Common Methodology for Information Technology Security Evaluation v3.1 Revision 5

Remarque

Méthodologie commune d'évaluation CEM v3.1, révision 5 : document compagnon des Critères communs, qui définit les actions minimales de l'évaluateur, hors certains composants de haute assurance.

Résumé

Objet

La méthode d’évaluation commune (Common Methodology for Information Technology Security Evaluation, CEM), version 3.1 révision 5 (référence CCMB-2017-04-004), accompagne les critères communs de la même version CEM v3.1 R5 :

Elle ne définit pas d’actions de l’évaluateur pour certains composants de haute assurance, faute de recommandations généralement admises CEM v3.1 R5, § 2 Scope. Les gouvernements détenteurs des droits ont autorisé l’ISO/IEC à utiliser la CEM 3.1 pour développer et tenir à jour la norme ISO/IEC 18045 CEM v3.1 R5, _Legal Notice:_.

À qui ça s’applique

Elle s’adresse d’abord aux évaluateurs qui appliquent les critères communs et aux certificateurs qui confirment leurs travaux ; les commanditaires, développeurs et auteurs de profils de protection ou de cibles de sécurité en sont un public secondaire. Elle ne répond pas à toutes les questions : chaque schéma décide comment traiter les interprétations nécessaires CEM v3.1 R5, § 1 Introduction.

Dans le corpus, la CEM 3.1 n’est plus admise que dans des cas délimités, par le schéma européen EUCC :

• jusqu’au 31 décembre 2027, un certificat EUCC peut encore être délivré en appliquant « la méthode commune pour l’évaluation de la sécurité des technologies de l’information, révision 5, version 3.1 » Art. 3 §2 ;
• jusqu’à la même date, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon ces normes de la version 3.1 Art. 3 §3 ;
• sans date dans l’article, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon la méthode commune version 3.1, révisions 1 à 4, si l’utilisation de ce profil est requise notamment par le règlement 910/2014 ou la décision d’exécution 2016/650 Art. 3 §4.

L’annexe I du règlement d’exécution 2025/1569 admet les critères communs « version 3.1 (CC3.1) jusqu’au 31.8.2027 », mais ne nomme pas la méthode d’évaluation Annexe I (constat au 31-10-2026). La décision d’exécution 2016/650 cite la norme ISO/IEC 18045:2008, et non la CEM 3.1 Annexe ; le rapprochement entre ces textes figure dans une fiche rédigée par nos soins ISO/IEC 15408 (1-5) et ISO/IEC 18045.

Points clés

• Une organisation par classes d’assurance. Le chapitre 9 traite de l’évaluation d’un profil de protection, les chapitres 11 à 17 des activités d’évaluation par classe d’assurance CEM v3.1 R5, § 6.1 Organisation of the CEM.
• Le potentiel d’attaque. L’annexe B explique les critères de l’analyse de vulnérabilité et donne des exemples de leur application CEM v3.1 R5, § 6.1 Organisation of the CEM. La CEM décrit l’évaluation des composants AVA_VAN, jusqu’à AVA_VAN.5 CEM v3.1 R5, § 16.2.5 Evaluation of sub-activity (AVA_VAN.5).
• Les composants à évaluer sont ceux de la partie 3 des critères communs de la même version CC v3.1 R5 Part 3.
• Une transition encadrée par le CCRA. Selon la politique de transition du CCRA, la révision 5 pouvait servir aux évaluations commencées au plus tard le 30 juin 2024, sous réserve des autres règles de cette politique CCMC-2023-04-001, _Introduction_ ~~es~~.

Liens

• Critères communs 3.1 révision 5, parties 1 à 3 CC v3.1 R5 Part 1 CC v3.1 R5 Part 2 CC v3.1 R5 Part 3 ; version actuelle CEM:2022 CEM:2022 R1.
• Politique de transition du CCRA CCMC-2023-04-001 ; fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.