Niveaux communs d'assurance des critères : Aperçu des critères d'évaluation et de la méthodologie

Le programme EUCC, dirigé par l'Agence européenne pour la cybersécurité (ENISA), a été libéré au début de 2024. Il s'appuie sur le cadre d'évaluation des critères communs SOG-IS déjà utilisé par 17 États membres de l'UE.

Le programme s'inscrit dans un effort législatif plus vaste, en s'alignant sur la directive NIS2 et la loi sur la cyber-résilience afin de garantir une conformité globale à la cybersécurité dans toute l'UE. Première initiative de certification en vertu du cadre de la Loi sur la cybersécurité (CSA) l'EUCC prépare le terrain pour les programmes futurs, tels que ceux axés sur les réseaux 5G (EU5G) et les services cloud (EUCS).

Les certifications au titre de l’EUCC sont valables jusqu’à cinq ans, avec des exigences de mise à jour en cas de changement dans le produit certifié. Le système continue à utiliser des domaines techniques établis par SOG-IS, en se concentrant sur des domaines de haute assurance tels que les cartes à puce et les dispositifs matériels sécurisés. Il introduit également des mesures pour lutter contre la nature statique de la certification traditionnelle, en intégrant la gestion des correctifs et la continuité de l'assurance, permettant des mises à jour plus rapides et une maintenance de la sécurité plus dynamique.

Introduction aux niveaux d'Assurance Évaluation (EAL)

Le choix du bon ALE est un élément fondamental du processus de certification des critères communs. Les Niveaux communs de Critère d'Assurance sont conçus pour fournir une méthode standardisée d'évaluation de la sécurité des produits informatiques.

Chaque niveau propose un ensemble de critères et de méthodologies spécifiques pour évaluer les caractéristiques de sécurité d'un produit, allant des tests de fonctionnalités de base aux processus de vérification rigoureux et formels. Les sept niveaux d'assurance-évaluation des critères communs (de l'EAL1 à l'EAL7) représentent des étapes progressives en matière d'assurance, avec chaque niveau supérieur englobant toutes les exigences des niveaux inférieurs et ajoutant des critères supplémentaires et plus stricts.

Changements avec l'EUCC

Le système EUCC introduit deux niveaux principaux de critères communs d'assurance, dérivés de la Cybersecurity Act (CSA) : substantiels et élevés. Ces niveaux correspondent aux sept niveaux existants d'assurance-évaluation (EPA) mais mettent davantage l'accent sur les évaluations dynamiques des risques et les évaluations sur mesure basées sur des risques spécifiques.

Le niveau substantiel d'assurance des critères communs englobe EAL1 à EAL3 et nécessite une analyse de vulnérabilité de base, définie comme AVA_VAN.1 ou AVA_VAN. . - À ce niveau, l’accent est mis sur l’identification et l’atténuation des vulnérabilités fondamentales en matière de sécurité par un examen et des tests simples. AVA_VAN.1 comporte une analyse de base visant à découvrir des failles de sécurité évidentes, tandis que AVA_VAN. comprend un examen plus détaillé pour s'assurer que le produit peut résister à des attaques de faible capacité et à des scénarios de menace de base.

Le niveau élevé d'assurance des critères communs comprend l'EAL4 à l'EAL7, qui implique des évaluations de vulnérabilité plus rigoureuses, spécifiées comme AVA_VAN.3, AVA_VAN.4, ou AVA_VAN. Ces niveaux plus élevés exigent des méthodes de test complètes et sophistiquées pour identifier les vulnérabilités potentielles et vérifier la solidité de la sécurité du produit. AVA_VAN.3 introduit une analyse approfondie pour découvrir les vulnérabilités qui pourraient être exploitées par des attaquants possédant des compétences et des ressources significatives. AVA_VAN.4 et AVA_VAN. accroître encore la rigueur de l'évaluation, en intégrant des techniques avancées et des méthodes formelles pour assurer les plus hauts niveaux d'assurance de sécurité.

En faisant la distinction entre les niveaux substantiels et élevés de critères communs d'assurance, le système EUCC fournit une approche structurée de la certification de cybersécurité qui s'aligne sur les différents besoins de sécurité des différents produits et services des TIC. Cela garantit que les produits répondent aux normes de sécurité appropriées, contribuant ainsi à un écosystème numérique sûr et digne de confiance au sein de l'UE.

EAL1 - Fonctionnellement testé

Le premier niveau d'assurance-évaluation des critères communs (EAL1) est l'assurance du niveau d'entrée de gamme, en confirmant que la Cible d'Evaluation (TOE) fonctionne correctement selon ses spécifications. Ce niveau implique un effort d'évaluation minimal, ce qui le rend adapté aux produits où les menaces de sécurité sont perçues comme faibles.

Critères clés et Méthodologie

L’évaluation chez EAL1 est basée sur les spécifications fonctionnelles et d’interface fournies par le développeur. Le but est de garantir que le TOE fonctionne comme prévu sans entrer profondément dans son fonctionnement interne. Des tests indépendants sont effectués pour vérifier que les fonctions de sécurité fonctionnent comme décrit dans la cible de sécurité (ST). Ce test est simple et se concentre sur la vérification des fonctionnalités de base des fonctionnalités de sécurité. Une analyse de vulnérabilité de base est effectuée pour identifier les défauts de sécurité évidents. Cela implique un examen sommaire afin de détecter toute vulnérabilité flagrante qui pourrait compromettre la sécurité des CGU.

À ce niveau d'assurance-évaluation des critères communs, il n'y a pas d'exigences spécifiques pour le processus de développement ou l'environnement. L'accent est mis sur la garantie de l'exhaustivité et de la clarté de la cible de sécurité et des spécifications fonctionnelles, avec une analyse de vulnérabilité de base pour identifier les défauts de sécurité évidents.

EAL2 - testé structurellement

Ce niveau d’assurance-évaluation des critères communs comprend un examen plus détaillé de la documentation de conception et de développement du TOE. Il convient aux environnements nécessitant un niveau modéré de sécurité assuré de manière indépendante.

Chez EAL2, l'évaluation nécessite d'examiner le code source et l'architecture du système pour confirmer l'implémentation des fonctions de sécurité, avec une analyse plus approfondie par rapport à EAL1. Les tests indépendants et les analyses de vulnérabilité sont également plus approfondis à ce niveau.

L'environnement de développement et les fonctionnalités de sécurité mises en place au sein du TOE sont examinés. L'évaluation des processus et des contrôles en place garantit le développement sécurisé du produit. La gestion de la configuration et les procédures de livraison sécurisée sont évaluées pour s'assurer qu'elles répondent aux normes de sécurité. Cela implique de vérifier que le produit est géré et livré de manière sécurisée pour prévenir toute modification non autorisée.

EAL3 - testé et vérifié méthodiquement

EAL3 implique des tests systématiques et une analyse détaillée du processus de développement. Ce niveau se concentre sur la mise en œuvre et la conception architecturale pour identifier les problèmes potentiels de sécurité.

Le niveau EAL3 de l'assurance des critères communs implique des tests systématiques pour vérifier que le TOE fonctionne comme prévu et que les fonctions de sécurité sont correctement implémentées. Une analyse approfondie de la conception détaillée et des documents architecturaux est terminée, y compris un examen approfondi de la façon dont les fonctions de sécurité sont intégrées dans l'architecture globale.

Les tests de vulnérabilité indépendants peuvent identifier les problèmes de sécurité potentiels – ces tests sont plus rigoureux et plus approfondis que les niveaux plus bas d’évaluation des critères communs. L'environnement de développement est évalué pour s'assurer qu'il respecte les pratiques sécuritaires de conception et de développement. Cela inclut la vérification que les processus et les contrôles en place suffisent pour mettre au point un produit sûr.

À ce niveau d'assurance-évaluation des critères communs, il est crucial de vérifier la gestion de la configuration et la gestion sécurisée des TOE tout au long de son cycle de vie afin d'assurer la sécurité du produit, du développement au déploiement et à la maintenance.

La cartographie du système EUCC des niveaux élevés et substantiels d’Assurance Critères Communs. Source : Freepik

EAL4 - Conçu de manière méthodique, testé et revu

Le quatrième niveau d'assurance-évaluation des critères communs met l'accent sur les tests approfondis et la formalisation du processus de développement. Ce niveau convient aux produits qui nécessitent un niveau d'assurance plus élevé et qui sont soumis à des menaces de cybersécurité croissantes.

EAL4 se concentre sur les tests et la révision approfondis de l'architecture de sécurité. Cela comprend un examen détaillé du modèle de politique de sécurité et de l'architecture de sécurité du TOE. Des tests indépendants sont effectués dans un environnement contrôlé pour vérifier les fonctions de sécurité.

Une analyse rigoureuse du processus de développement, incluant la gestion de la configuration et le support du cycle de vie, garantit que le produit est développé en toute sécurité. Une évaluation approfondie de la vulnérabilité est menée, y compris une analyse des canaux de couverture potentiels, afin d’examiner le produit et d’atténuer les vulnérabilités exploitables.

EAL5 - Semi-formellement conçu et testé

EAL5 exige des descriptions de conception semi-formelles et des procédures de développement rigoureuses, ce qui en fait une solution adaptée à des systèmes de haute assurance susceptibles de faire l’objet d’attaques sophistiquées.

Ce niveau d'assurance-évaluation des critères communs met l'accent sur la vérification de la conception au moyen de méthodes semi-formelles. Les spécifications de conception semi-formelles fournissent des descriptions claires des fonctions de sécurité.

Des analyses complètes de vulnérabilité et des tests indépendants sophistiqués sont effectués pour assurer la robustesse. Un examen détaillé de la gestion de la configuration et des procédures de livraison sécurisées garantit une gestion et une livraison sécurisées du produit.

Une analyse rigoureuse des fonctions de sécurité de TOE et leur mise en œuvre par rapport aux descriptions semi-formelles de conception est effectuée, en confirmant que les mécanismes de sécurité sont correctement mis en œuvre et fonctionnent comme prévu.

EAL6 - Conception et test semestriels vérifiés

EAL6 implique une ingénierie de sécurité de haut niveau et des méthodes formelles de vérification de conception, ce niveau convient aux environnements confrontés à des menaces de sécurité importantes nécessitant une grande assurance.

EAL6 se concentre sur les techniques de vérification semi-formelles et formelles pour assurer la sécurité. Les spécifications de conception semi-formelles et formelles décrivent en détail les fonctions de sécurité et leurs interactions.

Des tests approfondis, y compris des analyses approfondies de vulnérabilité et des tests de pénétration, sont effectués. Un modèle officiel de politique de sécurité et une vérification de la conception et de la mise en œuvre de ce modèle sont nécessaires. Cela garantit que les fonctions de sécurité sont correctement spécifiées et implémentées.

Un examen approfondi des procédures de développement, d'entretien et d'exploitation est essentiel pour assurer une sécurité cohérente. Cela implique de vérifier que les processus et les contrôles sont suffisants pour maintenir la sécurité du produit tout au long de son cycle de vie.

EAL7 - Conception formellement vérifiée et testée

L'EAL7 est le plus haut niveau d'Assurance Évaluation des critères communs, qui exige des méthodes formelles pour la conception et la vérification de la mise en œuvre. Ce niveau convient aux environnements à haut risque où la sécurité la plus élevée est essentielle.

EAL7 se concentre sur la vérification formelle des fonctions de sécurité de la TOE. La conception et la mise en œuvre formelles et mathématiques vérifiées garantissent que les fonctions de sécurité sont correctement spécifiées et implémentées.

Un modèle complet de politique de sécurité qui est officiellement vérifié est nécessaire, en s'assurant que les fonctions de sécurité sont correctement spécifiées et implémentées.

Les tests rigoureux et exhaustifs incluent des méthodes de vérification formelles et une analyse sophistiquée des vulnérabilités. Un examen détaillé et systématique du cycle de vie de l'ETOE, y compris du développement, de la maintenance et des procédures opérationnelles, est effectué pour garantir une sécurité constante et continue. Cela implique de vérifier que les processus et les contrôles sont suffisants pour maintenir la sécurité du produit tout au long de son cycle de vie.

Summary

En conclusion, La compréhension des niveaux d'assurance des critères communs et de leurs critères correspondants dans le cadre du système EUCC est essentielle pour les professionnels de l'informatique qui cherchent à assurer la sécurité de leurs produits. En adhérant à ces processus d'évaluation structurés, les organisations peuvent atteindre des niveaux d'assurance plus élevés et contribuer à un écosystème numérique sûr et digne de confiance au sein de l'UE.

Des tests de fonctionnalités de base EAL1 aux processus de vérification formels et exhaustifs d'EAL7, chaque niveau se base sur le niveau précédent, en ajoutant des critères et des méthodologies plus stricts pour assurer une sécurité solide. La cartographie du système EUCC de critères communs substantiels et élevés par l’EUCC améliore encore le processus d’évaluation. s'assurer que les produits TIC répondent aux normes de cybersécurité les plus élevées.

Comment QIMA peut-il vous aider ?

Si vous développez, fabriquez ou entretenez des produits connectés et avez besoin de support pour des tests de cybersécurité, des évaluations, de la conformité ou des certifications, QIMA peut vous aider.

Contactez-nous pour discuter de vos besoins en cybersécurité.