Critères communs 973349 30376714 2008-06-06T15:07:31Z 194.250.149.182 '''Common Criteria''' (CC) est un standard international (ISO/CEI 15408) pour la [[sécurité des systèmes d'information]]. Le nom complet du standard est ''Common Criteria for Information Technology Security Evaluation''. En [[français]], on emploie souvent l'expression '''Critères communs'''. == Description == Les critères communs sont disponibles : * en anglais : en version 3.1 de septembre 2006 (ainsi qu'en versions 2.1, 2.2, et 2.3) * en français : en version 2.1 d'août 1999 ''Accès à la documentation sur le site de la DCSSI : [http://www.ssi.gouv.fr/fr/confiance/methodologie.html Critères et méthologie d'évaluation]'' ''Voir résumé sur le site de la DCSSI : [http://www.ssi.gouv.fr/fr/confiance/documents/methodes/pssi-section4-referencesssi-2004-03-03.pdf Références SSI]'' === Partie 1 : introduction et modèle général === ''Voir détails sur le site de la [[DCSSI]] : [http://www.ssi.gouv.fr/site_documents/CC/CCpart1v21-fr.pdf Introduction et modèle général] (version 2.1 en français, 76 pages)'' === Partie 2 : exigences fonctionnelles de sécurité === ''Voir détails sur le site de la [[DCSSI]] : [http://www.ssi.gouv.fr/site_documents/CC/CCpart2v21-fr.pdf Exigences fonctionnelles de sécurité] (vesion 2.1 en français, 394 pages)'' Il existe 11 rubriques : # Audit de sécurité (FAU) # Communication (FCO) # Support cryptographique (FCS) # Protection des données de l'utilisateur (FDP) # Identification et authentification (FIA) # Gestion de la sécurité (FMT) # Protection de la vie privée (FPR) # Protection des fonctions de sécurité de la cible d'évaluation (FPT) # Utilisation des ressources (FRU) # Accès à la cible d'évaluation (FTA) # Chemins et canaux de confiance (FTP) === Partie 3 : exigences d'assurance de sécurité === ''Voir détails sur le site de la DCSSI : [http://www.ssi.gouv.fr/site_documents/CC/CCpart3v21-fr.pdf Exigences d'assurance de sécurité] (version 2.1 en français, 236 pages)'' Il existe 10 classes : # Évaluation d'un profil de protection (classe APE) # Évaluation d'une cible de sécurité (classe ASE) # Gestion de configuration (classe ACM) # Livraison et exploitation (classe ADO) # Développement (classe ADV) # Guides (classe AGD) # Support au cycle de vie (classe ALC) # Tests (classe ATE) # Estimation des vulnérabilités (classe AVA) # Maintenance de l'assurance (classe AMA) === Méthodologie d'évaluation === ''Voir détails sur le site de la DCSSI : [http://www.ssi.gouv.fr/site_documents/CC/CEMv3.1r1.pdf Evaluation methodology] (version 3.1 en anglais)'' == Concepts clés == * TOE : objet à certifier : (TOE = Target of Evaluation) * SFR : spécifications fonctionnelles de sécurité : (Security functional requirements) * PP : [[Profil de Protection]] : (PP = Protection profile) * ST : cible de sécurité : (ST = Security Target) == Systèmes concernés == Les [[système d'exploitation|systèmes d'exploitation]] ("Operating Systems") Les dispositifs dédiés aux [[communication]]s : * Gestionnaires de réseaux, * [[Routeur]]s, [[commutateur réseau|commutateurs réseau]] ("switchs"), [[hub]]s, * Les [[Réseau privé virtuel|réseaux privés virtuels]] (VPN). Les systèmes consacrés à la [[sécurité informatique]] * Les systèmes d'accès ([[accès internet]],...) * Les systèmes d'[[authentification]], [[infrastructure à clés publiques]] (PKI)/KMI * Les [[pare-feu]]x (firewalls) * Les [[systèmes de détection d'intrusion]] (IDS) * Les [[Logiciel anti-virus|logiciels anti-virus]] * Les [[contrôles biométriques]]. == Niveaux de l'évaluation == {{Article détaillé|Evaluation Assurance Level}} La certification propose 7 [[Evaluation Assurance Level|niveaux d'assurance de l'évaluation]]. * EAL1 : testé fonctionnellement * EAL2 : testé structurellement * EAL3 : testé et vérifié méthodiquement * EAL4 : conçu, testé et vérifié méthodiquement, * EAL5 : conçu de façon semi-formelle et testé * EAL6 : conception vérifiée de façon semi-formelle et testé * EAL7 : conception vérifiée de façon formelle et testée. == Mise en œuvre == === En [[France]] === C'est la [[DCSSI]] qui met en œuvre le schéma de certification français. Cet organisme, rattaché au [[Premier ministre français|Premier ministre]], est en charge de la certification de la sécurité des produits évalués par les [[Centre d'évaluation de la sécurité des technologies de l'information|CESTI]]. === En [[Europe]] === En [[Europe]], l'[[Information Technology Security Evaluation Criteria]] (ITSEC) est un standard pour la [[sécurité]] des [[systèmes d'information]], qui s'intéresse plus particulièrement à la [[politique de sécurité des systèmes d'information]]. L'ITSEC est le produit du travail commun de plusieurs pays de l'[[Union européenne]], en [[1991]]. Voir : [[Information Technology Security Evaluation Criteria]] (ITSEC) === Aux [[États-Unis]] === Aux États-Unis, les critères d'évaluation sont définis par la ''[[National Security Agency]]'' (NSA), agence du [[département de la défense]], au niveau des [[matériels informatiques]] et des logiciels. * Organisme de la [[National Security Agency|NSA]] chargé de l'évaluation : [http://niap.bahialab.com/ NIAP] * [[Trusted Computer System Evaluation Criteria]] (TCSEC) La société [[Mitre]] est fournisseur du département de la défense sur ces questions. Voir : http://www.mitre.org/news/the_edge/february_01/highlights.html == Voir aussi == * [[Evaluation Assurance Level]] * [[Exigence]] * [[Politique de sécurité des systèmes d'information]] * [[Profil de protection]] * [[Sécurité des données]] * [[Sécurité des systèmes d'information]] * [[Tiers de confiance]] == Liens externes == * {{fr}} [http://www.ssi.gouv.fr/fr/confiance/evalcertif.html Certification Critères Communs] * {{fr}} [http://www.guide-informatique.com/fiche-criteres_communs_iso_15408-756.html Guide sur les critères communs] * {{en}} [http://www.commoncriteriaportal.org/ Common criteria portal] * {{en}} http://www.infosyssec.org/infosyssec/security/secpol1.htm {{Portail|informatique|sécurité de l'information|sécurité informatique}} [[Catégorie:Standard en sécurité de l'information]] [[Catégorie:Méthode d'analyse de risques]] [[Catégorie:Standard en sécurité informatique]] [[de:Common Criteria for Information Technology Security Evaluation]] [[en:Common Criteria]] [[ja:コモンクライテリア]] [[pt:Common Criteria]] [[ru:Common Criteria]] [[sv:Common Criteria]]