Critères communs (Common Criteria) — certification

Les Critères Communs (ISO/IEC 15408) sont un cadre international pour l'évaluation indépendante des caractéristiques de sécurité des produits informatiques. L'évaluation est effectuée par rapport aux affirmations d'un produit dans son document Cible de sécurité, et le résultat est un niveau d'assurance d'évaluation (EAL 1-7). Grâce au Common Criteria Recognition Arrangement (CCRA), les certificats sont mutuellement reconnus entre les pays participants.

• Fabricants de cartes à puce, d'éléments sécurisés et de HSM
• Fabricants de dispositifs de sécurité réseau (pare-feu, VPN)
• Développeurs de systèmes d'exploitation et de bases de données
• Fabricants de produits informatiques dans le cadre des marchés publics et de défense
• Fabricants de puces d'identification électronique et de passeport

Généralement non obligatoire ; cela est souvent exigé dans les marchés publics et de défense. Dans certains secteurs (par exemple les cartes de paiement, l'identité électronique), cela est effectivement obligatoire. L'évaluation est effectuée dans un laboratoire accrédité et le certificat est délivré par l'autorité nationale du programme.

• Définir la cible d’évaluation (TOE) et ses limites
• Sélection d'un profil de protection (PP) ou préparation d'une cible de sécurité (ST)
• Exigences fonctionnelles de sécurité (SFR) : authentification, contrôle d'accès, support cryptographique, audit, protection des données
• Exigences d'assurance de sécurité (SAR) : développement, documents d'orientation, support du cycle de vie, tests, évaluation des vulnérabilités
• Niveaux d'assurance de l'évaluation (EAL 1-7) et justification du choix
• Analyse de vulnérabilité et tests d'intrusion (approfondissement avec le niveau)
• Évaluation dans un laboratoire accrédité (ITSEF)
• Certification par l'autorité nationale du système
• Maintenance des certificats et évaluation des mises à jour des produits

1. 1Application et description du produitLa famille de produits, la liste des modèles, les spécifications techniques et le marché cible sont déterminés. La norme applicable et le parcours de certification deviennent clairs à cette étape.
2. 2Examen du dossier techniqueLes documents de conception, la nomenclature, les certificats de composants critiques et les instructions d'utilisation sont examinés.
3. 3Tests de produitsLes tests exigés par la norme concernée sont effectués. Le rapport d'essai constitue la base fondamentale de la décision de certification.
4. 4Audit d'usineSi le schéma l'exige, la continuité de la fabrication et le contrôle de production en usine (CFP) sont vérifiés sur place.
5. 5Délivrance du certificat et marquageUne fois la conformité vérifiée, le certificat est délivré ; les règles de marquage du produit et de l'emballage sont appliquées.
6. 6Vérifications de suiviSelon le programme, des audits périodiques des usines et/ou des tests de suivi sur des échantillons prélevés sur le marché sont effectués.

La période de validité varie selon le système : certains certificats de produits sont indéfinis et reposent sur des audits périodiques en usine, tandis que certains systèmes (par exemple, les marques de marché nationales) nécessitent un renouvellement annuel ou par expédition. Chaque modification de conception du produit nécessite une révision du certificat.

• La liste des modèles et variantes de produits
• Dessins techniques, schémas et nomenclature
• Certificats pour les composants critiques
• Le mode d'emploi et un exemple d'étiquette
• Rapports de tests existants, le cas échéant
• Détails du site de production

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

• Le nombre de modèles et de variantes dans la famille de produits
• La portée du test exigée par la norme applicable
• Si un audit d'usine est requis
• Le nombre de marchés cibles et si chacun nécessite des tests séparés
• Si les rapports de test existants peuvent être acceptés

La certification des produits est effectuée selon la norme ISO/IEC 17065 ; Les tests qui constituent la base de la certification sont effectués dans des laboratoires accrédités ISO/IEC 17025. Les deux périmètres sont distincts. La reconnaissance entre les organismes d'accréditation est assurée par le biais des accords IAF et ILAC.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

• IEC 62443Cybersécurité de l'automatisation industrielle
• Cybersecurity AssessmentÉvaluation de la cybersécurité
• ISO/IEC 27001Gestion de la sécurité de l'information
• ISO/IEC 27017Sécurité du cloud
• ISO/IEC 27018Données personnelles dans le cloud
• ISO/IEC 27701Gestion des informations confidentielles
• ISO/IEC 42001Système de gestion de l'intelligence artificielle
• SOC 1Contrôles des rapports financiers