Common Criteria for Information Technology Security Evaluation CC:2022 Revision 1 — Part 4

Remarque

Critères communs CC:2022, révision 1, partie 4 : cadre normalisé pour spécifier des méthodes et activités d'évaluation objectives, répétables et reproductibles.

Résumé

Objet

La partie 4 des critères communs CC:2022, révision 1 (novembre 2022), est nouvelle dans cette version CC:2022 R1 Part 4 CC:2022 R1 Part 1, Foreword. Elle fixe un cadre pour écrire des méthodes d’évaluation et des activités d’évaluation adaptées à un type de produit ou de technologie :

Elle ne dit ni comment évaluer, ni comment adopter ou tenir à jour ces méthodes : ces questions reviennent à ceux qui les rédigent CC:2022 R1 Part 4, § 1 Scope. Elle ne définit elle-même aucune méthode ni activité concrète CC:2022 R1 Part 4, Introduction.

À qui ça s’applique

Le cadre sert aux auteurs de profils de protection, de paquets et de documents d’appui, qui peuvent y inclure des méthodes ou activités d’évaluation. Lorsqu’une cible de sécurité identifie des méthodes ou activités à utiliser, la méthode d’évaluation commune (CEM) oblige l’évaluateur à les suivre et à en rendre compte CC:2022 R1 Part 4, Introduction.

Aucun acte eIDAS du corpus ne vise cette partie isolément (constat au 30-10-2026). Les règlements d’exécution sur les services de confiance qualifiés renvoient aux critères communs « version CC:2022, parties 1 à 5 » ou à la norme ISO/IEC 15408 Annexe ; ces renvois sont détaillés dans le résumé de la partie 1 CC:2022 R1 Part 1. Le schéma européen EUCC inclut aussi cette partie dans sa définition des critères communs Art. 2 §1.

Points clés

• Dériver de la CEM. La CEM définit des « unités de travail » génériques que l’évaluateur accomplit pour rendre un verdict. La partie 4 explique comment en dériver des activités d’évaluation et les regrouper en une méthode pour un contexte donné, par exemple un type de produit ou des fonctions cryptographiques précises CC:2022 R1 Part 4, § 4.1 Concepts and model.
• Une identification obligatoire. Un profil de protection ou un paquet qui exige des méthodes ou activités d’évaluation l’indique. La cible de sécurité les liste toutes, sans en ajouter, modifier ou retirer CC:2022 R1 Part 4, § 4.1 Concepts and model.
• Pas de déclaration de conformité à la partie 4 dans ces cas CC:2022 R1 Part 4, § 4.1 Concepts and model.
• Aucun erratum. Le document d’errata et d’interprétations, version 1.2, n’en signale aucun pour cette partie CCMB-2025-001 v1.2, Errata / Interpretation for CC:2022 Part 4.
• Un usage en transition. La politique de transition du CCRA suggère de s’appuyer sur les rubriques Rationale for the Evaluation method/activity de la partie 4 pour combiner des méthodes d’un profil de protection en version 3.1 avec la CEM:2022 CCMC-2023-04-001, Protection Profiles.

Liens

• Autres parties : 1 CC:2022 R1 Part 1, 2 CC:2022 R1 Part 2, 3 CC:2022 R1 Part 3, 5 CC:2022 R1 Part 5 ; méthode CEM:2022 CEM:2022 R1.
• Fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.