول
- محدوده آزمون استاندارد قابل اجرا مورد نیاز است
- اینکه آیا ممیزی کارخانه مورد نیاز است یا خیر
- تعداد بازارهای هدف و اینکه آیا هر کدام به آزمایش جداگانه نیاز دارند یا خیر
- آیا می توان گزارش های آزمون موجود را پذیرفت یا خیر
اعتباربخشی
گواهینامه محصول تحت ISO/IEC 17065 انجام می شود. آزمایش هایی که مبنای صدور گواهینامه را تشکیل می دهند در آزمایشگاه هایی با اعتبار ISO/IEC 17025 انجام می شوند. این دو حوزه مجزا هستند. شناسایی بین نهادهای اعتباربخشی از طریق توافق نامه های IAF و ILAC ارائه می شود.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
آیا محصولی با EAL بالاتر ایمن تر است؟
نه لزوما. EAL نشان می دهد که ادعای امنیتی چقدر دقیق ارزیابی شده است، نه اینکه خود ادعا چقدر گسترده است. یک EAL بالا که در برابر یک هدف امنیتی باریک به دست می‌آید می‌تواند به معنای محافظت کمتری نسبت به EAL پایین‌تر در برابر یک هدف گسترده باشد. هنگام مقایسه محصولات، سند هدف امنیتی باید خوانده شود.
نمایه حفاظتی (PP) چیست؟
این مجموعه استاندارد شده ای از الزامات امنیتی برای یک کلاس محصول خاص است. ارزیابی‌هایی که با ادعای انطباق با یک PP انجام می‌شوند، قابلیت مقایسه بین محصولات را فراهم می‌کنند. شناسایی متقابل تحت CCRA نیز به شدت به ارزیابی های مبتنی بر PP متکی است.