Common Criteria
Common Criteria
Section intitulée « Common Criteria »Référence pour l’évaluation et la certification de produits de sécurité selon des profils et niveaux d’assurance.
→ Lire l’explication complète de la marmotte
Le portail Common Criteria regroupe l’écosystème d’évaluation et de reconnaissance autour de produits de sécurité certifiés.
Lectures prioritaires
Section intitulée « Lectures prioritaires »- Site officiel : commoncriteriaportal.org
- Concepts EAL, Security Target, Protection Profile
- Exemples de certifications module cryptographique matériel, cartes à puce, pare-feu, produits réseau
Sous-chapitres
Section intitulée « Sous-chapitres »Évaluation et assurance
Section intitulée « Évaluation et assurance »- Ce qu’exprime un niveau EAL
- Différence entre cible évaluée et système global
- Importance du périmètre exact de certification
Produits et cas d’usage
Section intitulée « Produits et cas d’usage »- Modules cryptographiques matériels, équipements réseau, composants de sécurité
- Lecture des certificats pour l’architecture et l’achat
- Limites d’une décision fondée uniquement sur le label
Gouvernance et conformité
Section intitulée « Gouvernance et conformité »- Comment intégrer une certification dans une stratégie de preuve
- Relation avec appels d’offres et exigences réglementaires
- Distinction entre certification, validation et homologation
Dans TortueTech
Section intitulée « Dans TortueTech »- Référence utile pour module cryptographique matériel, équipements et produits de confiance
- À relier aux sujets crypto, supply chain et achats techniques
Points à vérifier
Section intitulée « Points à vérifier »à compléter: produits ou familles à citer en prioritéà compléter: exemples de mauvaise lecture d’un certificat
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Ignorer ces références, c’est acheter un produit de sécurité sur la foi d’un label sans savoir ce qu’il couvre. Le certificat existe bien, mais il porte peut-être sur une version antérieure, sur une partie seulement des fonctions ou sur une configuration que personne n’a reproduite en production ; la preuve présentée à l’auditeur décrit alors un objet qui n’est pas celui qui tourne. Sans lecture de la cible de sécurité, les conditions d’emploi qu’elle suppose restent à la charge de l’acheteur, qui ignore jusqu’à les avoir acceptées.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »Les Critères communs sont une méthode internationale pour évaluer des produits de sécurité, comme les modules cryptographiques matériels, les cartes à puce, les pare-feu ou les équipements réseau. Le fabricant décrit d’abord ce que son produit prétend protéger, et dans quelles conditions, dans un document appelé cible de sécurité. Un profil de protection est un ensemble d’exigences commun à une famille de produits, que plusieurs fabricants peuvent reprendre. Le produit est ensuite évalué par rapport à ces documents. Le niveau d’assurance de l’évaluation, noté EAL, indique la profondeur des vérifications menées, et non la solidité absolue du produit. Le portail officiel rassemble les produits certifiés et l’organisation qui permet de reconnaître une évaluation d’un pays à l’autre. Le point essentiel est le périmètre : la certification porte sur la cible évaluée, souvent une partie du produit dans une configuration précise, et non sur le système complet dans lequel il sera installé. Un produit certifié mais déployé autrement que prévu sort du cadre évalué. C’est pourquoi une décision d’achat ou d’architecture ne peut pas reposer sur le seul label : il faut lire le certificat et son périmètre. La certification trouve ensuite sa place dans une stratégie de preuve, par exemple pour répondre à un appel d’offres ou à une exigence réglementaire, et elle se distingue de la validation et de l’homologation.
À lire aussi
- Cloud Security AllianceRéférence cloud pour les matrices de contrôle, l’évaluation des fournisseurs et les repères de sécurité partagée.
- ISORéférence normative internationale pour les systèmes de management, les contrôles et la gestion des risques.
- Comment utiliser CSA STAR et le questionnaire CAIQLa certification STAR et le questionnaire CAIQ de la Cloud Security Alliance servent à évaluer la posture de sécurité d’un fournisseur cloud avant contractualisation.
- IECCoéditeur des normes ISO/IEC et repère clé dès que la sécurité touche l’industrie, l’énergie ou les équipements.