|
- ISO 15408 (Common Criteria) : Common Criteria for Information Technology Security Evaluation - Evaluation de systèmes de sécurité de technologie de l'information. A l’origine les critères d’évaluation de la sécurité des technologies de l’information (ITSEC – Information Technology Security Evaluation Criteria – initiative de la Commission Européenne) constituaient une norme uniforme mise en œuvre par le Royaume-Uni, la France, l’Allemagne, les Pays-Bas et la Commission européenne dans le but de réduire la nécessité d’évaluer les produits dans chaque pays.
La norme ITSEC fut reconnue dans toute l’Europe, mais d’autres pays ont dès lors établi leurs propres critères. Ainsi, aux Etats-Unis, le Département de la Défense a publié les premiers critères en 1983 sous le titre Trusted Computer Security Evaluation Criteria (TCSEC), désignés familèrement sous le nom de « Orange book ». La dernière version de cet ouvrage remonte à 1985.
Au début des années 1990, on a tenté de remplacer ce document par les US Federal Criteria, mais ceux-ci n’ont jamais été officiellement adoptés. Dans le but d’établir un cadre permettant la reconnaissance mutuelle des certifications à l’échelle internationale, on a commencé à élaborer des critères communs (Common Critéria) pour remplacer les critères de sécurité nationaux et régionaux par un ensemble de critères mondiaux acceptables par l’Organisation internationale de normalisation (ISO). (1996 : les initatives hétérogènes sont regroupées au sein des Critères Communs – CC).
Lors des travaux d’harmonisation et d’élaboration des critères communs, on considérait que les notions ITSEC correspondaient généralement aux notions des critères communs. Toutefois, il existe certaines variantes terminologiques entre les deux normes et les critères communs sont plus souples que la norme ITSEC. En 1999, les Critères Communs ont été reconnus en tant que norme par ISO : 15408. Cette initiative ouvrira la voie à l'identification mutuelle mondiale de résultats d'évaluation de produit.
Les CC permettent l’évaluation des fonctions de sécurité à travers un jeu de onze classes fonctionnelles et d’exigences de garantie : audit de sécurité, communication, support cryptographique, protection des données utilisateur, identification et authentification, gestion des fonctions de sécurité, vie privée, protection des fonctions de sécurité, utilisation des ressources, accès aux composants et voies de confiance. Ces onze classes fonctionnelles sont divisées chacune en soixante-six familles, chacune comprenant des critères de composants. Il y a environ 130 critères de composants décrits ( www.commoncriteriaportal.org/ )
Des gouvernements et des groupes industriels ont développé des descriptions fonctionnelles pour du matériel et des logiciels de sécurité utilisant les CC ; ces documents, connus en tant que Protection Profiles (PP), décrivent un groupement de fonctions de sécurité qui sont appropriés pour un composant ou une technologie de sécurité spécifique.
|
