Что это за сертификат?

Общие критерии (ISO/IEC 15408) — это международная структура для независимой оценки функций безопасности продуктов информационных технологий. Оценка проводится на основе заявлений, заявленных продуктом в документе о целевых показателях безопасности, и результатом является уровень гарантии оценки (EAL 1–7). Благодаря Соглашению о признании общих критериев (CCRA) сертификаты взаимно признаются странами-участницами.

Кому он нужен?

Производители смарт-карт, элементов безопасности и HSM
Производители устройств сетевой безопасности (брандмауэр, VPN)
Разработчики операционных систем и баз данных
Производители ИТ-продукции в рамках государственных и оборонных закупок
Производители чипов для электронных удостоверений личности и паспортов

Обязателен ли он?

Как правило, не является обязательным; это часто требуется при государственных и оборонных закупках. В некоторых секторах (например, платежные карты, электронные удостоверения личности) это фактически является обязательным. Оценка проводится в аккредитованной лаборатории, а сертификат выдается органом национальной программы.

Область применения стандарта

Определение цели оценки (TOE) и ее границ
Выбор профиля защиты (PP) или подготовка цели безопасности (ST)
Функциональные требования безопасности (SFR): аутентификация, контроль доступа, криптографическая поддержка, аудит, защита данных.
Требования обеспечения безопасности (SAR): разработка, руководящие документы, поддержка жизненного цикла, тестирование, оценка уязвимостей.
Уровни гарантии оценки (EAL 1–7) и обоснование выбора
Анализ уязвимостей и тестирование на проникновение (углубляется с уровнем)
Оценка в аккредитованной лаборатории (ITSEF)
Сертификация национальным органом схемы
Обслуживание сертификатов и оценка обновлений продукта

Процесс сертификации

1Применение и описание продуктаОпределяется семейство продукции, модельный ряд, технические характеристики и целевой рынок. На этом этапе становятся ясны применимый стандарт и путь сертификации.
2Обзор технических файловПроверяются проектная документация, спецификации, паспорта ответственных компонентов и инструкции по применению.
3Тестирование продуктаПроводятся испытания, требуемые соответствующим стандартом. Протокол испытаний является фундаментальной основой для принятия решения о сертификации.
4Заводской аудитЕсли этого требует схема, непрерывность производства и заводской производственный контроль (ЗПК) проверяются на месте.
5Выдача сертификата и маркировкаПосле подтверждения соответствия выдается сертификат; применяются правила маркировки продукции и упаковки.
6Последующие аудитыВ зависимости от схемы проводятся периодические заводские проверки и/или последующие испытания образцов, взятых с рынка.

Срок действия

Срок действия зависит от схемы: некоторые сертификаты на продукцию являются бессрочными и основаны на периодических заводских проверках, тогда как некоторые схемы (например, маркировка национального рынка) требуют ежегодного продления или продления каждой партии. Каждое изменение конструкции продукта требует проверки сертификата.

Необходимые документы

Список моделей и вариантов продукции
Технические чертежи, схемы и спецификация материалов
Сертификаты на критические компоненты
Инструкция по применению и образец этикетки
Существующие протоколы испытаний, если таковые имеются.
Подробности о производстве

Стоимость сертификации

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

Количество моделей и вариантов в семействе продуктов
Объем испытаний, требуемый применимым стандартом
Требуется ли заводской аудит
Количество целевых рынков и требует ли каждый из них отдельного тестирования.
Могут ли быть приняты существующие протоколы испытаний

Аккредитация

Сертификация продукции осуществляется по стандарту ISO/IEC 17065; Испытания, составляющие основу сертификации, проводятся в лабораториях, имеющих аккредитацию ISO/IEC 17025. Эти две области являются отдельными. Признание между органами по аккредитации обеспечивается соглашениями IAF и ILAC.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

Область применения и разрешения

Связанные сертификации

Частые вопросы

Является ли продукт с более высоким EAL более безопасным?

Не обязательно. EAL показывает, насколько строго было оценено требование безопасности, а не насколько оно широкое. Высокий EAL, полученный в отношении узкого целевого показателя безопасности, может означать меньшую защиту, чем более низкий EAL, полученный в отношении широкого. При сравнении продуктов следует ознакомиться с документом «Цель безопасности».

Что такое профиль защиты (PP)?

Это стандартизированный набор требований безопасности для определенного класса продуктов. Оценки, проводимые с заявлением о соответствии ПЗ, обеспечивают сопоставимость продукции; взаимное признание в рамках CCRA также во многом зависит от оценок на основе PP.

Общие критерии (Common Criteria) — сертификация