Common Criteria (ISO/IEC 15408) är den internationella standarden för IT-säkerhet. Upptäck kärnkoncepten, utvärderingsprocedurer och certifieringsprocesser.
Denna standard tillhandahåller ett strukturerat och erkänt ramverk för att bedöma säkerhetsegenskaperna hos IT-produkter och system. Dess relevans understryks av dess integration i EU Cybersecurity Certification Scheme on Common Criteria (EUCC) inom EU Cybersecurity Act, vilket understryker den roll som Common Criteria spelar för att harmonisera och stärka cybersäkerheten över hela Europa.
Denna artikel erbjuder en omfattande syn på Common Criteria, deras struktur och praktiska tillämpning. Vi undersöker senaste förändringar, belyser förhållandet till EU Cybersecurity Act och förklarar centrala begrepp som skyddsprofiler, säkerhetsmål och utvärderingssäkerhetsnivåer. Dessutom tar vi en detaljerad titt på utvärderingsprocessen och den viktiga rollen hos testlaboratorier och certifieringsorgan.
Förhållandet mellan ISO/IEC och Common Criteria
Förhållandet mellan ISO/IEC 15408 och Common Criteria (CC) är ett exempel på framgångsrik integration av en specialiserad standard i det internationella standardiseringssystemet. Ursprungligen utvecklad som en oberoende standard för utvärdering och certifiering av informationsteknisk säkerhet antogs Common Criteria i ISO/IEC-familjen 1999 och publicerades som ISO/IEC 15408. Detta gjorde CC till en internationellt erkänd standard och ökade deras världsomspännande acceptans och tillämpbarhet. Sedan dess benämns standarden ofta både som "Common Criteria" och som "ISO/IEC 15408," där båda namnen hänvisar till samma innehåll och används vanligtvis omväxlande.
Hantering och vidareutveckling av CC sker i ett unikt samarbete mellan den internationella Common Criteria-gemenskapen och ISO/IEC JTC 1/SC 27 (IT Security Techniques). Förändringar och uppdateringar koordineras över båda gemenskaperna, vilket leder till kontinuerlig förbättring av standarden. Nya versioner publiceras både som CC-dokument och som ISO/IEC-standarder, där ISO/IEC-versionerna typiskt är betalda medan CC-dokument ofta är fritt tillgängliga. Dessutom standardiserades Common Evaluation Methodology (CEM) som ISO/IEC 18045, vilket skapade ett konsekvent ramverk för utvärdering och certifiering.
Den aktuella versionen av Common Criteria kan laddas ner kostnadsfritt från den officiella Common Criteria Portal. Där hittar du alla relevanta dokument, inklusive huvuddelarna av CC och associerade metoder. Motsvarande ISO/IEC-standarder kan erhållas på ISO publicly available standards page.
Struktur för Common Criteria
De fem delarna av ISO/IEC 15408 tillsammans med ISO/IEC 18045 (CEM) bildar ett omfattande ramverk för specifikation, utveckling och utvärdering av IT-säkerhetsprodukter. Medan delar 1-5 av ISO/IEC 15408 definierar krav och strukturer tillhandahåller CEM den nödvändiga metodiken för praktisk genomförande av utvärderingar.
ISO/IEC 15408-1 introduktion och allmän modell
Denna del ger en översikt över CC och definierar grundläggande begrepp, principer och terminologi. Den förklarar utvärderingsprocessen och utvärderingsresultaten samt relationerna mellan de olika delarna av CC.
ISO/IEC 15408-2 funktionella säkerhetskrav
Denna del innehåller en detaljerad katalog över standardiserade funktionella säkerhetskrav. Den används för precis specifikation av säkerhetsfunktioner i skyddsprofiler (PP) och säkerhetsmål (ST). Kraven är organiserade i klasser, familjer och komponenter, vilket möjliggör anpassning och utvidgning för specifika produkter eller system.
ISO/IEC 15408-3 säkerhetskrav
Denna del innehåller en omfattande katalog över säkerhetskrav. Den definierar åtgärder för att bedöma korrekt implementation av säkerhetsfunktioner och specificerar krav för utvecklings-, test- och leveransprocesser.
ISO/IEC 15408-4 ramverk för specifikation av utvärderingsmetoder
Denna sektion lägger grunden för utveckling av konsekventa och reproducerbara utvärderingsmetoder. Den definierar deras struktur och innehåll och möjliggör utveckling av specifika metoder för olika teknikområden.
ISO/IEC 15408-5 fördefinierade paket av säkerhetskrav
Denna del innehåller fördefinierade samlingar av säkerhetskrav. Den definierar också utvärderingsnivåerna (EAL1 till EAL7), som representerar olika grader av utvärderingsdjup. Dessa paket och EAL förenklar skapandet av skyddsprofiler och säkerhetsmål genom att tillhandahålla ofta behövda kombinationer av krav och standardiserade säkerhetsnivåer.
Förhållande mellan Common Criteria och Common Evaluation Methodology
ISO/IEC 18045, även känd som Common Evaluation Methodology (CEM), kompletterar de fem delarna av Common Criteria genom att beskriva hur utvärderingar genomförs i praktiken. Förhållandet i detalj:
- CEM bygger direkt på begreppen och principerna definierade i del 1 och konkretiserar dem för praktisk tillämpning.
- För de funktionella och säkerhetskrav som specificeras i delar 2 och 3 tillhandahåller CEM detaljerade testprocedurer och tekniker. Den vägleder utvärderare om hur man verifierar dessa krav i praktiken.
- CEM implementerar ramverket för utvärderingsmetoder definierat i del 4 genom att tillhandahålla en standardiserad metodik för CC-utvärderingar.
- När man utvärderar produkter som använder de fördefinierade paketen i del 5 erbjuder CEM specifik vägledning för effektiv testgenomförande.
Sammantaget bildar CEM bron mellan den teoretiska specifikationen av säkerhetskrav i Common Criteria och deras praktiska verifiering. Den säkerställer att utvärderingar under CC är konsekventa, reproducerbara och jämförbara.
Förändringar i 2022 års utgåva
2022 års uppdatering av Common Criteria (ISO/IEC 15408) och ISO/IEC 18045 (CEM) introducerade flera betydande förändringar. Nyckelnyheterna jämfört med föregående version inkluderar:
- Strukturen för standarden reviderades fundamentalt. Istället för de tidigare tre delarna består ISO/IEC 15408 nu av fem delar. Den nya del 4 introducerar ett ramverk för specifikation av utvärderingsmetoder, medan del 5 innehåller fördefinierade paket av säkerhetskrav. Denna utvidgning syftar till att förbättra tillämpbarheten och flexibiliteten hos standarden.
- Ett centralt fokus för revisionen var modernisering och anpassning till aktuella teknologier och hotscenarier. Detta återspeglas i uppdaterade och nya funktionella säkerhetskrav som bättre beaktar moderna IT-miljöer.
- Säkerhetskraven reviderades också för att göra utvärderingsprocessen mer effektiv och bättre möta behoven hos olika intressenter. Detta inkluderar förenkling av vissa krav och introduktion av nya begrepp för att bättre bedöma säkerheten hos komplexa system.
- Uppdateringen ökade den praktiska orienteringen av standarden. De nya versionerna lägger större vikt vid praktisk tillämpbarhet och utvärderingseffektivitet. Detta framgår bland annat av introduktionen av fördefinierade paket av säkerhetskrav i del 5, som förenklar skapandet av skyddsprofiler och säkerhetsmål.
- Utvärderingsmetodiken beskriven i ISO/IEC 18045 (CEM) justerades i enlighet med detta för att hålla jämna steg med förändringarna i ISO/IEC 15408. Detta säkerställer konsekvent tillämpning av de nya kraven och begreppen under utvärderingsprocessen.
- Dessutom förbättrades kompatibiliteten med andra relevanta standarder och regleringar för att möjliggöra bättre integration i befintliga certifieringsramverk som EUCC-Schema.
Sammantaget syftar förändringarna till att göra standarden mer flexibel, effektiv och relevant för moderna IT-säkerhetsutmaningar samtidigt som kärnprinciperna för Common Criteria bevaras. Revisionen återspeglar ansträngningen att hålla jämna steg med snabba utvecklingar inom cybersäkerhetslandskapet och att upprätthålla standarden som ett värdefullt verktyg för utvärdering och certifiering av IT-säkerhetsprodukter.
Common Criteria och EUCC-schemat under EU Cybersecurity Act
EUCC-schemat (European Cybersecurity Certification Scheme) utvecklades under EU Cybersecurity Act. Det baseras på Common Criteria och syftar till att möjliggöra en harmoniserad certifiering av IT-produkter, tjänster och processer över hela EU.
Huvudaspekter av kopplingen:
- Harmonisering EUCC-schemat använder CC som grund för att etablera en EU-omfattande enhetlig certifiering.
- Anpassning det anpassar CC till de specifika kraven och målen för EU.
- Förenkling schemat strävar efter att förenkla certifieringsprocessen för att göra den mer tillgänglig och effektiv.
- Ömsesidigt erkännande det främjar ömsesidigt erkännande av certifieringar inom EU.
- Säkerhetsnivåer EUCC-schemat definierar säkerhetsnivåer (Basic, Substantial, High) som motsvarar CC-utvärderingsnivåerna.
Genom denna koppling integreras Common Criteria i EU:s juridiska och reglerande ramverk för att stärka och standardisera cybersäkerheten i Europa.
Common Criteria byggstenar skyddsprofil, säkerhetsmål och utvärderingsobjekt
I hjärtat av Common Criteria-utvärderingsprocessen finns tre väsentliga begrepp: Target of Evaluation (TOE), Protection Profile (PP) och Security Target (ST). Dessa byggstenar bildar grunden för en strukturerad och jämförbar säkerhetsbedömning av IT-produkter och system.
Utvärderat objekt
Target of Evaluation (TOE) betecknar IT-produkten eller systemet som ska utvärderas. Detta kan vara mjukvara, hårdvara eller en kombination av båda. TOE förkroppsligar de konkreta säkerhetsfunktioner som bedöms i utvärderingen.
Skyddsprofil
En Protection Profile (PP) är en implementeringsoberoende samling säkerhetskrav för en viss kategori av TOE. Den definierar allmänna säkerhetsmål och krav för en produkttyp utan att hänvisa till en specifik produkt. PP skapas ofta av användargrupper eller myndigheter för att sätta standardiserade säkerhetsförväntningar för vissa produktklasser. De tjänar som referens för utvecklare och utvärderare och främjar jämförbarhet av säkerhetsutvärderingar.
Säkerhetsmål
Security Target (ST) är en implementeringsspecifik beskrivning av säkerhetsegenskaperna hos en konkret TOE. Den innehåller detaljerade säkerhetsmål, funktionella och säkerhetskrav och en beskrivning av TOE:s säkerhetsfunktioner. En ST kan referera till en eller flera PP och måste visa hur TOE uppfyller kraven definierade i PP.
Interaktion mellan byggstenarna
Dessa tre byggstenar är nära kopplade: en ST kan baseras på en eller flera PP och förfinar deras allmänna krav för den specifika TOE. Under utvärderingen kontrolleras om TOE uppfyller säkerhetskraven definierade i ST. Om ST baseras på en PP verifieras också överensstämmelse med PP.
Användning av dessa byggstenar främjar standardisering och återanvändning av säkerhetskrav. PP möjliggör för kunder att specificera standardiserade krav för IT-produkter, medan tillverkare kan utveckla sina TOE därefter och dokumentera detta i sina ST. Detta strukturerade tillvägagångssätt stödjer utvärderingsprocessen och förenklar jämförelse och val av IT-säkerhetsprodukter på marknaden.
Säkerhetsanalys och specifikation i Common Criteria
Common Criteria tillhandahåller ett strukturerat tillvägagångssätt för säkerhetsanalys och specifikation av IT-produkter och system. Denna process följer en logisk kedja från problemdefinition till konkret implementation och verifiering. Huvudelementen i denna kedja är Security Problem Definition (SPD), Security Objectives, Security Functional Requirements (SFR) och Security Assurance Requirements (SAR).
Förhållande mellan definitionen av säkerhetsproblemet, säkerhetsmålen och säkerhetskraven
Definition av säkerhetsproblemet
Startpunkten är Security Problem Definition (SPD). Den beskriver säkerhetsproblemet som ska lösas genom att identifiera potentiella hot, relevanta organisatoriska säkerhetspolicies och antaganden om driftmiljön. Baserat på denna SPD formuleras Security Objectives, som beskriver hur det identifierade säkerhetsproblemet ska adresseras. Dessa mål definieras både för TOE själv och för dess driftmiljö.
Funktionella säkerhetskrav
Security Functional Requirements (SFR) konkretiserar Security Objectives genom specifika funktionella krav för TOE. De beskriver exakt vad produkten måste göra i säkerhetshänseende. SFR täcker områden som åtkomstkontroll, autentisering, revision och kryptografi. I Security Target (ST) specificeras dessa krav i detalj, ofta tagna från en Protection Profile (PP) eller anpassade till de specifika behoven hos TOE.
Säkerhetskrav
Dessutom specificerar Security Assurance Requirements (SAR) djupet och noggrannheten med vilken implementeringen av säkerhetsfunktioner ska verifieras under utvärderingen. De definierar omfattningen och omfattningen av testning och inkluderar krav för utvecklingsdokumentation, testning, sårbarhetsanalys och livscykelsupport. SAR bestämmer därför graden av förtroende för korrekt implementation av SFR.
Utvärderingssäkerhetsnivåer
För att förenkla val och tillämpning av SAR introducerades Evaluation Assurance Levels (EAL). EAL är fördefinierade paket av SAR som representerar olika säkerhetsnivåer. De sträcker sig från EAL1 (funktionellt testad) till EAL7 (formellt verifierad och testad). Högre EAL kräver mer omfattande och noggranna utvärderingar, men innebär också högre kostnader och ansträngning. EAL-paket tillhandahåller konsekventa kravuppsättningar för olika säkerhetsnivåer och underlättar därmed jämförbarheten av utvärderingar.
Inbördes relationer mellan elementen
Komponenterna är nära kopplade: SFR och SAR specificeras i ST och bildar grunden för TOE-utvärderingen. Valet av EAL påverkar omfattningen och djupet av SFR-verifieringen. Under utvärderingen kontrolleras om TOE uppfyller SFR och om detta har demonstrerats i enlighet med SAR.
Under utvärderingen kontrolleras om TOE uppfyller SFR och om detta har demonstrerats i enlighet med SAR.
Detta strukturerade tillvägagångssätt möjliggör för Common Criteria att erbjuda en flexibel men standardiserad procedur för utvärdering av IT-säkerhet. SFR definierar den nödvändiga funktionaliteten, SAR sätter verifieringsdjupet och EAL tillhandahåller standardiserade säkerhetsnivåer. Tillsammans möjliggör de en omfattande och jämförbar bedömning av säkerheten hos IT-produkter och system.
Utvärderingsprocessen i Common Criteria
Den klassiska utvärderingsprocessen börjar med att tillverkaren förbereder ett Security Target (ST) för produkten som ska utvärderas (Target of Evaluation, TOE). ST definierar säkerhetsmålen och funktionerna hos TOE. Valfritt kan ST baseras på en eller flera Protection Profiles (PP) som sätter upp allmänna säkerhetskrav för en produktklass. PP är inte obligatoriska men kan främja jämförbarhet och standardisering.
Utvärderaren granskar först ST för fullständighet och konsistens. TOE utvärderas sedan mot kraven definierade i ST. Detta inkluderar granskning av dokumentation, testning av säkerhetsfunktioner och bedömning av utvecklings- och leveransprocesser. Utvärderaren producerar en utvärderingsrapport, som granskas av ett certifieringsorgan.
I en sammansatt utvärdering utvärderas en komplex produkt bestående av flera komponenter, varav några redan kan ha certifierats separat. Processen liknar den klassiska proceduren, men tar dessutom hänsyn till interaktionerna mellan komponenter och använder resultat från tidigare utvärderingar. Detta minskar ansträngningen och undviker duplicering.
I båda fallen tjänar ST som referens för utvärderingen, medan PP, om de används, bildar grunden för ST och säkerställer överensstämmelse med intressena hos PP-författarna. Utvärderingen verifierar slutligen om TOE uppfyller säkerhetskraven definierade i ST (och indirekt i de refererade PP).
Utvärderingslaboratorier och certifieringsorgan nyckelaktörer i Common Criteria
Testlaboratorier och certifieringsorgan spelar en central roll i Common Criteria (CC)-processen och är väsentliga för genomförande och validering av säkerhetsutvärderingar. Deras samarbete säkerställer oberoende, grundliga och standardiserade utvärderingar av IT-produkter och system.
Testlaboratorier ansvarar för den faktiska utvärderingen av TOE. De granskar ST och tillverkarens dokumentation, testar TOE:s säkerhetsfunktioner och producerar utvärderingsrapporten. De arbetar nära med tillverkaren för att klargöra frågor och erhålla ytterligare information. För att säkerställa oberoende och kompetens måste laboratorier vara ackrediterade.
Exempel på sådana testlaboratorier inkluderar:
- atsec information security (Tyskland, USA)
- TÜV Informationstechnik GmbH (Tyskland)
- Secuvera GmbH (Tyskland)
- SGS Brightsight (Nederländerna)
- Gossamer Security Solutions (USA)
Certifieringsorgan övervakar och säkerställer kvalitet i CC-processen. De övervakar utvärderingen, granskar testlaboratoriernas arbete och utfärdar det slutliga certifikatet. De säkerställer också efterlevnad av nationella och internationella standarder och representerar sitt land i Common Criteria Recognition Arrangement (CCRA). I vissa fall ansvarar de för att ackreditera testlaboratorier.
Välkända certifieringsorgan inkluderar:
- Federal Office for Information Security (BSI) (Tyskland)
- National Information Assurance Partnership (NIAP) (USA)
- Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) (Frankrike)
- Canadian Centre for Cyber Security (CCCS) (Kanada)
Samspelet mellan testlaboratorier och certifieringsorgan är avgörande för CC-processen. Medan laboratorierna utför det tekniska arbetet övervakar certifieringsorganen processen och säkerställer kvalitet.
Ett typiskt arbetsflöde är som följer: en tillverkare anlitar ett ackrediterat testlaboratorium för att utvärdera sin produkt. Laboratoriet genomför utvärderingen och skickar rapporten till certifieringsorganet. Certifieringsorganet granskar rapporten, kan ställa frågor eller begära ytterligare tester, och utfärdar CC-certifikatet vid framgångsrik verifiering.
Detta system säkerställer en oberoende, grundlig och standardiserad bedömning av IT-produkter och system och hjälper till att bygga förtroende för utvärderade produkter samtidigt som det möjliggör internationellt erkännande av certifieringar under CCRA.
Stöd för implementation och certifiering
Common Criteria (ISO/IEC 15408) tillhandahåller ett internationellt erkänt ramverk för att bedöma säkerheten hos IT-produkter - särskilt där formell certifiering krävs eller är strategiskt lämplig. Vägen till certifiering kan vara resurskrävande: från definition av säkerhetsmål till framgångsrik utvärdering av ett testlaboratorium.
Secuvi stödjer tillverkare i implementering av Common Criteria - från val av lämpliga skyddsprofiler och förberedelse av nödvändig dokumentation till koordinering av utvärderingsprocessen. Vi fokuserar på lösningar som uppfyller reglerande krav samtidigt som de integrerar med interna utvecklingsprocesser.
Om du överväger en CC-certifiering eller förbereder för en erbjuder vi expert- och metodstöd.