Cerca nel Sito

Menu Principale

Common Criteria Recognition Arrangement (CCRA)

Lo standard dei Common Criteria, unitamente alla metodologia definita nel documento complementare Common Methodology for Information Technology Security Evaluation (CEM), costituisce il fondamento tecnico di un gruppo internazionale denominato CCRA (Common Criteria Recognition Arrangement), frutto di un accordo di mutuo riconoscimento sottoscritto nel 2000 da dodici Paesi, tra cui l'Italia, che si occupa per l'appunto dell’applicazione, dell'armonizzazione e dell'evoluzione dello standard Common Criteria. Negli anni seguenti, altri Paesi hanno aderito all'accordo, che attualmente comprende 26 partecipanti.

Una nuova versione dell'accordo è stata ratificata in data 8 settembre 2014.

Scopi del CCRA

Tra gli scopi principali del CCRA vi sono quelli di assicurare che:

  • prodotti e sistemi IT vengano valutati da laboratori accreditati competenti ed indipendenti, al fine di determinare il soddisfacimento di specifici requisiti di sicurezza nei limiti dei livelli di garanzia richiesti;
  • venga prodotta ed utilizzata documentazione di supporto, in accordo coi Common Criteria, allo scopo di definire come i criteri e le metodologie di valutazione vengono applicati nei processi di certificazione riguardanti specifiche tecnologie;
  • le certificazioni di sicurezza di prodotti e sistemi IT vengano emesse da un certo di numero di cosiddetti Certificate Authorising Schemes (Schemi Produttori di Certificati), sulla base dei risultati della loro valutazione;
  • tali certificati vengano riconosciuti da tutti gli Schemi internazionali aderenti al CCRA.

Obiettivi comuni degli Schemi aderenti al CCRA

Gli Schemi e gli Organismi di Certificazione che aderiscono al CCRA, incluso lo Schema italiano, rappresentato dall'OCSI, condividono i seguenti obiettivi:

  1. assicurare che le valutazioni di prodotti/sistemi IT e Profili di Protezione (PP) vengano condotte applicando i Common Criteria in maniera coerente e rigorosa, in modo da contribuire in maniera sostanziale ad aumentare il livello di fiducia nell'effettiva sicurezza di tali prodotti e PP;
  2. incrementare il numero di prodotti/sistemi IT e PP certificati disponibili;
  3. eliminare l'onere della duplicazione delle certificazioni di sicurezza nei diversi ambiti nazionali;
  4. aumentare costantemente l'efficienza ed il rapporto costo-efficacia delle certificazioni di sicurezza.

I diversi ruoli all'interno del CCRA

I partecipanti al CCRA sono organizzazioni o agenzie governative rappresentative degli Schemi di certificazione dei rispettivi paesi. I partecipanti possono essere produttori di certificati, semplici “consumatori”, ossia utilizzatori di certificati emessi in altri paesi, oppure avere entrambe le funzioni.

I già citati partecipanti definiti come Certificate Authorising (Produttori di Certificati), sono rappresentativi di Organismi di Certificazione operanti nei rispettivi paesi ed hanno la funzione di autorizzare i certificati emessi da tali Organismi. Nel caso in cui un Certificate Authorising Participant sia anche direttamente responsabile dell'organizzazione e della gestione delle risorse e delle competenze che costituiscono un Organismo di Certificazione, viene definito come Qualified Participant (Partecipante Accreditato).

Gruppi di lavoro

I rappresentanti degli Schemi nazionali aderenti al CCRA si riuniscono periodicamente, di norma due volte l'anno, per verificare da un lato la corretta applicazione dello standard e dall'altro per migliorarne l'efficacia attraverso integrazioni e aggiornamenti.

In particolare, le riunioni del CCRA si articolano in diversi gruppi di lavoro:

  • il CCDB (Common Criteria Development Board) è un gruppo di lavoro prettamente tecnico che ha il compito di coordinare le attività di lavoro sui vari temi ritenuti di interesse generale, quali ad esempio le politiche di gestione e mantenimento delle certificazioni, la strategia di marketing, la gestione del sito web, ecc.
  • il CCMB (Common Criteria Maintenance Board) è un gruppo di lavoro permanente che si occupa dell'attività di revisione e aggiornamento dei criteri di valutazione.
  • il CCES (Common Criteria Executive Subcommittee) è un organo strategico-decisionale che si occupa di programmare le principali attività di interesse comune, quali ad esempio l'organizzazione dell'annuale conferenza internazionale sui Common Criteria (ICCC), ospitata a rotazione da tutti i Paesi aderenti; inoltre, ha il compito di vagliare le richieste dei nuovi Schemi candidati a diventare Schemi Produttori, attraverso la cosiddetta “valutazione ombra”, pianificando il calendario e le modalità operative di tali valutazioni.
  • il CCMC (Common Criteria Management Committee) si riunisce di norma solo una volta l'anno e comprende i Direttori di tutti gli Schemi aderenti al CCRA. Questo gruppo ha essenzialmente un compito di ratifica dei risultati ottenuti dai gruppi precedenti, nonché di coordinamento tra tutti gli Schemi, anche di quelli che in tali gruppi non sono rappresentati.

Condizioni per il mutuo riconoscimento

Gli accordi del CCRA stabiliscono che ogni partecipante riconosca la validità dei certificati Common Criteria emessi dai partecipanti Authorising (o Qualified).

Allo scopo di assicurare l'applicazione coerente ed armonica dei Common Criteria da parte di tutti gli Schemi e Organismi di Certificazione, gli accordi del CCRA prevedono anche che i partecipanti collaborino attraverso lo scambio di informazioni e lo svolgimento regolare di discussioni volte a risolvere dubbi e differenze di interpretazione dei Criteri stessi.

Inoltre, è responsabilità degli Organismi di Certificazione provvedere ad una costante verifica dei processi di valutazione in corso nell'ambito degli Schemi di appartenenza, onde assicurare che i Laboratori per la Valutazione della Sicurezza (LVS) accreditati lavorano secondo gli standard qualitativi e professionali richiesti e, in particolare:

  1. conducono le valutazioni in modo imparziale;
  2. applicano i Common Criteria e la CEM correttamente e in maniera coerente con gli altri Schemi aderenti;
  3. proteggono in maniera adeguata la confidenzialità delle informazioni riservate relative agli Oggetti Della Valutazione (ODV) valutati.

Allo scopo di verificare che tutti i partecipanti continuano nel tempo a soddisfare i requisiti e gli scopi del CCRA, gli accordi prevedono che vengano effettuate, ad intervalli regolari di tempo, delle verifiche di controllo, da parte di rappresentanti di Qualified Participant, degli Organismi di Certificazione riconosciuti. Queste verifiche includono la procedura cosiddetta di “valutazione ombra”.

In base alle regole vigenti, introdotte con l'accordo ratificato l'8 settembre 2014, il mutuo riconoscimento dei certificati CC è previsto nei seguenti casi:

  1. le certificazioni di prodotti che dichiarano conformità ad un cPP (collaborative Protection Profile) sono riconosciute fino al livello EAL4, inclusa l'eventuale aggiunta di ALC_FLR (Flaw remediation);
  2. tutte le altre certificazioni vengono riconosciute fino al livello EAL2, sempre con l'aggiunta di ALC_FLR.

La valutazione ombra

Per accedere pienamente al mutuo riconoscimento delle proprie certificazioni, uno Schema aderente al CCRA deve sottoporsi ad una particolare procedura di controllo, detta “valutazione ombra” (Shadow Certification/Evaluation).

Il CCMC, l'organo gestionale del gruppo, ha facoltà di incaricare uno o più Qualified Participants a sottoporre alla verifica di controllo uno degli Organismi di Certificazione non ancora riconosciuti come Authorising. Di norma la verifica avviene dietro esplicita richiesta dei rappresentanti dello Schema corrispondente, che sottopongono volontariamente la propria candidatura.

La valutazione ombra si svolge secondo regole omogenee stabilite dal CCMC con lo scopo di assicurare che i controlli vengano eseguiti secondo uno standard uniforme. I partecipanti coinvolti nelle verifiche nominano una squadra di ispettori (assessment team) composta da due membri, ai quali possono aggiungersi altri esperti in rappresentanza di altri partecipanti, con la sola qualifica di osservatori.

In una prima fase, che precede la visita degli ispettori presso la sede di competenza, l'Organismo sotto controllo deve fornire (in lingua inglese) tutta la documentazione dello Schema, inclusa la normativa pertinente in vigore al momento nel Paese di appartenenza, il Manuale di Qualità e tutte le procedure che governano i processi di valutazione e certificazione. Gli ispettori esaminano la documentazione allo scopo di verificare che l'Organismo persegua effettivamente gli scopi del CCRA.

Successivamente ha inizio, con la visita ispettiva, la valutazione ombra vera e propria, che prevede la disamina di tutta documentazione prodotta durante le valutazioni di due prodotti IT, condotte secondo lo standard Common Criteria ai livelli di garanzia EAL3 e EAL4. Il materiale fornito deve includere, per ciascuno degli degli ODV valutati, il Traguardo di Sicurezza (TDS), il Rapporto Finale di Valutazione (se disponibile), la documentazione intermedia prodotta, inclusi i Rapporti di Attività dei Laboratori, e il Rapporto di Certificazione (se disponibile).

Affinché l'Organismo di Certificazione sottoposto alla valutazione ombra superi la verifica con successo, gli esperti facenti parte del team di verifica debbono ottenere evidenze sufficienti a convincerli che tale Organismo ha agito in maniera coerente ed aderente ai requisiti imposti dai Common Criteria e dal CCRA in tutte le fasi e per tutti gli aspetti concernenti i processi di valutazione e certificazione.