Лаборатория тестирования общих критериев - Common Criteria Testing Laboratory

В Общие критерии Модель предусматривает разделение ролей оценщика и сертификатора. Сертификаты на продукцию присуждаются национальными схемами на основе оценок, проводимых независимыми испытательные лаборатории.

Общие критерии испытательная лаборатория является сторонней организацией по коммерческому тестированию безопасности, аккредитованной для проведения оценки безопасности на соответствие Общие критерии Международный стандарт. Такой объект должен быть аккредитован согласно ISO / IEC 17025 со своим национальным органом по сертификации.

Примеры

Список обозначений лабораторий по странам:

  • В США они называются лабораторией тестирования общих критериев (CCTL).
  • В Канаде они называются Common Criteria Evaluation Facility (CCEF).
  • В Великобритании они называются средствами коммерческой оценки (CLEF).
  • Во Франции они называются Centres d’Evaluation de la Sécurité des Technologies de l’Information (CESTI).
  • В Германии они называются IT Security Evaluation Facility (ITSEF).

Соглашение о признании общих критериев

Соглашение о признании общих критериев (CCRA) или Соглашение о взаимном признании общих критериев (MRA) [1] это международное соглашение, в котором признаются оценки по стандарту Common Criteria, выполненные во всех странах-участницах.

Взаимно понимается, что в отношении продуктов ИТ и профилей защиты Участники планируют признавать сертификаты Common Criteria, которые были утверждены любым другим сертификатом, уполномочивающим Участника, в соответствии с условиями настоящего Соглашения и в соответствии с применимыми законами и регламент каждого Участника.

— Международное соглашение, Договоренность о признании сертификатов общих критериев в области безопасности информационных технологий

Это соглашение имеет некоторые ограничения, и в прошлом признавались только оценки до EAL4 +. С продолжающимся переходом от уровней EAL и введением оценок NDPP, которые «отображаются» на компоненты доверия EAL4, продолжают получать признание.

Соединенные Штаты

в Соединенные Штаты то Национальный институт стандартов и технологий (NIST) Национальная программа добровольной аккредитации лабораторий (NVLAP) аккредитует CCTL на соответствие Национальное партнерство по обеспечению информации (НИАП) Схема оценки и проверки общих критериев требований и провести оценку безопасности ИТ на соответствие Общим критериям.

Требования CCTL

Эти лаборатории должны соответствовать следующим требованиям:

  • Справочник NIST 150, Процедуры NVLAP и общие требования
  • Справочник NIST 150-20, Тестирование безопасности информационных технологий NVLAP - Общие критерии
  • Специальные критерии NIAP для оценки ИТ-безопасности и другие требования, определенные NIAP

CCTL заключают договорные соглашения со спонсорами для проведения оценки безопасности ИТ-продуктов и Профили защиты которые используют CCEVS, другие одобренные NIAP методы испытаний, основанные на Общих критериях, Общей методологии и других технологических источниках. CCTL должны соблюдать самые высокие стандарты беспристрастности, честности и коммерческой конфиденциальности. CCTL должны работать в соответствии с руководящими принципами, установленными CCEVS.

Чтобы стать CCTL, испытательная лаборатория должна пройти ряд этапов, в которых задействованы как орган по валидации NIAP, так и NVLAP. Аккредитация NVLAP является основным требованием для получения статуса CCTL. Некоторые требования схемы, которые не могут быть удовлетворены аккредитацией NVLAP, рассматриваются органом по валидации NIAP. В настоящее время Орган по валидации предъявляет только три требования к конкретной схеме.

CCTL, утвержденные NIAP, должны согласиться со следующим:

  • Находиться в США и быть юридическим лицом, должным образом организованным и зарегистрированным, существующим на законных основаниях и с хорошей репутацией в соответствии с законами штата, в котором лаборатория намеревается вести бизнес.
  • Принять технический надзор правительства США и подтверждение деятельности, связанной с оценкой, в соответствии с политикой и процедурами, установленными CCEVS
  • Принять участников правительства США в выбранных оценках Common Criteria.

Аккредитация CCTL

Испытательная лаборатория становится CCTL, когда лаборатория одобрена органом по валидации NIAP и указана в Список утвержденных лабораторий.

Чтобы избежать ненужных затрат и задержек с тем, чтобы стать испытательной лабораторией, одобренной NIAP, настоятельно рекомендуется, чтобы потенциальные CCTL убедились в том, что они в состоянии удовлетворить специфические требования схемы, до обращения за аккредитацией в NVLAP. Это можно сделать, отправив письмо о намерениях в NIAP до входа в процесс NVLAP.

Дополнительную лабораторную информацию можно найти в публикациях CCEVS:

  • # 1 Схема оценки и подтверждения общих критериев безопасности информационных технологий - организация, управление, концепция операций и публикация схемы
  • # 4 Схема оценки и подтверждения общих критериев безопасности информационных технологий - Руководство для лабораторий тестирования общих критериев

Канада

В Канаде Служба безопасности связи Канады (CSEC) Канадская схема общих критериев (CCCS) наблюдает за средствами оценки общих критериев (CCEF). Аккредитация проводится Советом по стандартам Канады (SCC) в рамках его Программы аккредитации лабораторий - Канада (PALCAN) в соответствии с CAN-P-1591, адаптацией SCC стандарта ISO / IEC 17025-2005 для лабораторий ITSET. Утверждение выполняется органом по сертификации CCS, органом, входящим в состав CSEC, и является проверкой способности заявителя выполнять компетентные оценки общих критериев.

Примечания

  1. ^ «Договоренность о признании сертификатов общих критериев в области безопасности информационных технологий» (PDF). CSEC. 2013. Архивировано с оригинал (PDF) на 2013-10-17. Получено 2013-03-03.

внешняя ссылка