Che cos'è il certificato?

Common Criteria (ISO/IEC 15408) è un quadro internazionale per la valutazione indipendente delle caratteristiche di sicurezza dei prodotti informatici. La valutazione viene eseguita in base alle dichiarazioni fornite da un prodotto nel documento relativo agli obiettivi di sicurezza e il risultato è un livello di garanzia della valutazione (EAL 1-7). Grazie al Common Criteria Recognition Arrangement (CCRA), i certificati sono reciprocamente riconosciuti tra i paesi partecipanti.

A chi serve?

Produttori di smart card, secure element e HSM
Produttori di dispositivi di sicurezza di rete (firewall, VPN).
Sviluppatori di sistemi operativi e database
Produttori di prodotti IT nell'ambito degli appalti pubblici e della difesa
Produttori di documenti di identità elettronici e chip per passaporti

È obbligatorio?

Generalmente non obbligatorio; è spesso richiesto negli appalti pubblici e della difesa. In alcuni settori (es. carte di pagamento, carta d’identità elettronica) è di fatto obbligatoria. La valutazione viene effettuata presso un laboratorio accreditato e il certificato viene rilasciato dall'autorità nazionale del sistema.

Campo di applicazione della norma

Definire l'Obiettivo della Valutazione (TOE) e i suoi confini
Selezione di un profilo di protezione (PP) o preparazione di un obiettivo di sicurezza (ST)
Requisiti funzionali di sicurezza (SFR): autenticazione, controllo degli accessi, supporto crittografico, audit, protezione dei dati
Requisiti di garanzia della sicurezza (SAR): sviluppo, documenti guida, supporto del ciclo di vita, test, valutazione della vulnerabilità
Livelli di garanzia della valutazione (EAL 1-7) e motivazione della scelta
Analisi delle vulnerabilità e penetration testing (approfondimento con il livello)
Valutazione presso un laboratorio accreditato (ITSEF)
Certificazione da parte dell'autorità nazionale del sistema
Mantenimento del certificato e valutazione degli aggiornamenti del prodotto

Processo di certificazione

1Applicazione e descrizione del prodottoVengono determinati la famiglia di prodotti, l'elenco dei modelli, le specifiche tecniche e il mercato di riferimento. La norma applicabile e il percorso di certificazione diventano chiari in questa fase.
2Revisione del fascicolo tecnicoVengono esaminati i documenti di progettazione, la distinta base, i certificati dei componenti critici e le istruzioni per l'uso.
3Test del prodottoVengono eseguiti i test richiesti dalla norma di riferimento. Il rapporto di prova è la base fondamentale per la decisione di certificazione.
4Audit di fabbricaSe lo schema lo richiede, la continuità della fabbricazione e il controllo della produzione in fabbrica (FPC) vengono verificati in loco.
5Emissione del Certificato e MarcaturaUna volta verificata la conformità, viene rilasciato il certificato; si applicano le regole di marcatura del prodotto e dell'imballaggio.
6Audit di follow-upA seconda dello schema, vengono effettuati audit periodici di fabbrica e/o test di follow-up su campioni prelevati dal mercato.

Periodo di validità

Il periodo di validità varia a seconda dello schema: alcuni certificati di prodotto sono indefiniti e si basano su audit periodici di fabbrica, mentre alcuni schemi (ad esempio i marchi di mercato nazionali) richiedono il rinnovo annuale o per spedizione. Ogni modifica progettuale del prodotto richiede la revisione del certificato.

Documenti richiesti

L'elenco dei modelli e delle varianti del prodotto
Disegni tecnici, schemi e distinta base
Certificati per componenti critici
Le istruzioni per l'uso e un'etichetta campione
Rapporti di prova esistenti, se presenti
Dettagli del sito di produzione

Costo della certificazione

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

Il numero di modelli e varianti nella famiglia di prodotti
L'ambito del test richiesto dallo standard applicabile
Se è necessario un audit di fabbrica
Il numero di mercati target e se ciascuno richiede test separati
Se i rapporti di prova esistenti possono essere accettati

Accreditamento

La certificazione del prodotto viene effettuata secondo la norma ISO/IEC 17065; I test che costituiscono la base della certificazione vengono eseguiti presso laboratori accreditati ISO/IEC 17025. I due ambiti sono separati. Il riconoscimento tra gli organismi di accreditamento è previsto tramite accordi IAF e ILAC.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

Ambito e autorizzazioni

Certificazioni correlate

Domande frequenti

Un prodotto con un EAL più elevato è più sicuro?

Non necessariamente. L'EAL mostra quanto rigorosamente è stata valutata la richiesta di sicurezza, non quanto sia ampia la richiesta stessa. Un EAL elevato ottenuto rispetto a un obiettivo di sicurezza ristretto può significare una protezione inferiore rispetto a un EAL inferiore ottenuto rispetto a un obiettivo ampio. Il documento Obiettivo di sicurezza dovrebbe essere letto quando si confrontano i prodotti.

Che cos'è un Profilo di Protezione (PP)?

Si tratta di un insieme standardizzato di requisiti di sicurezza per una specifica classe di prodotto. Le valutazioni effettuate con una dichiarazione di conformità ad un PP forniscono la comparabilità tra i prodotti; Anche il riconoscimento reciproco ai sensi del CCRA si basa fortemente sulle valutazioni basate sui PP.

Common Criteria — certificazione