ISO/IEC 19896-1:2018

IT security techniques — Competence requirements for information security testers and evaluators — Part 1: Introduction, concepts and general requirements

ISO/IEC 19896-1:2018 defines terms and establishes an organized set of concepts and relationships to understand the competency requirements for information security assurance conformance-testing and evaluation specialists, thereby establishing a basis for shared understanding of the concepts and principles central to the ISO/IEC 19896 series across its user communities. It provides fundamental information to users of the ISO/IEC 19896 series.

Techniques de sécurité IT — Exigences de compétence pour les testeurs et les évaluateurs en matière de sécurité de l’information — Partie 1: Introduction, concepts et exigences générales

Le présent document définit les termes et établit un ensemble structuré de concepts et leurs relations pour comprendre les exigences de compétences des spécialistes des essais de conformité et de l'évaluation pour l'assurance de la sécurité de l'information, établissant ainsi la base d'une compréhension partagée des concepts et des principes centraux de la série ISO/IEC 19896 à travers ses communautés d'utilisateurs. Il fournit des informations fondamentales aux utilisateurs de la série ISO/IEC 19896.

General Information

• Status: Published
• Publication Date: 28-Feb-2018
• ICS: 35.030 - IT Security
• Technical Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Drafting Committee: ISO/IEC JTC 1/SC 27/WG 3 - Security evaluation, testing and specification
• Current Stage: 9092 - International Standard to be revised
• Completion Date: 22-Apr-2022

Standards Content (Sample)

INTERNATIONAL ISO/IEC
STANDARD 19896-1
First edition
2018-02
IT security techniques — Competence
requirements for information security
testers and evaluators —
Part 1:
Introduction, concepts and general
requirements
Techniques de sécurité IT — Exigences de compétence pour
l'information testeurs d'assurance et les évaluateurs —
Partie 1: Introduction, concepts et exigences générales
Reference number
ISO/IEC 19896-1:2018(E)
©
ISO/IEC 2018

---------------------- Page: 1 ----------------------
ISO/IEC 19896-1:2018(E)

COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2018
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Fax: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2018 – All rights reserved

---------------------- Page: 2 ----------------------
ISO/IEC 19896-1:2018(E)

Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Concepts . 2
5 Elements of competence . 3
5.1 Competences . 3
5.2 Knowledge . 3
5.3 Skills . 4
5.4 Experience . 4
5.5 Education . 5
5.6 Effectiveness . 5
6 Competency levels . 5
6.1 General . 5
6.2 Level 1 (Associate) . 5
6.3 Level 2 (Professional) . 5
6.4 Level 3 (Manager) . 5
6.5 Level 4 (Principal) . 6
7 Measurement of elements of competence . 6
7.1 Knowledge . 6
7.2 Skills . 6
7.3 Experience . 6
7.4 Education . 6
7.5 Effectiveness . 7
7.6 Recording elements of competence . 7
Annex A (informative) Framework for describing competence requirements .8
Annex B (informative) Example records of experience and competence .10
Bibliography .11
© ISO/IEC 2018 – All rights reserved iii

---------------------- Page: 3 ----------------------
ISO/IEC 19896-1:2018(E)

Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical
activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work. In the field of information technology, ISO and IEC have established a joint technical committee,
ISO/IEC JTC 1.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for
the different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/ directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject
of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent
rights. Details of any patent rights identified during the development of the document will be in the
Introduction and/or on the ISO list of patent declarations received (see www .iso .org/ patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see the following
URL: www .iso .org/ iso/ foreword .html.
This document was prepared by Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, IT Security techniques.
A list of all parts in the ISO/IEC 19896 series can be found on the ISO website.
iv © ISO/IEC 2018 – All rights reserved

---------------------- Page: 4 ----------------------
ISO/IEC 19896-1:2018(E)

Introduction
The objective of the ISO/IEC 19896 series is to provide the fundamental concepts related to the topic
of the competence of the individuals responsible for performing IT product security evaluations
and conformance testing. The ISO/IEC 19896 series provides the framework and the specialized
requirements that specify the minimum competence of individuals performing IT product security
evaluations and conformance testing using established standards.
In pursuit of this objective, the ISO/IEC 19896 series comprises the following:
a) The terms and definitions relating to the topic of competence in IT product security evaluators and
testers;
b) The fundamental concepts relating to competence in IT product security evaluations and
conformance testing; and
c) The minimum competence requirements for IT product security evaluators and testers to conduct
IT product testing/evaluation.
The ISO/IEC 19896 series is of interest to:
a) Information security evaluation and conformance-testing specialists;
b) Information security evaluation and conformance-testing approval authorities;
c) Information security evaluation and conformance-testing laboratories;
d) Vendors or technology providers whose IT products can be the subject of information security
assurance evaluations or conformance-testing;
e) Organizations offering professional credentials or recognitions.
The ISO/IEC 19896 series is organized in parts to address the competence of evaluation and testing
professionals as follows.
In this document, the introduction and concepts, provides an overview of the definitions, fundamental
concepts and a general description of the framework used to communicate the competence requirements
for certain specialized areas. This material is aimed at providing the fundamental knowledge necessary
to use the framework presented in the other parts of the ISO/IEC 19896 series appropriately.
ISO/IEC 19896-2 describes the minimum set of competence requirements at each competency level for
conformance testers working with ISO/IEC 19790 and associated standards.
ISO/IEC 19896-3 describes the minimum set of competence requirements at each competency level for
information security evaluators working with ISO/IEC 15408 (all parts) and associated standards.
© ISO/IEC 2018 – All rights reserved v

---------------------- Page: 5 ----------------------
INTERNATIONAL STANDARD ISO/IEC 19896-1:2018(E)
IT security techniques — Competence requirements for
information security testers and evaluators —
Part 1:
Introduction, concepts and general requirements
1 Scope
This document defines terms and establishes an organized set of concepts and relationships to
understand the competency requirements for information security assurance conformance-testing
and evaluation specialists, thereby establishing a basis for shared understanding of the concepts and
principles central to the ISO/IEC 19896 series across its user communities. It provides fundamental
information to users of the ISO/IEC 19896 series.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO/IEC 17000, Conformity assessment — Vocabulary and general principles
ISO/IEC 17025, General requirements for the competence of testing and calibration laboratories
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO/IEC 17000, ISO/IEC 17025
and the following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at http:// www .electropedia .org/
3.1
competence
ability to apply knowledge and skills to achieve intended results
[SOURCE: ISO/IEC 17024:2012, 3.6]
3.2
conformance-tester
tester
individual assigned to perform test activities in accordance with a given conformance testing standard
and associated testing methodology
Note 1 to entry: An example of such a standard is ISO/IEC 19790 and the testing methodology specified in
ISO/IEC 24759.
3.3
education
process of receiving or giving systematic instruction, especially at a school or university
© ISO/IEC 2018 – All rights reserved 1

---------------------- Page: 6 ----------------------
ISO/IEC 19896-1:2018(E)

3.4
effectiveness
ability to apply knowledge and skills in a productive manner, characterized by attributes of behaviour
such as aptitude, initiative, enthusiasm, willingness, communication skills, team participation, and
leadership
3.5
evaluator
individual assigned to perform evaluations in accordance with a given evaluation standard and
associated evaluation methodology
Note 1 to entry: An example of evaluation standards is ISO/IEC 15408 (all parts) with the associated evaluation
methodology given in ISO/IEC 18045.
3.6
experience
involvement at a practical level with projects related to the field of competence
3.7
knowledge
facts, information, truths, principles or understanding acquired through experience or education
Note 1 to entry: An example of knowledge is the ability to describe the various parts of an information assurance
standard.
[SOURCE: ISO/IEC TS 17027:2014, 2.56, modified — Note 1 to entry has been added.]
3.8
laboratory
organization with a management system providing evaluation and or testing work in accordance with a
defined set of policies and procedures and utilizing a defined methodology for testing or evaluating the
security functionality of IT products
Note 1 to entry: These organizations are often given alternative names by various approval authorities. For
example, IT Security Evaluation Facility (ITSEF), Common Criteria Testing Laboratory (CCTL), Commercial
Evaluation Facility (CLEF).
3.9
skill
ability to perform a task or activity with a specific intended outcome acquired through education,
training, experience or other means
Note 1 to entry: An example of a skill is the ability to identify and classify the risks associated with a project.
[SOURCE: ISO/IEC 17027:2014, 2.74, modified — Note 1 to entry has been added.]
4 Concepts
In order to support conformity in the evaluation or conformance-testing of IT security products, one
factor is the competence of the individuals performing the evaluation or conformance-testing work.
Despite the provision of standardized conformance-testing or evaluation methods, a minimum
competence in performing the necessary activities is needed to support achieving conformity and
repeatability of the results. This, in turn, supports the mutual recognition of IT product security
assurance certifications and validations.
ISO/IEC 1
...

Style Definition: Heading 1: Indent: Left: 0 pt, First line:
ISO/IEC JTC 1/SC 27
0 pt
Style Definition: Heading 2: Font: Bold, Tab stops: Not at
Date : 2023-01-2302
18 pt
Style Definition: Heading 3: Font: Bold
ISO/IEC 19896-1:2018 (F)
Style Definition: Heading 4: Font: Bold
ISO/IEC JTC 1/SC 27
Style Definition: Heading 5: Font: Bold
Style Definition: Heading 6: Font: Bold
Secrétariat : DIN
Style Definition: ANNEX
Style Definition: RefNorm
Techniques de sécurité IT — Exigences de compétence pour les testeurs et les
évaluateurs en matière de sécurité de l’information — Partie 1 : Introduction, Style Definition: List Number 1
concepts et exigences générales
Style Definition: List Continue 1
Style Definition: Body Text_Center
IT security techniques — Competence requirements for information security testers
Style Definition: Dimension_100
and evaluators — Part 1: Introduction, concepts and general requirements
Style Definition: Figure Graphic
Style Definition: Figure subtitle
ICS : 35.030
Style Definition: AMEND Terms Heading: Font: Bold
Style Definition: AMEND Heading 1 Unnumbered: Font:
Bold
Formatted: French (Switzerland)
Formatted: French (Switzerland)
Type de document :  Error! Reference source not found.
Sous-type de document :
Stade du document :  Error! Reference source not found.
Langue du document :  Error! Reference source not found.

---------------------- Page: 1 ----------------------
ISO/IEC 19896-1:20232018(F)
Formatted
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 20222018 Formatted: French (Switzerland), Pattern: Clear
Formatted: French (Switzerland)
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre,
Formatted: French (Switzerland)
aucune partie de cette publication ne peut être reproduite ni utilisée sous quelque forme que ce soit
et par aucun procédé, électronique ou mécanique, y compris la photocopie, l’affichage sur l’internet
ou sur un Intranet, sans autorisation écrite préalable. Les demandes d’autorisation peuvent être
adressées à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél. :.: + 41 22 749 01 11 Formatted: French (Switzerland)
Fax : + 41 22 749 09 47 Formatted: French (Switzerland)
E-mail : [e-mail] Formatted: French (Switzerland)
Web : www.iso.org Formatted: French (Switzerland)

Formatted: French (Switzerland)
Publié en Suisse
© ISO 20232018 – Tous droits réservés
ii

---------------------- Page: 2 ----------------------
ISO/IEC 19896-1:20232018(F)
Sommaire Page
Avant-propos . iv
Introduction. v
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Concepts . 3
5 Éléments de compétence . 3
5.1 Compétences. 3
5.2 Connaissances . 4
5.3 Savoir-faire . 4
5.4 Expérience . 5
5.5 Instruction . 5
5.6 Efficacité . 6
6 Niveaux de compétence . 6
6.1 Généralités . 6
6.2 Niveau 1 (exécutant) . 6
6.3 Niveau 2 (professionnel) . 6
6.4 Niveau 3 (responsable) . 6
6.5 Niveau 4 (directeur) . 7
7 Mesure des éléments de compétence . 7
7.1 Connaissances . 7
7.2 Savoir-faire . 7
7.3 Expérience . 8
7.4 Instruction . 8
7.5 Efficacité . 8
7.6 Enregistrement des éléments de compétence . 8
Annexe A (informative) Cadre pour la description des exigences en matière de compétences . 9
Annexe B (informative) Exemples de registres d'expérience et de compétences . 12
Bibliographie . 14
© ISO 2023 2018– Tous droits réservés iii

---------------------- Page: 3 ----------------------
ISO/IEC 19896-1:20232018(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique internationale)
forment le système spécialisé de la normalisation mondiale. Les organismes nationaux membres de l'ISO ou
de l’IEC participent au développement de Normes internationales par l'intermédiaire des comités
techniques créés par l'organisation concernée afin de s'occuper des domaines particuliers de l'activité
technique. Les comités techniques de l'ISO et de l’IEC collaborent dans des domaines d'intérêt commun.
D'autres organisations internationales, gouvernementales et non gouvernementales, en liaison avec l'ISO et
l’IEC, participent également aux travaux. Dans le domaine des technologies de l'information, l'ISO et l’IEC
ont créé un comité technique mixte, l'ISO/IEC JTC 1. Formatted: Pattern: Clear
Formatted: Pattern: Clear
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont décrites
dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents critères
d'approbation requis pour les différents types de documents ISO. Le présent document a été rédigé
conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de brevets
reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données pour
information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion de
l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles techniques au
commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.html.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information, Formatted: Pattern: Clear
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Formatted: Pattern: Clear
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur le site Web de l’ISO. Formatted: Pattern: Clear
Formatted: Pattern: Clear
© ISO 20232018 – Tous droits réservés
iv

---------------------- Page: 4 ----------------------
ISO/IEC 19896-1:20232018(F)
Introduction
La série ISO/IEC 19896 a pour objectif de fournir les concepts fondamentaux concernant la compétence des Formatted: Pattern: Clear
personnes chargées d'effectuer les évaluations en matière de sécurité des produits informatiques et les
Formatted: Pattern: Clear
essais de conformité. La série ISO/IEC 19896 fournit le cadre et les exigences spécifiques qui définissent la
Formatted: Pattern: Clear
compétence minimale des personnes effectuant des évaluations en matière de sécurité des produits
Formatted: Pattern: Clear
informatiques et les essais de conformité sur la base de normes établies.
Pour atteindre cet objectif, la série ISO/IEC 19896 comprend les éléments suivants :
Formatted: Pattern: Clear
Formatted: Pattern: Clear
a) les termes et définitions relatifs au thème de la compétence des évaluateurs et des testeurs en matière
de sécurité des produits IT ;
b) les concepts fondamentaux relatifs à la compétence en matière d'évaluation de la sécurité des produits
IT et d'essais de conformité ; et
c) les exigences minimales de compétence pour les évaluateurs et les testeurs en matière de sécurité des
produits IT en vue de réaliser les essais/l'évaluation des produits IT.
La série ISO/IEC 19896 présente un intérêt pour : Formatted: Pattern: Clear
Formatted: Pattern: Clear
a) les spécialistes de l'évaluation de la sécurité de l'information et des essais de conformité ;
b) les autorités d'agrément de l'évaluation de la sécurité de l'information et des essais de conformité ;
c) les laboratoires d'évaluation de la sécurité de l'information et d'essais de conformité ;
d) les vendeurs ou fournisseurs de technologie dont les produits IT peuvent faire l'objet d'évaluations de
l'assurance de la sécurité de l'information ou d'essais de conformité ;
e) les organismes proposant des certifications ou des reconnaissances professionnelles.
La série ISO/IEC 19896 est organisée en différentes parties afin d'aborder la compétence des professionnels Formatted: Pattern: Clear
de l'évaluation et des essais comme suit.
Formatted: Pattern: Clear
Dans le présent document, l'introduction et les concepts donnent une vue d'ensemble des définitions, des
Formatted: Pattern: Clear
concepts fondamentaux et une description générale du cadre utilisé pour communiquer les exigences de
compétence pour certains domaines spécialisés. Ce contenu vise à fournir les connaissances fondamentales
Formatted: Pattern: Clear
nécessaires pour utiliser de manière appropriée le cadre présenté dans les autres parties de la série
Formatted: Pattern: Clear
ISO/IEC 19896.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
L'ISO/IEC 19896-2 décrit l'ensemble minimal des exigences de compétences à chaque niveau de compétence
pour les testeurs de conformité travaillant avec l'ISO/IEC 19790 et les normes associées.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
L'ISO/IEC 19896-3 décrit l'ensemble minimal des exigences de compétences à chaque niveau de compétence
Formatted: Pattern: Clear
pour les évaluateurs de la sécurité de l'information travaillant avec l'ISO/IEC 15408 (toutes les parties) et
Formatted: Pattern: Clear
les normes associées.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Formatted: Pattern: Clear
© ISO 2023 2018– Tous droits réservés v

---------------------- Page: 5 ----------------------
ISO/IEC 19896-1:20232018(F)
Formatted: French (Switzerland)
Techniques de sécurité IT — Exigences de compétence pour
les testeurs et les évaluateurs en matière de sécurité de
Formatted: French (Switzerland)
l’information — Partie 1 : Introduction, concepts et exigences
générales
1 Domaine d'application
Le présent document définit les termes et établit un ensemble structuré de concepts et leurs relations
pour comprendre les exigences de compétences des spécialistes des essais de conformité et de
l'évaluation pour l'assurance de la sécurité de l'information, établissant ainsi la base d'une
compréhension partagée des concepts et des principes centraux de la série ISO/IEC 19896 à travers ses Formatted: Pattern: Clear
communautés d'utilisateurs. Il fournit des informations fondamentales aux utilisateurs de la série
Formatted: Pattern: Clear
ISO/IEC 19896.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO/IEC 17000, Évaluation de la conformité — Vocabulaire et principes généraux
ISO/IEC 17025, Exigences générales concernant la compétence des laboratoires d'étalonnages et
d'essais
ISO/IEC 17000, Évaluation de la conformité — Vocabulaire et principes généraux
ISO/IEC 17025, Exigences générales concernant la compétence des laboratoires d'étalonnages et d'essais
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions donnés dans l'ISO/IEC 17000 et Formatted: Pattern: Clear
l'ISO/IEC 17025 ainsi que les suivants s'appliquent.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
Formatted: Pattern: Clear
normalisation, consultables aux adresses suivantes :
— ISO Online browsing platform : disponible à l'adressel’adresse Formatted: Adjust space between Latin and Asian text,
Adjust space between Asian text and numbers
https://www.iso.org/obphttps://www.iso.org/obp
— IEC Electropedia : disponible à l'adressel’adresse
https://www.electropedia.org/https://www.electropedia.org/
3.1
compétence
aptitude à mettre en pratique des connaissances et un savoir-faire pour obtenir les résultats escomptés
© ISO 20232018 – Tous droits réservés
6

---------------------- Page: 6 ----------------------
ISO/IEC 19896-1:20232018 (F)
[SOURCE : ISO/IEC 17024:2012, 3.6] Formatted: Pattern: Clear
Formatted: Pattern: Clear
3.2
Formatted: Pattern: Clear
testeur de conformité
Formatted: Pattern: Clear
testeur
personne chargée d'effectuer des activités d'essai conformément à une norme d'essai de conformité
donnée et à une méthodologie d'essai associée
Note 1 à l'article: L'ISO/IEC 19790 est un exemple d'une telle norme, avec la méthodologie d'essai spécifiée dans
Formatted: Pattern: Clear
l'ISO/IEC 24759.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
3.3
instruction Formatted: Pattern: Clear
processus consistant à recevoir ou à donner un enseignement systématique, notamment dans une école
ou une université
3.4
efficacité
capacité à appliquer les connaissances et les savoir-faire de manière productive, caractérisée par des
attributs de comportement tels que l'aptitude, l'initiative, l'enthousiasme, la volonté, les compétences de
communication, le travail en équipe et le leadership
3.5
évaluateur
personne chargée d'effectuer des évaluations conformément à une norme d'évaluation donnée et à une
méthodologie d'évaluation associée
Note 1 à l'article: L'ISO/IEC 15408 (toutes les parties) est un exemple de norme d'évaluation, avec la
Formatted: Pattern: Clear
méthodologie d'évaluation associée donnée dans l'ISO/IEC 18045.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
3.6
expérience Formatted: Pattern: Clear
implication pratique dans des projets liés au domaine de compétence
Formatted: Pattern: Clear
3.7
connaissances
faits, informations, vérités, principes ou compréhension acquis grâce à l'expérience ou à l'instruction
Note 1 à l'article: L'aptitude à décrire les différentes parties d'une norme d'assurance de l'information est un
exemple de connaissance.
[SOURCE : ISO/IEC TS 17027:2014, 2.56, modifié — La Note 1 à l'article a été ajoutée.] Formatted: Pattern: Clear
Formatted: Pattern: Clear
3.8
Formatted: Pattern: Clear
laboratoire
Formatted: Pattern: Clear
organisme doté d'un système de management fournissant des travaux d'évaluation et/ou d'essai
conformément à un ensemble défini de politiques et de modes opératoires et utilisant une méthodologie Formatted: Pattern: Clear
définie pour soumettre à essai ou évaluer la fonctionnalité de sécurité des produits IT
Note 1 à l'article: Ces organismes se voient souvent attribuer des noms alternatifs par les différentes autorités
d'agrément. Par exemple, Centre d’Evaluation de la Sécurité des Technologies de l’Information (CESTI), Common
Criteria Testing Laboratory (CCTL), Commercial Evaluation Facility (CLEF).
© ISO 20232018 – Tous droits réservés
7

---------------------- Page: 7 ----------------------
ISO/IEC 19896-1:20232018(F)
3.9
savoir-faire
aptitude à réaliser une tâche ou une activité avec un résultat escompté spécifique, acquise par
l'instruction, la formation, l'expérience ou d'autres moyens
Note 1 à l'article: La capacité d'identifier et de classer les risques associés à un projet est un exemple de savoir-
faire.
[SOURCE : ISO/IEC 17027:2014, 2.74, modifié — La Note 1 à l'article a été ajoutée.] Formatted: Pattern: Clear
Formatted: Pattern: Clear
4 Concepts
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Un des facteurs permettant d'assurer la conformité de l'évaluation ou des essais de conformité des
produits de sécurité des IT est la compétence des personnes qui effectuent les travaux d'évaluation ou
d'essai de conformité. Malgré l'existence de méthodes d'essai de conformité ou d'évaluation normalisées,
une compétence minimale dans l'exécution des activités nécessaires est requise pour assurer la
conformité et la répétabilité des résultats. Cela permet de soutenir la reconnaissance mutuelle des
certifications et des validations de l'assurance de la sécurité des produits IT.
L'ISO/IEC 17025 traite des exigences générales relatives à la compétence des laboratoires d'essai et Formatted: Pattern: Clear
d'étalonnage et est fréquemment spécifiée comme base de conformité parmi les laboratoires d'essai de
Formatted: Pattern: Clear
conformité et d'évaluation de l'assurance de la sécurité.
L'ISO/IEC 17025 identifie plusieurs exigences relatives à la compétence qui doivent être satisfaites par
Formatted: Pattern: Clear
un laboratoire. Il s'agit notamment de :
Formatted: Pattern: Clear
— assurer la compétence de tout le personnel pouvant influencer les activités du laboratoire ;
— définir et documenter les exigences en matière de compétence pour chaque fonction impliquée dans
les activités du laboratoire ;
— s'assurer que le personnel du laboratoire possède les compétences nécessaires pour réaliser les
activités dont il est responsable et qu'il comprend la signification des écarts constatés par rapport
aux activités du laboratoire et d'y réagir ;
— disposer d'un processus documenté pour la surveillance continue du personnel impliqué dans les
activités de laboratoire ; et
— tenir des registres de compétences tels que le degré d'instruction, la formation, les connaissances
techniques, le savoir-fair
...

NORME ISO/IEC
INTERNATIONALE 19896-1
Première édition
2018-02
Techniques de sécurité IT — Exigences
de compétence pour les testeurs et les
évaluateurs en matière de sécurité de
l’information —
Partie 1:
Introduction, concepts et exigences
générales
IT security techniques — Competence requirements for information
security testers and evaluators —
Part 1: Introduction, concepts and general requirements
Numéro de référence
ISO/IEC 19896-1:2018(F)
© ISO/IEC 2018

---------------------- Page: 1 ----------------------
ISO/IEC 19896-1:2018(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2018
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
Fax: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
ii
  © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 2 ----------------------
ISO/IEC 19896-1:2018(F)
Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Concepts . 2
5 Éléments de compétence .3
5.1 Compétences . . . 3
5.2 Connaissances . 3
5.3 Savoir-faire . . 4
5.4 Expérience . 5
5.5 Instruction . 5
5.6 Efficacité. 5
6 Niveaux de compétence . 5
6.1 Généralités . 5
6.2 Niveau 1 (exécutant) . 5
6.3 Niveau 2 (professionnel). 6
6.4 Niveau 3 (responsable) . 6
6.5 Niveau 4 (directeur) . 6
7 Mesure des éléments de compétence .6
7.1 Connaissances . 6
7.2 Savoir-faire . . 6
7.3 Expérience . 7
7.4 Instruction . 7
7.5 Efficacité. 7
7.6 Enregistrement des éléments de compétence . 7
Annexe A (informative) Cadre pour la description des exigences en matière de compétences .8
Annexe B (informative) Exemples de registres d'expérience et de compétences .10
Bibliographie .11
iii
© ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 3 ----------------------
ISO/IEC 19896-1:2018(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l’IEC participent au développement de Normes internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l’IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l’IEC, participent également aux travaux. Dans le domaine
des technologies de l'information, l'ISO et l’IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations
de brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/iso/fr/avant-propos.html.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur le site Web de l’ISO.
iv
  © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 4 ----------------------
ISO/IEC 19896-1:2018(F)
Introduction
La série ISO/IEC 19896 a pour objectif de fournir les concepts fondamentaux concernant la compétence
des personnes chargées d'effectuer les évaluations en matière de sécurité des produits informatiques
et les essais de conformité. La série ISO/IEC 19896 fournit le cadre et les exigences spécifiques qui
définissent la compétence minimale des personnes effectuant des évaluations en matière de sécurité
des produits informatiques et les essais de conformité sur la base de normes établies.
Pour atteindre cet objectif, la série ISO/IEC 19896 comprend les éléments suivants:
a) les termes et définitions relatifs au thème de la compétence des évaluateurs et des testeurs en
matière de sécurité des produits IT;
b) les concepts fondamentaux relatifs à la compétence en matière d'évaluation de la sécurité des
produits IT et d'essais de conformité; et
c) les exigences minimales de compétence pour les évaluateurs et les testeurs en matière de sécurité
des produits IT en vue de réaliser les essais/l'évaluation des produits IT.
La série ISO/IEC 19896 présente un intérêt pour:
a) les spécialistes de l'évaluation de la sécurité de l'information et des essais de conformité;
b) les autorités d'agrément de l'évaluation de la sécurité de l'information et des essais de conformité;
c) les laboratoires d'évaluation de la sécurité de l'information et d'essais de conformité;
d) les vendeurs ou fournisseurs de technologie dont les produits IT peuvent faire l'objet d'évaluations
de l'assurance de la sécurité de l'information ou d'essais de conformité;
e) les organismes proposant des certifications ou des reconnaissances professionnelles.
La série ISO/IEC 19896 est organisée en différentes parties afin d'aborder la compétence des
professionnels de l'évaluation et des essais comme suit.
Dans le présent document, l'introduction et les concepts donnent une vue d'ensemble des définitions, des
concepts fondamentaux et une description générale du cadre utilisé pour communiquer les exigences
de compétence pour certains domaines spécialisés. Ce contenu vise à fournir les connaissances
fondamentales nécessaires pour utiliser de manière appropriée le cadre présenté dans les autres
parties de la série ISO/IEC 19896.
L'ISO/IEC 19896-2 décrit l'ensemble minimal des exigences de compétences à chaque niveau de
compétence pour les testeurs de conformité travaillant avec l'ISO/IEC 19790 et les normes associées.
L'ISO/IEC 19896-3 décrit l'ensemble minimal des exigences de compétences à chaque niveau de
compétence pour les évaluateurs de la sécurité de l'information travaillant avec l'ISO/IEC 15408 (toutes
les parties) et les normes associées.
v
© ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 5 ----------------------
NORME INTERNATIONALE ISO/IEC 19896-1:2018(F)
Techniques de sécurité IT — Exigences de compétence
pour les testeurs et les évaluateurs en matière de sécurité
de l’information —
Partie 1:
Introduction, concepts et exigences générales
1 Domaine d'application
Le présent document définit les termes et établit un ensemble structuré de concepts et leurs
relations pour comprendre les exigences de compétences des spécialistes des essais de conformité
et de l'évaluation pour l'assurance de la sécurité de l'information, établissant ainsi la base d'une
compréhension partagée des concepts et des principes centraux de la série ISO/IEC 19896 à travers
ses communautés d'utilisateurs. Il fournit des informations fondamentales aux utilisateurs de la série
ISO/IEC 19896.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO/IEC 17000, Évaluation de la conformité — Vocabulaire et principes généraux
ISO/IEC 17025, Exigences générales concernant la compétence des laboratoires d'étalonnages et d'essais
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions donnés dans l'ISO/IEC 17000 et
l'ISO/IEC 17025 ainsi que les suivants s'appliquent.
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse https:// www .electropedia .org/
3.1
compétence
aptitude à mettre en pratique des connaissances et un savoir-faire pour obtenir les résultats escomptés
[SOURCE: ISO/IEC 17024:2012, 3.6]
3.2
testeur de conformité
testeur
personne chargée d'effectuer des activités d'essai conformément à une norme d'essai de conformité
donnée et à une méthodologie d'essai associée
Note 1 à l'article: L'ISO/IEC 19790 est un exemple d'une telle norme, avec la méthodologie d'essai spécifiée dans
l'ISO/IEC 24759.
1
© ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 6 ----------------------
ISO/IEC 19896-1:2018(F)
3.3
instruction
processus consistant à recevoir ou à donner un enseignement systématique, notamment dans une école
ou une université
3.4
efficacité
capacité à appliquer les connaissances et les savoir-faire de manière productive, caractérisée par des
attributs de comportement tels que l'aptitude, l'initiative, l'enthousiasme, la volonté, les compétences
de communication, le travail en équipe et le leadership
3.5
évaluateur
personne chargée d'effectuer des évaluations conformément à une norme d'évaluation donnée et à une
méthodologie d'évaluation associée
Note 1 à l'article: L'ISO/IEC 15408 (toutes les parties) est un exemple de norme d'évaluation, avec la méthodologie
d'évaluation associée donnée dans l'ISO/IEC 18045.
3.6
expérience
implication pratique dans des projets liés au domaine de compétence
3.7
connaissances
faits, informations, vérités, principes ou compréhension acquis grâce à l'expérience ou à l'instruction
Note 1 à l'article: L'aptitude à décrire les différentes parties d'une norme d'assurance de l'information est un
exemple de connaissance.
[SOURCE: ISO/IEC TS 17027:2014, 2.56, modifié — La Note 1 à l'article a été ajoutée.]
3.8
laboratoire
organisme doté d'un système de management fournissant des travaux d'évaluation et/ou d'essai
conformément à un ensemble défini de politiques et de modes opératoires et utilisant une méthodologie
définie pour soumettre à essai ou évaluer la fonctionnalité de sécurité des produits IT
Note 1 à l'article: Ces organismes se voient souvent attribuer des noms alternatifs par les différentes autorités
d'agrément. Par exemple, Centre d’Evaluation de la Sécurité des Technologies de l’Information (CESTI), Common
Criteria Testing Laboratory (CCTL), Commercial Evaluation Facility (CLEF).
3.9
savoir-faire
aptitude à réaliser une tâche ou une activité avec un résultat escompté spécifique, acquise par
l'instruction, la formation, l'expérience ou d'autres moyens
Note 1 à l'article: La capacité d'identifier et de classer les risques associés à un projet est un exemple de savoir-
faire.
[SOURCE: ISO/IEC 17027:2014, 2.74, modifié — La Note 1 à l'article a été ajoutée.]
4 Concepts
Un des facteurs permettant d'assurer la conformité de l'évaluation ou des essais de conformité des
produits de sécurité des IT est la compétence des personnes qui effectuent les travaux d'évaluation ou
d'essai de conformité. Malgré l'existence de méthodes d'essai de conformité ou d'évaluation normalisées,
une compétence minimale dans l'exécution des activités nécessaires est requise pour assurer la
conformité et la répétabilité des résultats. Cela permet de soutenir la reconnaissance mutuelle des
certifications et des validations de l'assurance de la sécurité des produits IT.
2
  © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 7 ----------------------
ISO/IEC 19896-1:2018(F)
L'ISO/IEC 17025 traite des exigences générales relatives à la compétence des laboratoires d'essai et
d'étalonnage et est fréquemment spécifiée comme base de conformité parmi les laboratoires d'essai de
conformité et d'évaluation de l'assurance de la sécurité.
L'ISO/IEC 17025 identifie plusieurs exigences relatives à la compétence qui doivent être satisfaites par
un laboratoire. Il s'agit notamment de:
— assurer la compétence de tout le personnel pouvant influencer les activités du laboratoire;
— définir et documenter les exigences en matière de compétence pour chaque fonction impliquée dans
les activités du laboratoire;
— s'assurer que le personnel du laboratoire possède les compétences nécessaires pour réaliser les
activi
...