這是什麼證書？
通用標準 (ISO/IEC 15408) 是用於獨立評估資訊科技產品安全功能的國際架構。根據產品在其安全目標文件中提出的聲明進行評估，結果是評估保證等級 (EAL 1-7)。由於共同標準認可安排（CCRA），證書在參與國之間得到相互認可。
誰需要它？
- 智慧卡、安全元件和 HSM 製造商
- 網路安全設備（防火牆、VPN）製造商
- 作業系統和資料庫開發人員
- 公共和國防採購範圍內的 IT 產品製造商
- 電子身分證和護照晶片製造商
是否為強制？
一般不強制；公共和國防採購中經常需要它。在某些領域（例如支付卡、電子身分證），它實際上是強制性的。評估在認可的實驗室進行，證書由國家計劃當局頒發。
標準適用範圍
- 定義評估目標 (TOE) 及其邊界
- 選擇保護設定檔 (PP) 或準備安全目標 (ST)
- 安全功能需求 (SFR)：身分驗證、存取控制、加密支援、稽核、資料保護
- 安全保證要求 (SAR)：開發、指導文件、生命週期支援、測試、漏洞評估
- 評估保證等級 (EAL 1-7) 和選擇的理由
- 漏洞分析與滲透測試（隨等級加深）
- 在認可實驗室 (ITSEF) 進行評估
- 國家方案權威機構認證
- 產品更新的證書維護和評估
驗證流程
- 1應用及產品說明確定產品系列、型號清單、技術規格和目標市場。在此步驟中，適用的標準和認證途徑變得清晰。
- 2技術文件審查檢查設計文件、物料清單、關鍵零件證書和使用說明。
- 3產品測試進行相關標準要求的測試。檢測報告是認證決定的根本依據。
- 4工廠審核如果方案需要，則現場驗證製造的連續性和工廠生產控制（FPC）。
- 5頒發證書和標記驗證合格後，頒發證書；適用產品和包裝的標記規則。
- 6後續審核根據計劃，定期進行工廠審核和/或對從市場上抽取的樣品進行後續測試。
有效期限
有效期限因方案而異：某些產品證書是無限期的，依賴定期的工廠審核，而某些方案（例如國家市場標誌）則要求每年或每次裝運更新。產品的每次設計變更都需要審查證書。
所需文件
- 產品型號和變型列表
- 技術圖、圖表和材料清單
- 關鍵部件證書
- 使用說明和樣本標籤
- 現有的測試報告（如果有）
- 生產現場詳情
驗證費用
無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。
- 產品系列中的型號和變型數量
- 適用標準要求的測試範圍
- 是否需要工廠審核
- 目標市場的數量以及每個市場是否需要單獨測試
- 是否可以接受現有的測試報告
認證
產品認證根據ISO/IEC 17065進行；構成認證基礎的測試是在獲得 ISO/IEC 17025 認證的實驗室中進行的。這兩個範圍是分開的。認證機構之間的認可是透過 IAF 和 ILAC 協議提供的。
此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。
範圍和授權相關認證
常見問題
EAL 越高的產品是否越安全？
未必。 EAL 顯示了安全聲明評估的嚴格程度，而不是聲明本身的廣泛程度。針對狹窄的安全目標獲得的高 EAL 可能意味著比針對廣泛的安全目標獲得的較低 EAL 提供的保護更少。比較產品時應閱讀安全目標文件。
什麼是保護設定檔 (PP)？
它是針對特定產品類別的一組標準化安全要求。聲稱符合 PP 的評估提供了產品之間的可比性； CCRA 下的相互承認也很大程度上依賴於基於 PP 的評估。