Cyber Security Evaluierung und Zertifizierung nach Common Criteria

Die Einhaltung der Common Criteria gemäß ISO/IEC 15408-1 umfasst zwei Aspekte der Qualitätssicherung:

• Bewertung der Anforderungen an die Vertrauenswürdigkeit (Security Assurance Requirements, SARs) – Dies ist eine Überprüfung der Prozesse, die während der Entwicklung und Evaluierung eines bestimmten IT-Produkts durchgeführt werden, um die Einhaltung der vorgeschriebenen Sicherheitsfunktionen zu bewerten, die je nach beabsichtigter Verwendung und erwartetem Risikoumfeld variieren können.
• Sicherheitslevel der Evaluierung (Evaluation Assurance Level, EAL) – Dies bewertet die Schwierigkeit des Evaluierungsprozesses selbst und kann vom einfachsten Level der Cybersicherheit (EAL 1) bis zum strengsten Prozess zur Überprüfung des behaupteten Sicherheitslevels (EAL 7) reichen.

*Es ist wichtig zu beachten, dass ein EAL nur eine Bewertung der Strenge des Evaluierungsprozesses selbst ist: Ein ITE mit einem höheren EAL weist nicht unbedingt auf ein sichereres Gerät hin.

So kann Nemko helfen

Nemko kann umfassende Unterweisung gemäß den Common Criteria-Anforderungen bieten, die in ISO/IEC 15408-1 ausführlich beschrieben sind.

• Bewertung des Schutzprofils – Beschaffungsorganisationen können von Drittanbietern verlangen, den Nachweis zu erbringen, dass ihr Produkt den Anforderungen eines oder mehrerer Schutzprofile (Protection Profile, PP) entspricht. Experten von Nemko können mit Ihnen zusammenarbeiten, um die Konformität Ihrer Geräte mit den relevanten PPs zu bewerten und eine Bescheinigung zur Untermauerung Ihrer Behauptungen auszustellen.
• EAL/Security Target (ST)-Bewertung – Die PP-Bewertung kann als Grundlage für die Definition der erforderlichen Sicherheitseigenschaften dienen, sodass Nemko-Experten eine Evaluierung Ihrer Geräte durchführen können, die sowohl den erforderlichen STs als auch dem erforderlichen EAL entspricht.
• Nemko kann auch vor formelleren Sicherheitsanalysen eine vorläufige funktionale Fehlerbewertung (Functional Gap Assessment, FGA) durchführen, um potenzielle Probleme zu identifizieren und sicherzustellen, dass diese Geräte vorzeitig wichtige Common Criteria-Anforderungen erfüllen.