Critères communs
973349
30376714
2008-06-06T15:07:31Z
194.250.149.182
'''Common Criteria''' (CC) est un standard international (ISO/CEI 15408) pour la [[sécurité des systèmes d'information]]. Le nom complet du standard est ''Common Criteria for Information Technology Security Evaluation''. En [[français]], on emploie souvent l'expression '''Critères communs'''.
== Description ==
Les critères communs sont disponibles :
* en anglais : en version 3.1 de septembre 2006 (ainsi qu'en versions 2.1, 2.2, et 2.3)
* en français : en version 2.1 d'août 1999
''Accès à la documentation sur le site de la DCSSI : [http://www.ssi.gouv.fr/fr/confiance/methodologie.html Critères et méthologie d'évaluation]''
''Voir résumé sur le site de la DCSSI : [http://www.ssi.gouv.fr/fr/confiance/documents/methodes/pssi-section4-referencesssi-2004-03-03.pdf Références SSI]''
=== Partie 1 : introduction et modèle général ===
''Voir détails sur le site de la [[DCSSI]] : [http://www.ssi.gouv.fr/site_documents/CC/CCpart1v21-fr.pdf Introduction et modèle général] (version 2.1 en français, 76 pages)''
=== Partie 2 : exigences fonctionnelles de sécurité ===
''Voir détails sur le site de la [[DCSSI]] : [http://www.ssi.gouv.fr/site_documents/CC/CCpart2v21-fr.pdf Exigences fonctionnelles de sécurité] (vesion 2.1 en français, 394 pages)''
Il existe 11 rubriques :
# Audit de sécurité (FAU)
# Communication (FCO)
# Support cryptographique (FCS)
# Protection des données de l'utilisateur (FDP)
# Identification et authentification (FIA)
# Gestion de la sécurité (FMT)
# Protection de la vie privée (FPR)
# Protection des fonctions de sécurité de la cible d'évaluation (FPT)
# Utilisation des ressources (FRU)
# Accès à la cible d'évaluation (FTA)
# Chemins et canaux de confiance (FTP)
=== Partie 3 : exigences d'assurance de sécurité ===
''Voir détails sur le site de la DCSSI : [http://www.ssi.gouv.fr/site_documents/CC/CCpart3v21-fr.pdf Exigences d'assurance de sécurité] (version 2.1 en français, 236 pages)''
Il existe 10 classes :
# Évaluation d'un profil de protection (classe APE)
# Évaluation d'une cible de sécurité (classe ASE)
# Gestion de configuration (classe ACM)
# Livraison et exploitation (classe ADO)
# Développement (classe ADV)
# Guides (classe AGD)
# Support au cycle de vie (classe ALC)
# Tests (classe ATE)
# Estimation des vulnérabilités (classe AVA)
# Maintenance de l'assurance (classe AMA)
=== Méthodologie d'évaluation ===
''Voir détails sur le site de la DCSSI : [http://www.ssi.gouv.fr/site_documents/CC/CEMv3.1r1.pdf Evaluation methodology] (version 3.1 en anglais)''
== Concepts clés ==
* TOE : objet à certifier
: (TOE = Target of Evaluation)
* SFR : spécifications fonctionnelles de sécurité
: (Security functional requirements)
* PP : [[Profil de Protection]]
: (PP = Protection profile)
* ST : cible de sécurité
: (ST = Security Target)
== Systèmes concernés ==
Les [[système d'exploitation|systèmes d'exploitation]] ("Operating Systems")
Les dispositifs dédiés aux [[communication]]s :
* Gestionnaires de réseaux,
* [[Routeur]]s, [[commutateur réseau|commutateurs réseau]] ("switchs"), [[hub]]s,
* Les [[Réseau privé virtuel|réseaux privés virtuels]] (VPN).
Les systèmes consacrés à la [[sécurité informatique]]
* Les systèmes d'accès ([[accès internet]],...)
* Les systèmes d'[[authentification]], [[infrastructure à clés publiques]] (PKI)/KMI
* Les [[pare-feu]]x (firewalls)
* Les [[systèmes de détection d'intrusion]] (IDS)
* Les [[Logiciel anti-virus|logiciels anti-virus]]
* Les [[contrôles biométriques]].
== Niveaux de l'évaluation ==
{{Article détaillé|Evaluation Assurance Level}}
La certification propose 7 [[Evaluation Assurance Level|niveaux d'assurance de l'évaluation]].
* EAL1 : testé fonctionnellement
* EAL2 : testé structurellement
* EAL3 : testé et vérifié méthodiquement
* EAL4 : conçu, testé et vérifié méthodiquement,
* EAL5 : conçu de façon semi-formelle et testé
* EAL6 : conception vérifiée de façon semi-formelle et testé
* EAL7 : conception vérifiée de façon formelle et testée.
== Mise en œuvre ==
=== En [[France]] ===
C'est la [[DCSSI]] qui met en œuvre le schéma de certification français.
Cet organisme, rattaché au [[Premier ministre français|Premier ministre]], est en charge de la certification de la sécurité des produits évalués par les [[Centre d'évaluation de la sécurité des technologies de l'information|CESTI]].
=== En [[Europe]] ===
En [[Europe]], l'[[Information Technology Security Evaluation Criteria]] (ITSEC) est un standard pour la [[sécurité]] des [[systèmes d'information]], qui s'intéresse plus particulièrement à la [[politique de sécurité des systèmes d'information]].
L'ITSEC est le produit du travail commun de plusieurs pays de l'[[Union européenne]], en [[1991]].
Voir : [[Information Technology Security Evaluation Criteria]] (ITSEC)
=== Aux [[États-Unis]] ===
Aux États-Unis, les critères d'évaluation sont définis par la ''[[National Security Agency]]'' (NSA), agence du [[département de la défense]], au niveau des [[matériels informatiques]] et des logiciels.
* Organisme de la [[National Security Agency|NSA]] chargé de l'évaluation : [http://niap.bahialab.com/ NIAP]
* [[Trusted Computer System Evaluation Criteria]] (TCSEC)
La société [[Mitre]] est fournisseur du département de la défense sur ces questions.
Voir : http://www.mitre.org/news/the_edge/february_01/highlights.html
== Voir aussi ==
* [[Evaluation Assurance Level]]
* [[Exigence]]
* [[Politique de sécurité des systèmes d'information]]
* [[Profil de protection]]
* [[Sécurité des données]]
* [[Sécurité des systèmes d'information]]
* [[Tiers de confiance]]
== Liens externes ==
* {{fr}} [http://www.ssi.gouv.fr/fr/confiance/evalcertif.html Certification Critères Communs]
* {{fr}} [http://www.guide-informatique.com/fiche-criteres_communs_iso_15408-756.html Guide sur les critères communs]
* {{en}} [http://www.commoncriteriaportal.org/ Common criteria portal]
* {{en}} http://www.infosyssec.org/infosyssec/security/secpol1.htm
{{Portail|informatique|sécurité de l'information|sécurité informatique}}
[[Catégorie:Standard en sécurité de l'information]]
[[Catégorie:Méthode d'analyse de risques]]
[[Catégorie:Standard en sécurité informatique]]
[[de:Common Criteria for Information Technology Security Evaluation]]
[[en:Common Criteria]]
[[ja:コモンクライテリア]]
[[pt:Common Criteria]]
[[ru:Common Criteria]]
[[sv:Common Criteria]]