Bibliographie & annexes
Présentation
English
RÉSUMÉ
Assurer la sécurité de son système d’information est un enjeu clé pour les directions informatiques. Celles-ci doivent se prémunir contre de multiples menaces. Les solutions de sécurité offertes par le marché sont certes nombreuses, et il est impossible pour un gestionnaire de système d’information de les essayer et de les évaluer toutes et intégralement. La certification permet alors d’orienter le choix des produits de sécurité informatique. Cependant de nombreux labels existent et leur connaissance s’avère d’autant plus importante que le dispositif international des critères communs coexiste avec d’autres labels nationaux, au risque de se chevaucher.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Michaël CHOCHOIS : Security and IT Risk Manager
-
Nicolas MAGNIN : Juriste spécialiste de la SSI
INTRODUCTION
L'avènement de la société de l'information durant les années 1990 a suscité une montée des besoins en sécurité informatique. L'industrie a réagi en proposant pléthore de matériels et de logiciels permettant de protéger en tout ou en partie les systèmes d'information, qui sont considérés depuis fort longtemps comme stratégiques et concourant à garantir la souveraineté des États.
Les États, comme les entreprises utilisatrices de produits de sécurité, ont rapidement ressenti le besoin d'évaluer les capacités réelles de protection des produits de Sécurité des Systèmes d'Information (SSI). Les États-Unis ont ainsi créé le Trusted Computer System Evaluation Criteria (TCSEC), appelé aussi « livre orange ». Ce document énonce une série de critères auxquels un système d'information doit répondre pour pouvoir être considéré comme fiable, pour une utilisation par une administration fédérale américaine. L'originalité de ce système d'évaluation est qu'il propose quatre niveaux de sécurité, le choix de ce niveau de sécurité étant fixé par le niveau de sensibilité des informations à gérer par le système d'information. Dans le même temps, des sociétés privées ont créé des instituts pour évaluer la robustesse des produits de SSI.
Cependant, ce sont les États qui ont exprimé le besoin le plus fort pour évaluer les produits de SSI. De plus, même les sociétés utilisatrices étaient intéressées par leurs évaluations, car elles présentaient une certaine garantie d'indépendance. Ainsi, les États ont décidé de coordonner leurs efforts en vue de partager le grand nombre de critères d'évaluation des produits de SSI. Ils ont conclu des accords pour que les certificats, attestant que ces produits répondent à ces critères de sécurité, soient reconnus dans d'autres États. Néanmoins, et malgré cet effort, la sécurité des systèmes d'information reste souvent, et avant tout, considérée comme une prérogative nationale. Ainsi, les États développent souvent, parallèlement aux accords internationaux, des systèmes d'évaluation nationaux afin de garder la maîtrise sur les évaluations de produits de SSI.
Tel est le cas de la France. Notre pays est l'un des participants fondateurs de l'accord de reconnaissance mutuelle selon les Critères Communs ; il a ainsi créé une autorité de certification nationale pour émettre des certificats selon ses critères (§ 1).
La France a également développé ce système de certification national pour :
-
évaluer des produits de SSI issus de la communauté des logiciels libres, c'est-à-dire dont les codes source sont publiés et accessibles (§ 2) ;
-
qualifier des produits de SSI (§ 3), c'est-à-dire donner une appréciation et recommander un produit afin que celui-ci soit utilisé dans les administrations ;
-
agréer des produits SSI (§ 4), c'est-à-dire vérifier que le produit de SSI est apte à protéger les systèmes d'information qui traitent des données classées Confidentiel Défense.
L'autorité de certification nationale agrée et contrôle les laboratoires chargés des évaluations de produits SSI (§ 5) et participe au développement et à l'évolution des Critères Communs (§ 6).
Un tableau des acronymes utilisés est présenté en fin d'article.
L'expertise technique et scientifique de référence
MOTS-CLÉS
qualité et certification critères communs sécurité des systèmes d'information critères communs
VERSIONS
- Version archivée 1 de oct. 2009 par Michaël CHOCHOIS, Nicolas MAGNIN
DOI (Digital Object Identifier)
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(77 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Conclusion
English
7. Évolution des Critères Communs
7.1 Processus d'évolution
Les CC, ainsi que la méthode d'évaluation associée (CEM), se modifient afin de suivre les évolutions technologiques, mais aussi afin de tenir compte des expériences, suite aux évaluations de produits effectués par les différents centres d'évaluation des pays adhérents. Un comité de pilotage appelé CCDB (Common Criteria Development Board ) assure la maintenance des CC et CEM en traitant les demandes de modifications (Change Proposals, CP) provenant du CCMRA.
HAUT DE PAGE7.2 Évolutions de la version 2.3 à la 3.1
La version 2.3 est la dernière version CC de la série 2.x et ne doit plus être utilisée pour des évaluations débutées après mars 2008. Les CC ont la réputation d'être un ensemble de documents et méthodologies difficilement compréhensibles par les profanes et d'exiger trop de rédaction documentaire. Par conséquent, ils sont vus comme des freins au développement, mal intégrés aux processus de développement et coûteux.
La version 3.1, publiée en septembre 2006, est la version majeure succédant à la V2.3 de 2005. La version actuelle est la 3.1 R4. L'objectif est d'alléger les documents de toute redondance dans les processus d'évaluation et d'éliminer les activités contribuant peu ou pas au niveau d'assurance du produit évalué. Enfin, la terminologie a été enrichie et clarifiée afin d'éviter toute erreur d'interprétation. Ainsi, le document « Part 1 : Introduction and General Model » n'intègre-t-il pas moins de 15 pages de définitions et acronymes. Les termes sont uniformisés avec les terminologies ISO/IEC.
De même, la version 3.1 présente un nouveau concept de conception de cible d'évaluation, plus proche des cycles de développements et de gestion de projets réels. Un PP/ST a par ailleurs été ajouté pour des niveaux d'assurances bas, de type EAL1.
Enfin, les documents CEM sont structurés afin de suivre les CC Part 3 : Security Assurance Requirements et peuvent s'appliquer sur des niveaux d'assurance différents de EAL4.
Un guide de transition entre les versions 2.3 et 3.1 a été publié en septembre 2008 et offre un tableau de mise en relation entre les deux nomenclatures.
...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(77 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Évolution des Critères Communs
DANS NOS BASES DOCUMENTAIRES
ANNEXES
CISIA juin 2000 Le Bayésien (version pour Windows Vista).
HAUT DE PAGE
Agence nationale de la Sécurité des services d'information http://www.ssi.gouv.fr/
Profil de protection certifié EAL2+ pour les machines à voter http://www.ssi.gouv.fr/fr/confiance/pp/pp_2006_4.html
Profils de protection certifiés http://www.ssi.gouv.fr/fr/confiance/pp.html
Arrangement on the Recognition of Common Criteria Certificates in the field of Information Technology Security http://www.commoncriteriaportal.org/files/operatingprocedures/cc-recarrange.pdf
Multiple CBs within one country/Commercial CBs http://www.commoncriteriaportal.org/files/operatingprocedures/Multiple%20 or%20commercial%20CBs20MC%20policy%20procedure%202006-09-001% 20v%201.0.pdf
Common Criteria for Information Technology Security Evaluation – Part 2: Security fonctional requirements http://www.commoncriteriaportal.org/files/ccfiles/CCPART2V3.1R2.pdf
Common Criteria for Information Technology Security Evaluation – Part 3: Security assurance requirements https://www.commoncriteriaportal.org/files/ccfiles/CCPART3V3.1R3.pdf...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(77 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
