Common Criteria for Information Technology Security Evaluation v3.1 Revision 5 — Part 1

Remarque

Critères communs v3.1, révision 5, partie 1 : concepts et principes généraux de l'évaluation de sécurité des produits TI, modèle général d'évaluation et notion de cible d'évaluation (TOE).

Résumé

Objet

La partie 1 des critères communs, version 3.1 révision 5 (avril 2017, référence CCMB-2017-04-001), donne l’introduction et le modèle général de l’évaluation de sécurité des produits informatiques CC v3.1 R5 Part 1. La version 3.1 compte trois parties : introduction et modèle général, composants fonctionnels, composants d’assurance CC v3.1 R5 Part 1, Foreword.

Cette partie définit la cible d’évaluation (TOE), les profils de protection (PP), les paquets d’exigences et la notion de conformité ; elle guide la rédaction des cibles de sécurité (ST) et renvoie, pour la méthode d’évaluation, à la CEM CC v3.1 R5 Part 1, § 2 Scope. Les gouvernements détenteurs des droits ont autorisé l’ISO/IEC à utiliser CC 3.1 pour le développement et la mise à jour de la norme ISO/IEC 15408 CC v3.1 R5 Part 1, _Legal Notice:_.

CC:2022 se présente comme la première révision majeure depuis cette version 3.1 révision 5 ; ses nouvelles parties 4 et 5 y sont décrites comme une amélioration substantielle CC:2022 R1 Part 1, Foreword.

À qui ça s’applique

La version 3.1 n’est plus citée que pour des périodes limitées ou pour des profils de protection existants, avec quatre formulations distinctes dans le corpus :

• L’EUCC, révision 5. Jusqu’au 31 décembre 2027, un certificat EUCC peut encore être délivré en appliquant les critères communs « version 3.1, révision 5 » Art. 3 §2.
• L’EUCC, profils établis selon la révision 5. Jusqu’au 31 décembre 2027, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon les normes antérieures, dont les critères communs 3.1 révision 5 Art. 3 §3 Art. 3 §2.
• L’EUCC, révisions 1 à 4, pour les profils. Sans limite de date dans l’article, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon la version 3.1, révisions 1 à 4, à condition que l’utilisation de ce profil soit requise notamment par le règlement 910/2014 ou par la décision d’exécution 2016/650 Art. 3 §4. Par exemple, le profil de protection EN 419211-2, cité par cette décision, se déclare conforme aux critères communs 3.1, révision 3 Annexe BSI-CC-PP-0059 (EN 419211-2), § 6.1 CC Conformance Claim.
• Les attestations électroniques d’attributs qualifiées et celles du secteur public. L’annexe I du règlement d’exécution 2025/1569 s’impose aux fournisseurs de ces deux catégories d’attestations Art. 3. Cette annexe admet les critères communs version 3.1 (CC3.1) jusqu’au 31.8.2027, sans préciser de révision Annexe I.

La décision d’exécution 2016/650, qui fixe les normes d’évaluation des dispositifs qualifiés de création de signature et de cachet, cite quant à elle la norme ISO/IEC 15408-1:2009, et non CC 3.1 Annexe. Le rapprochement entre les deux textes figure dans une fiche rédigée par nos soins ISO/IEC 15408 (1-5) et ISO/IEC 18045.

Points clés

• Une échéance CCRA plus courte. Selon la politique de transition du CCRA, la révision 5 peut servir aux évaluations commencées au plus tard le 30 juin 2024 ; les cibles CC:2022 fondées sur un profil certifié selon CC v3.1 sont acceptées jusqu’au 31 décembre 2027 CCMC-2023-04-001, _Introduction_ ~~es~~.
• Trois dates à ne pas confondre : 30 juin 2024 (CCRA, nouvelles évaluations), 31 août 2027 (règlement d’exécution 2025/1569) et 31 décembre 2027 (EUCC) CCMC-2023-04-001, _Introduction_ ~~es~~ Annexe I Art. 3 §2.

Liens

• Partie 2 de la même version CC v3.1 R5 Part 2 ; version actuelle CC:2022, partie 1 CC:2022 R1 Part 1.
• Politique de transition du CCRA CCMC-2023-04-001 ; fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.