Critères communs en 2026 : comment la certification de sécurité mondiale s’adapte aux menaces cybernétiques modernes

Critères Communs en 2026 : Comment la certification mondiale en sécurité s'adapte aux menaces cybernétiques modernes

Critères Communs est l'une de ces normes souvent décrites comme « largement reconnues », une phrase qui a perdu de son impact. Mais la reconnaissance est réelle : 31 pays ont signé l'Arrangement de Reconnaissance des Critères Communs (CCRA), et un certificat CC délivré dans le cadre d'un des schémas participants est accepté par tous les autres sans nécessiter de nouveaux tests. Pour un fournisseur vendant des produits de sécurité à l'international, c'est vraiment utile. Un processus, un certificat, pas d'évaluations parallèles dans chaque marché.

La question qui mérite d'être posée en 2026 est de savoir si le processus lui-même a suivi le rythme de la menace environnementale à laquelle il est censé faire face.

Ce que CC évalue réellement

Les critères communs, formellement normalisés sous le nom de ISO/IEC 15408, ne certifient pas qu'un produit est « sécurisé ». Un certificat CC indique que des fonctions de sécurité spécifiques, définies dans une cible de sécurité, ont été évaluées de façon indépendante en fonction des exigences d'assurance définies à un niveau de rigueur précis.

Cette distinction compte plus aujourd’hui qu’elle ne l’était il y a cinq ans. La méthodologie d'évaluation de la CC tient compte des acteurs actuels de la menace au moyen d'une analyse potentielle des attaques: les évaluateurs ne vérifient pas simplement que les contrôles existent. ils évaluent si un attaquant réaliste disposant des compétences, des connaissances et des ressources pertinentes pourrait les vaincre. La profondeur de cette analyse est ce qui sépare EAL3 de EAL6. En 2026, avec des cadres flous, outillage latéral, et la découverte de vulnérabilités aidées par l'IA réduisent tous la barre pour les attaquants modérément capables, cette profondeur a plus de poids qu'auparavant.

Les niveaux EAL en termes pratiques

Les niveaux d'Assurance Évaluation vont de EAL1 à EAL7. La plupart des produits commerciaux se situent entre EAL2 et EAL4+. Voici ce que ces nombres représentent réellement:

• EAL1 à EAL3 : Limité à des tests indépendants modérés. Aucune revue de code source requise. EAL3 introduit des tests et des vérifications systématiques sur l'environnement de développement, dans le cadre de l'EUCC, cette gamme s'adapte à l'assurance Substantial.

• EAL4 : Là où les produits de sécurité les plus sérieux atterrissent. Nécessite une analyse complète de vulnérabilité à AVA_VAN. et des tests indépendants de pénétration contre un attaquant ayant un potentiel d'attaque modéré. Il s'agit du point d'entrée d'assurance EUCC Haut. La plupart des certifications de carte à puce et HSM siègent ici ou au-dessus.

• EAL5 à EAL7 : Modèles de conception formels, contrôles de développement stricts, et évaluation contre le potentiel d'attaque élevée. Long, coûteux et presque exclusivement utilisé dans les contextes du gouvernement ou de la défense.

Choisir le mauvais niveau est une erreur courante et coûteuse. Comme expliqué dans notre article Understanding EUCC Assurance Levels: What "Substantial" and "High" Really Mean for ICT Security, La suringénierie à High lorsque Substantial s’adapte au profil de risque gaspille les ressources. Le cadrage inférieur à Substantial lorsqu'un produit gère des fonctions critiques crée un fossé de certification qui se creuse lors de la surveillance du marché.

Source: Magnifique

La place de CC dans l'environnement des certifications de 2026

Le CC n'existe pas seul. En Europe, le EUCC a introduit CC dans la législation de l'UE en février 2025. Produits certifiés au niveau Substantiel (EAL1 à EAL3, avec AVA_VAN.1 ou AVA_VAN.2) ou haut niveau (EAL4 à EAL7, avec AVA_VAN. ou supérieur) bénéficient d'une présomption de conformité avec les exigences de la Loi . Ce lien rend la décision de niveau d'assurance plus conséquente qu'elle ne l'était dans le cadre des anciens régimes nationaux, ce qui affecte plus que le certificat.

En dehors de l'Europe, le réseau CCR continue de fournir une reconnaissance internationale à travers le Japon (JISEC), les États-Unis (NIAP), le Canada, l'Australie, la Corée du Sud et d'autres. Un certificat, reconnu dans 31 pays, reste la valeur pratique de la CC pour les produits de sécurité négociés sur le plan international.

Le profil de risque du déploiement prévu du produit devrait guider la décision de niveau d'assurance, et non l'ambition du vendeur ou les contraintes budgétaires. Pour une description technique détaillée de la cartographie des niveaux d'assurance EUCC par rapport aux exigences CC, voir notre article Mappage de l'EUCC à des critères communs : Aperçu technique des niveaux d'assurance et des exigences d'évaluation.

Le cycle de vie de la certification et ce que CC2022 a changé

Le CC2022 (qui a remplacé CCv3.1 Rev 5) a renforcé les exigences en matière de cycle de vie. Les preuves du cycle de vie comprennent maintenant la documentation sur les processus de gestion des correctifs, les procédures de divulgation de vulnérabilité et les pratiques de gestion de la configuration. Un évaluateur examinant un produit chez EAL4 examinera si le développeur a des processus crédibles pour identifier et répondre aux vulnérabilités de post-certification. pas seulement si la version actuelle passe le test.

Un certificat CC indique que le produit répond aux exigences en matière d'assurance au moment de l'évaluation et que le produit n'est pas encore à ce niveau aujourd'hui. Fournisseurs qui traitent le certificat comme la fin du travail de sécurité, plutôt qu'un jalon dans un processus en cours, sont mal interprétés ce qu'ils ont accompli. Un produit construit avec sécurité comme contrainte de conception tend à produire des preuves d'évaluation plus propres, des échéanciers plus courts, et des réponses plus défendables lorsque les évaluateurs sondent des vulnérabilités résiduelles. Tel que décrit dans notre article Mise en œuvre du CUE : Quelle certification haute assurance exige au-delà des critères traditionnels communs approche, le passage aux exigences en matière de cycle de vie du CC2022 est l'un des changements pratiques les plus significatifs pour les équipes soumises à la certification aujourd'hui.

Ce que les équipes de produit devraient réellement faire

La question la plus fréquente des équipes qui commencent à certifier la CC est une version de : "Quel EAL avons-nous besoin?" C'est généralement le mauvais point de départ. Commencez par l'utilisation prévue du produit et le profil de menace de ce contexte de déploiement. Quel type d’attaquant est réaliste? Que spécifie l’exigence d’achat ou le cadre réglementaire? Ces réponses restreignent rapidement la décision de l’AE.

La qualité de la documentation fait la plus grande différence pratique. La cible de sécurité doit décrire avec précision ce que le produit prétend résister. La documentation de conception doit être complète et cohérente sur le plan interne. Les lacunes produisent les conclusions de l’évaluation qui nécessitent une refonte et prolongent les délais. Les travaux de pré-évaluation avec une surface de laboratoire expérimentée ces lacunes avant que l'horloge formelle ne commence à fonctionner.

Comment QIMA CCLab peut vous aider à atteindre vos objectifs

CCLab est un outil agréé d'évaluation de la sécurité informatique (ITSEF) opérant sous TrustCB dans le système EUCC. Depuis 2013, nous avons procédé à des évaluations de critères communs, ce qui fait de nous le premier laboratoire accrédité en CC en Europe de l'Est et le seul laboratoire de CC en Hongrie.

• Évaluation des critères communs : EAL4+ projets d'évaluation achevés dans les quatre mois suivant notre méthodologie agile Des services d'évaluation préalable sont également disponibles pour identifier les lacunes en matière de documentation et de conception avant le début de l'évaluation formelle.

• Consultance de critères communs : Nous aidons les équipes de produits à construire la cible de sécurité, les preuves de conception, la documentation de test, et le matériel de gestion du cycle de vie requis pour l'évaluation, à la fois pour les certifications nationales du système EUCC et de l'ADRC.

• Évaluation de la cybersécurité : Pour les équipes qui ne sont pas encore à l'étape de certification CC, Nous proposons des tests de pénétration et une évaluation de vulnérabilité reposant sur la même méthodologie basée sur la CC, couvrant le matériel, les logiciels et le micrologiciel.

FAQ

Qu'est-ce que les Critères Communs ?

Les Critères communs (CC) sont une norme internationale pour l'évaluation des propriétés de sécurité des produits et systèmes informatiques, officiellement publiés sous le nom de ISO/IEC 15408. Il définit un cadre structuré pour spécifier les exigences de sécurité, énonce la méthodologie pour évaluer si ces exigences sont respectées et établit des règles pour la surveillance de ces évaluations. Les gouvernements et les organisations du monde entier utilisent la CC pour évaluer et certifier la sécurité des produits de technologie de l’information. Dans de nombreux cas, le respect des critères communs est une condition préalable à l'adjudication.

Qui reconnaît les certificats CC ?

Le cadre de reconnaissance mutuelle le plus largement adopté est l'Arrangement de reconnaissance des critères communs (CCRC), avec les signataires y compris l'Australie, Le Canada, la France, l’Allemagne, le Japon, la République de Corée, les Pays-Bas, le Royaume-Uni, les États-Unis et bien d’autres. Au sein de l'Europe, l'EUCC fournit un cadre européen de certification basé sur le CCR en vertu de la loi européenne sur la cybersécurité qui harmonisera et remplacera certains arrangements nationaux dans tous les États membres de l'UE.

Quel est le processus d'évaluation des CC ?

Il y a trois parties impliquées : le vendeur ou le commanditaire engage un laboratoire accrédité et soumet le produit et les éléments de preuve connexes à évaluer. Le laboratoire effectue l’évaluation et rapporte les résultats au régime; l’évaluation est itérative et le vendeur peut se pencher sur les conclusions au cours du processus. Le système (organisme de certification) délivre des certificats CC et assure la surveillance du laboratoire. Chaque système a ses propres politiques quant à la façon dont la CC est appliquée et quels produits peuvent être acceptés.

Qu'est-ce qu'un niveau d'assurance d'évaluation ?

Un niveau d'assurance-évaluation (EAL) est l'un des plusieurs ensembles prédéfinis d'exigences d'assurance allant de EAL1 (Functionally Tested) à EAL7 (Formally Verified Design and Tested). Un profil de protection ou une cible de sécurité peut référencer un ALE, ou décrivez alternativement une trousse d’assurance personnalisée adaptée à des exigences spécifiques plutôt que d’utiliser une ELA prédéfinie.

Combien de temps prend l'évaluation ?

Un projet d'évaluation CC dure généralement plusieurs mois, mais la durée réelle dépend de nombreux facteurs, y compris la complexité du produit, les réclamations d'assurance et l'exhaustivité de la documentation du produit. Un projet d'évaluation comprend la préparation du produit, la préparation de la documentation par le vendeur, l'engagement d'un laboratoire d'évaluation accrédité, des activités d'évaluation de laboratoire et enfin de certification par l'organisme de certification.

Que se passe-t-il lorsqu'un produit certifié change ?

La certification CC ne s'applique qu'aux configurations et versions spécifiées par la cible de sécurité certifiée. Si un produit certifié est mis à jour, le certificat original ne s'applique pas automatiquement à la nouvelle version. Certains systèmes de certification offrent une plus longue validité de certificat avec des dispositions de mise à jour, à condition que les modifications soient évaluées et approuvées. Dans la plupart des cas, les changements de produits sont gérés par le biais du processus Assurance Continuity qui permet des modifications mineures sans impact sur la sécurité sans réévaluation complète.