Valutazione e certificazione dei Common Criteria per la sicurezza informatica

La conformità ai Common Criteria descritta nella norma ISO/IEC 15408-1 prevede il controllo della qualità sotto due aspetti:

• Valutazione dei requisiti di controllo della sicurezza (Assessment of Security Assurance Requirements, SARs): si tratta di una revisione dei processi intrapresi durante lo sviluppo e la valutazione di un determinato prodotto IT per valutare la conformità alla funzionalità di sicurezza prescritta, che può variare a seconda dell'uso e dell'ambiente di rischio previsto.
• Livello di controllo della valutazione (Evaluation Assurance Level, EAL): quantifica qualitativamente la difficoltà del processo di valutazione stesso e può variare dal livello più elementare di sicurezza informatica (EAL 1) fino al processo più rigoroso per verificare il livello di sicurezza dichiarato (EAL 7).

* È importante notare che un EAL è esclusivamente una valutazione del rigore del processo di valutazione stesso: un ITE con un EAL più alto non indica necessariamente un dispositivo più sicuro.

Come può supportarti Nemko

Nemko può fornire una guida esaustiva in base ai requisiti dei Common Criteria descritti nella norma ISO/IEC 15408-1.

• Valutazione del profilo di protezione: le organizzazioni di approvvigionamento possono richiedere ai fornitori di terze parti di dimostrare che il loro prodotto è stato progettato in conformità ai requisiti di uno o più profili di protezione (PP). Gli esperti Nemko possono collaborare con te per valutare la conformità della tua attrezzatura ai relativi PP e fornire attestazioni a supporto delle tue dichiarazioni.
• Valutazione dell'EAL/Security Target (ST): la valutazione dei PP può servire come base per definire le proprietà di sicurezza richiesta, in questo modo gli esperti Nemko potranno condurre una valutazione della tua attrezzatura coerente sia con gli ST richiesti che con l'EAL necessario.
• Nemko, prima di analisi di sicurezza formali, può anche effettuare una valutazione preliminare del gap funzionale (Functional Gap Assessment, FGA) al fine d'identificare potenziali problemi e contribuendo a garantire che i dispositivi interessati soddisfino in anticipo i principali requisiti previsti dai Common Criteria.