Critères communs

Qu'est-ce que la certification Critères Communs ?

Les critères communs sont le modèle que les gouvernements utilisent comme système de certification pour les produits qu'ils choisissent d'utiliser dans les agences gouvernementales et les infrastructures critiques. De nombreuses entreprises utilisent également les Critères communs dans leur processus de sélection de logiciels en raison de la qualité que la certification Critères communs garantit.

L'Arrangement de reconnaissance des critères communs (ARCC) est défini dans les Critères communs pour l'évaluation de la sécurité des technologies de l'information et la Méthodologie commune pour l'évaluation de la sécurité des technologies de l'information (CEM). Il s'agit de normes très génériques qui ne garantissent pas la sécurité.

Toutefois, une certification selon les critères communs peut garantir que les déclarations de sécurité d'un fournisseur ont été évaluées de manière indépendante.

La certification CC met les produits qui ont été évalués à la disposition d'un plus grand nombre d'utilisateurs, garantit que le produit est à la hauteur des revendications du vendeur et supprime la charge et le coût de l'évaluation des logiciels pour les clients de ces derniers.

Concepts clés des critères communs

Voici quelques concepts que vous devrez peut-être connaître pour comprendre les Critères Communs :

• Cible de l'évaluation (TOE) : Il s'agit du produit ou du système qui est évalué.
• Cible de sécurité (ST) : Ce document définit les propriétés de sécurité du produit évalué. Il permet aux éditeurs de logiciels d'adapter l'évaluation aux capacités spécifiques de leur produit. Il aide également les clients potentiels à déterminer quelles sont les caractéristiques de sécurité du produit qui ont été testées, afin qu'ils puissent prendre des décisions plus éclairées.
• Profil de protection (PP) : Il s'agit d'un document créé par la communauté des utilisateurs afin d'identifier les exigences de sécurité pour une classe spécifique de dispositifs de sécurité tels que les signatures numériques ou les pare-feu. Les fournisseurs peuvent choisir de fabriquer des produits conformes à un ou plusieurs PP et de faire évaluer leurs produits en fonction de ceux-ci. Les fournisseurs peuvent également utiliser les PP comme modèle pour créer leurs propres objectifs de sécurité.
• Exigences fonctionnelles de sécurité (SFR) : Ces exigences énumèrent les fonctions de sécurité uniques fournies par un produit.
• Exigences en matière d'assurance de la sécurité (SAR) : Elles sont utilisées dans le cadre du processus d'assurance qualité et décrivent les mesures à prendre pour s'assurer qu'un produit répond aux normes de sécurité annoncées.
• Niveau d'assurance de l'évaluation (EAL) : il s'agit d'une note numérique qui décrit la profondeur et la rigueur de l'évaluation. Chaque EAL correspond à un ensemble de SAR. Les Critères Communs énumèrent sept niveaux d'EAL, 1 étant le niveau d'évaluation le plus élémentaire et 7 le plus rigoureux.

Comment les produits obtiennent la certification CC

Voici les étapes qu'une entreprise doit suivre pour obtenir la certification Critères Communs :

1. L'entreprise doit remplir une description de la cible de sécurité, accompagnée de tous les documents justificatifs. Il s'agit d'une présentation du produit, de ses caractéristiques de sécurité et des menaces potentielles pour la sécurité.
2. L'entreprise doit trouver un laboratoire agréé indépendant pour évaluer son produit et déterminer s'il répond aux normes de sécurité qu'elle a définies pour le produit.
3. Une fois que le produit a passé l'évaluation avec succès, l'un des nombreux systèmes de création de certificats délivre la certification.

Les critères communs sont une norme internationale de certification de la sécurité informatique. Les vendeurs de produits peuvent faire certifier leurs produits selon les critères communs pour prouver les affirmations de sécurité qu'ils font, et les entreprises peuvent alors comparer leurs besoins de sécurité avec les affirmations testées pour trouver des logiciels et des systèmes à ajouter à leur infrastructure.

En savoir plus

Pour plus de détails sur la certification Critères communs d'Illumio et d'autres certifications de sécurité gouvernementales, visitez nos pages Certifications et Gouvernement.