Лаборатория испытаний общих критериев

Модель общих критериев предусматривает разделение ролей оценщика и органа по сертификации. Сертификаты на продукцию выдаются национальными схемами на основе оценок, проведенных независимыми испытательными лабораториями .

Common Criteria Лаборатория тестирования — это сторонняя коммерческая лаборатория тестирования безопасности, аккредитованная для проведения оценок безопасности на соответствие международному стандарту Common Criteria . Такое предприятие должно быть аккредитовано в соответствии со стандартом ISO/IEC 17025 своим национальным органом по сертификации.

Примеры

Список обозначений лабораторий по странам:

• В США их называют Лабораторией испытаний по общим критериям (CCTL).
• В Канаде они называются Фондом оценки общих критериев (CCEF).
• В Великобритании они называются объектами коммерческой оценки (CLEF).
• Во Франции они называются Центрами оценки безопасности информационных технологий (CESTI).
• В Германии они называются IT Security Evaluation Facility (ITSEF).

Соглашение о признании общих критериев

Соглашение о признании общих критериев (CCRA) или Соглашение о взаимном признании общих критериев (MRA) Это международное соглашение, которое признает оценки по стандарту «Общие критерии», проводимые во всех участвующих странах.

Взаимно понимается, что в отношении ИТ-продуктов и профилей защиты Участники планируют признавать сертификаты Общих критериев, которые были авторизованы любым другим сертификатом, уполномочивающим Участника в соответствии с условиями настоящего Соглашения и в соответствии с применимым законодательством и положения каждого Участника.

— Международное соглашение, Соглашение о признании сертификатов общих критериев в области безопасности информационных технологий.

Это соглашение имеет некоторые ограничения, и в прошлом признавались только оценки до EAL4+. С продолжающимся переходом от уровней EAL и введением оценок NDPP, которые «сопоставляются» с компонентами обеспечения качества EAL4, продолжают признаваться.

Соединенные Штаты

В Соединенных Штатах (NVLAP) Национального института стандартов и технологий (NIST Национальная программа добровольной аккредитации лабораторий ) аккредитует CCTL на соответствие Национального партнерства по обеспечению информации (NIAP) требованиям схемы оценки и проверки общих критериев и проводит оценку ИТ-безопасности на соответствие Общему стандарту. Критерии.

Требования CCTL

Эти лаборатории должны отвечать следующим требованиям:

• Справочник NIST 150, Процедуры NVLAP и общие требования
• Справочник NIST 150-20, Тестирование безопасности информационных технологий NVLAP — общие критерии
• Особые критерии NIAP для оценки ИТ-безопасности и другие требования, определенные NIAP

CCTL заключают договорные соглашения со спонсорами для проведения оценок безопасности ИТ-продуктов и профилей защиты , в которых используются CCEVS, другие утвержденные NIAP методы тестирования, основанные на общих критериях, общей методологии и других технологических источниках. CCTL должны соблюдать самые высокие стандарты беспристрастности, честности и коммерческой конфиденциальности. CCTL должны действовать в соответствии с руководящими принципами, установленными CCEVS.

Чтобы стать CCTL, испытательная лаборатория должна пройти ряд шагов, в которых участвуют как орган по валидации NIAP, так и NVLAP. Аккредитация NVLAP является основным требованием для получения статуса CCTL. Некоторые требования схемы, которые не могут быть удовлетворены аккредитацией NVLAP, рассматриваются Органом по валидации NIAP. В настоящее время орган по валидации предъявляет только три требования к конкретной схеме.

CCTL, утвержденные NIAP, должны согласиться на следующее:

• Находиться в США и быть юридическим лицом, должным образом организованным и зарегистрированным, действительным и имеющим хорошую репутацию в соответствии с законодательством штата, в котором лаборатория намеревается вести бизнес.
• Согласиться на технический надзор и проверку деятельности правительства США, связанной с оценкой, в соответствии с политиками и процедурами, установленными CCEVS.
• Принять участие представителей правительства США в выбранных оценках по общим критериям.

CCTL аккредитация

Испытательная лаборатория становится CCTL, когда лаборатория одобрена органом по валидации NIAP и включена в список утвержденных лабораторий .

Чтобы избежать ненужных расходов и задержек с получением одобрения NIAP испытательной лаборатории, настоятельно рекомендуется, чтобы потенциальные CCTL убедились, что они способны удовлетворить требования конкретной схемы, прежде чем обращаться за аккредитацией от NVLAP. Этого можно добиться, отправив письмо о намерениях в NIAP до начала процесса NVLAP.

Дополнительную информацию о лабораторных исследованиях можно найти в публикациях CCEVS:

• Схема оценки и проверки общих критериев № 1 для безопасности информационных технологий — организация, управление и концепция операций и публикация схемы
• № 4 Схема оценки и проверки общих критериев безопасности информационных технологий — Руководство для испытательных лабораторий по общим критериям

Канада

В Канаде Канадская схема общих критериев (CCCS) Управления безопасности связи Канады (CSEC) контролирует средства оценки общих критериев (CCEF). Аккредитация осуществляется Советом по стандартам Канады (SCC) в рамках его Программы аккредитации лабораторий – Канада (PALCAN) в соответствии с CAN-P-1591, адаптацией SCC ISO/IEC 17025-2005 для лабораторий ITSET. Одобрение осуществляется Органом по сертификации CCS, органом CSEC, и представляет собой проверку способности заявителя проводить компетентную оценку по общим критериям.

Внешние ссылки

• США: Схема оценки и проверки общих критериев
• США: Испытательные лаборатории по общим критериям
• Канада: Схема общих критериев
• Канада: Механизмы оценки по общим критериям
• Соглашение о признании общих критериев
• Список продуктов, оцененных по общим критериям
• ISO/IEC 15408 — доступен бесплатно как общедоступный стандарт.