.png)
Allgemeine Kriterien
Common Criteria oder CC ist ein internationaler Standard für Computersicherheit. Es handelt sich um ein Framework, das Computerbenutzer verwenden können, um Funktions- und Sicherheitsanforderungen für die Sicherheit zu spezifizieren.
Die USA, Kanada, die Niederlande, Deutschland, Frankreich und das Vereinigte Königreich haben 1994 die Common Criteria for Information Technology Security Evaluation entwickelt. Sie definierten eine Reihe von Sicherheitsanforderungen, die Produkte und Systeme für behördliche Bereitstellungen erfüllen müssen. Seitdem haben viele weitere Länder das Abkommen unterzeichnet.
Was ist die Common Criteria-Zertifizierung?
Common Criteria ist das Modell, das Regierungen als Zertifizierungssystem für die Produkte verwenden, die sie in Regierungsbehörden und kritischen Infrastrukturen verwenden. Viele Unternehmen verwenden Common Criteria auch bei der Softwareauswahl, da die Common Criteria-Zertifizierung die Qualität garantiert.
Das Common Criteria Recognition Arrangement (CCRA) ist in den Common Criteria for Information Technology Security Evaluation und der Common Methodology for Information Technology Security Evaluation (CEM) definiert. Dies sind sehr generische Standards und garantieren keine Sicherheit.
Eine Common Criteria-Zertifizierung kann jedoch sicherstellen, dass die Sicherheitsansprüche eines Anbieters unabhängig bewertet wurden.
Die CC-Zertifizierung macht evaluierte Produkte einer breiteren Gruppe von Anwendern zugänglich, stellt sicher, dass das Produkt den Ansprüchen des Anbieters gerecht wird, und nimmt Softwarekunden die Last und die Kosten für die Evaluierung von Software ab.
Wichtige Konzepte für gemeinsame Kriterien
Hier sind einige Konzepte, die Sie kennen sollten, wenn Sie versuchen, Common Criteria zu verstehen:
- Ziel der Evaluierung (EVG): Dies ist das Produkt oder System, das bzw. das evaluiert wird.
- Sicherheitsziel (ST): In diesem Dokument werden die Sicherheitseigenschaften des zu evaluierenden Produkts definiert. Es ermöglicht Softwareanbietern, die Evaluierung an die spezifischen Fähigkeiten ihres Produkts anzupassen. Es hilft potenziellen Kunden auch dabei, festzustellen, welche Sicherheitsfunktionen des Produkts getestet wurden, damit sie fundiertere Entscheidungen treffen können.
- Schutzprofil (PP): Dabei handelt es sich um ein Dokument, das von der Benutzergemeinschaft erstellt wird, um die Sicherheitsanforderungen für eine bestimmte Klasse von Sicherheitsgeräten wie digitale Signaturen oder Firewalls zu identifizieren. Lieferanten können sich dafür entscheiden, Produkte herzustellen, die einem oder mehreren PPs entsprechen, und ihre Produkte dann anhand dieser bewerten zu lassen. Lieferanten können PPs auch als Modell verwenden, um ihre eigenen Sicherheitsziele zu erstellen.
- Funktionale Sicherheitsanforderungen (SFRs): Diese listen die einzigartigen Sicherheitsfunktionen auf, die ein Produkt bietet.
- Anforderungen an die Sicherheitsgewährleistung (Security Assurance Requirements, SARs): Diese werden im Qualitätssicherungsprozess verwendet und beschreiben die Schritte, die unternommen werden müssen, um sicherzustellen, dass ein Produkt die angegebenen Sicherheitsstandards erfüllt.
- Evaluierungs-Assurance-Stufe (EAL): Dabei handelt es sich um eine numerische Bewertung, die die Tiefe und Strenge der Bewertung beschreibt. Jede EAL entspricht einem Satz von Verdachtsmeldungen. Common Criteria listet sieben EAL-Stufen auf, wobei 1 die grundlegendste Evaluierungsstufe und 7 die strengste ist.
Wie Produkte CC-zertifiziert werden
Hier sind einige Schritte, die ein Unternehmen befolgen muss, um die Common Criteria-Zertifizierung zu erhalten:
- Das Unternehmen muss eine Beschreibung des Sicherheitsziels zusammen mit allen Belegen ausfüllen. Dies sollte einen Überblick über das Produkt, seine Sicherheitsfunktionen und potenzielle Sicherheitsbedrohungen enthalten.
- Das Unternehmen muss ein unabhängig lizenziertes Labor finden, um sein Produkt zu bewerten und festzustellen, ob es die Sicherheitsstandards erfüllt, die das Unternehmen für das Produkt definiert hat.
- Sobald das Produkt die Evaluierung bestanden hat, stellt eines der vielen Zertifikatserstellungsschemata die Zertifizierung aus.
Common Criteria ist ein internationaler Standard für die Zertifizierung von Computersicherheit. Produktanbieter können ihre Produkte nach Common Criteria zertifizieren lassen, um die von ihnen aufgestellten Sicherheitsansprüche nachzuweisen, und dann können Unternehmen ihre Sicherheitsanforderungen mit den getesteten Behauptungen vergleichen, um Software und Systeme zu finden, die sie ihrer Infrastruktur hinzufügen können.
Weitere Informationen
Weitere Informationen zur Common Criteria-Zertifizierung von Illumio und anderen staatlichen Sicherheitszertifizierungen finden Sie auf unseren Seiten Zertifizierungen und Behörden.
.webp)
.webp)
