ISO/IEC 19896-3:2018

IT security techniques - Competence requirements for information security testers and evaluators - Part 3: Knowledge, skills and effectiveness requirements for ISO/IEC 15408 evaluators

This document provides the specialized requirements to demonstrate competence of individuals in performing IT product security evaluations in accordance with ISO/IEC 15408 (all parts) and ISO/IEC 18045.

Techniques de sécurité IT — Exigences de compétence pour les testeurs et les évaluateurs en matière de sécurité de l'information — Partie 3: Exigences en matière de connaissances, compétences et efficacité des spécialistes en évaluations ISO/IEC 15408

Le présent document fournit les exigences spécifiques permettant de démontrer la compétence des personnes pour effectuer des évaluations de la sécurité des produits IT conformément à l'ISO/IEC 15408 (toutes les parties) et à l'ISO/IEC 18045.

General Information

• Status: Published
• Publication Date: 23-Aug-2018
• ICS: 35.030 - IT Security
• Technical Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Drafting Committee: ISO/IEC JTC 1/SC 27/WG 3 - Security evaluation, testing and specification
• Current Stage: 9599 - Withdrawal of International Standard
• Start Date: 19-Nov-2025
• Completion Date: 22-Nov-2025

Relations

• Revised: ISO/IEC 19896-3:2025 - Information security, cybersecurity and privacy protection - Requirements for the competence of IT security conformance assessment body personnel - Part 3: Knowledge and skills requirements for evaluators and reviewers according to the ISO/IEC 15408 series and ISO/IEC 18045
• Effective Date: 06-Jun-2022

Overview

ISO/IEC 19896-3:2018 - “IT security techniques - Competence requirements for information security testers and evaluators - Part 3” - defines the specialized knowledge, skills and effectiveness requirements for individuals performing IT product security evaluations in accordance with ISO/IEC 15408 (the Common Criteria) and ISO/IEC 18045 (evaluation methodology). The standard establishes a baseline for demonstrable competence to support comparability, repeatability and mutual recognition of security evaluation results.

Key technical topics and requirements

The standard focuses on evaluator competence across the following areas:

• Knowledge

  • Mastery of ISO/IEC 15408 (all parts) and ISO/IEC 18045 terminology, framework and processes.
  • Understanding the assurance paradigm, evaluation authorities and evaluation schemes.
  • Information security principles, threats, vulnerabilities and architectural considerations.
  • Technology-specific knowledge (product architectures, protection profiles, packages).
  • Knowledge aligned to assurance classes (e.g., development, guidance, lifecycle, tests, vulnerability assessment) and functional requirement classes (e.g., cryptographic support).

• Skills

  • Basic and core evaluation skills: evaluation methods, use of evaluation tools, test planning and execution.
  • Class-specific skills tied to ADV, AGD, ALC, ASE/APE, ATE, AVA, ACO and other assurance activities.
  • Test design, test management and application of ISO/IEC 18045 evaluation methods.

• Experience & Education

  • Requirements for demonstrable experience and appropriate education to support competence (aligned with ISO/IEC 19896-1 and ISO/IEC 17025 principles).

• Effectiveness

  • Metrics and expectations for timely, accurate, and well-reported evaluations.
  • Roles and responsibilities of evaluation schemes and authorities in ensuring evaluator effectiveness.

The standard includes informative annexes with technology-type guidance and examples of required knowledge for assurance and functional requirement classes.

Practical applications and users

ISO/IEC 19896-3:2018 is used to:

• Define minimum competence criteria for hiring and training information security evaluators.
• Support evaluation schemes, certification and accreditation bodies in setting evaluator credentialing policies.
• Guide testing laboratories and evaluation authorities in implementing consistent assessor competency programs.
• Help organizations and product vendors understand the competencies applied during Common Criteria evaluations to improve product preparedness.

Target users include evaluation authorities, certification/validation bodies, accreditation agencies, testing laboratories, evaluator professionals and organizations offering professional credentials.

Related standards

• ISO/IEC 15408 (Common Criteria) - Evaluation criteria for IT security
• ISO/IEC 18045 - Methodology for IT security evaluation
• ISO/IEC 19896-1 - General competence concepts and requirements
• ISO/IEC 17025 - Competence of testing and calibration laboratories

Keywords: ISO/IEC 19896-3:2018, ISO/IEC 15408, ISO/IEC 18045, information security evaluator, competence requirements, security evaluation, testing laboratories, evaluation schemes, Common Criteria.

Standards Content (Sample)

INTERNATIONAL ISO/IEC
STANDARD 19896-3
First edition
2018-08
IT security techniques — Competence
requirements for information security
testers and evaluators —
Part 3:
Knowledge, skills and effectiveness
requirements for ISO/IEC 15408
evaluators
Techniques de sécurité IT — Exigences en matière de compétences des
spécialistes en tests et évaluations de la sécurité de l'information —
Partie 3: Exigences en matière de connaissances, compétences et
efficacité des spécialistes en évaluations ISO/IEC 15408
Reference number
©
ISO/IEC 2018
© ISO/IEC 2018
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Fax: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2018 – All rights reserved

Contents Page
Foreword .v
Introduction .vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Knowledge . 2
4.1 General . 2
4.2 Knowledge of ISO/IEC 15408 and ISO/IEC 18045 . 2
4.2.1 ISO/IEC 15408-1 . 2
4.2.2 ISO/IEC 15408-2 . 2
4.2.3 ISO/IEC 15408-3 . 2
4.2.4 ISO/IEC 18045 . 3
4.3 Knowledge of the assurance paradigm . 3
4.3.1 Knowledge of the evaluation authority . 3
4.3.2 Knowledge of the evaluation scheme . 3
4.3.3 Knowledge of the laboratory and it’s management system . 4
4.4 Knowledge of information security . 4
4.5 Knowledge of the technology being evaluated . 5
4.5.1 Knowledge of the technology being evaluated . 5
4.5.2 Protection Profiles, packages and supporting documents . 5
4.6 Knowledge required for specific assurance classes . 5
4.7 Knowledge required when evaluating specific security functional requirements. 6
4.8 Knowledge needed when evaluating specific technologies . 6
5 Skills . 6
5.1 Basic evaluation skills . 6
5.1.1 Evaluation methods . . 6
5.1.2 Evaluation tools . 6
5.2 Core evaluation skills given in ISO/IEC 15408-3 and ISO/IEC 18045 . 7
5.2.1 Evaluation principles . 7
5.2.2 Evaluation methods and activities. 7
5.3 Skills required when evaluating specific security assurance classes. 8
5.3.1 General. 8
5.3.2 ADV (Development) Class . 8
5.3.3 AGD (Guidance Documents) Class . 9
5.3.4 ALC (Life-Cycle Support) Class . 9
5.3.5 ASE and APE (ST and PP evaluation) Classes . .10
5.3.6 ATE (Tests) Class . .10
5.3.7 AVA (Vulnerability Assessment) Class .11
5.3.8 ACO (Composition) Class .12
5.4 Skills required when evaluating specific security functional requirement classes .12
5.4.1 General.12
5.4.2 Skills required when evaluating the FCS (Cryptographic support) Class .13
5.5 Skills needed when evaluating specific technologies .13
6 Experience.13
7 Education .13
8 Effectiveness .14
8.1 General .14
8.2 Effectiveness of the evaluation .14
8.3 Evaluation scheme responsibilities for evaluator effectiveness.14
8.4 Effectiveness in performing timely evaluations .14
8.5 Effectiveness in performing accurate evaluations.14
© ISO/IEC 2018 – All rights reserved iii

8.6 Effectiveness in reporting results .14
Annex A (informative) Technology types: Knowledge and skills .15
Annex B (informative) Examples of knowledge required for evaluating security assurance
requirement classes .20
Annex C (informative) Examples of knowledge required for evaluating security functional
requirement classes .27
Bibliography .30
iv © ISO/IEC 2018 – All rights reserved

Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical
activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work. In the field of information technology, ISO and IEC have established a joint technical committee,
ISO/IEC JTC 1.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for
the different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject
of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent
rights. Details of any patent rights identified during the development of the document will be in the
Introduction and/or on the ISO list of patent declarations received (see www .iso .org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www .iso
.org/iso/foreword .html.
This document was prepared by Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, IT Security techniques.
A list of all parts in the ISO/IEC 19896 series can be found on the ISO website.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www .iso .org/members .html.
© ISO/IEC 2018 – All rights reserved v

Introduction
The ISO/IEC 15408 series permits comparability between the results of independent security
evaluations. It does so by providing a common set of requirements for the security functionality of IT
products and for assurance measures applied to these IT products during a security evaluation. Many
certification and evaluation schemes as well as evaluation authorities have been developed using the
ISO/IEC 15408 series and ISO/IEC 18045 as a basis, which permits comparability between the results
of evaluation projects.
One important factor in assuring comparability of the results of such evaluations is to understand
that the evaluation process includes the specification of both objective and subjective assurance
measures. Hence, the competence of the individual evaluators is important when the comparability and
repeatability of evaluation results are the foundation for mutual recognition.
ISO/IEC 17025, provides general requirements for the competence of testing and calibration
laboratories. In ISO/IEC 17025:2017, 5.2.1, it is stated that "Personnel performing specific tasks shall be
qualified on the basis of appropriate education, training, experience and/or demonstrated skills".
This document establishes a baseline for the minimum competence of ISO/IEC 15408 evaluators
with the goal of establishing conformity in the requirements for the training of ISO/IEC 15408
evaluator professionals associated with IT product evaluation schemes and authorities. It provides
the specialized requirements to demonstrate the competence of individuals in performing IT product
security evaluations in accordance with ISO/IEC 15408 (all parts) and ISO/IEC 18045. ISO/IEC 15408-
1 describes the general framework for competences including the various elements of competence;
knowledge, skills, experience, education and effectiveness. This document includes knowledge and
skills especially in the following areas.
— Information security
Knowledge: Information security principles, information security properties, information security
threats and vulnerabilities
Skills: Understand information security requirements, understand the context
— Information security evaluation
Knowledge: Knowledge of ISO/IEC 15408 (all parts) and ISO/IEC 18045, laboratory
management system
Skills: Basic evaluation skills, core evaluation skills, skills required when evaluating specific
security assurance classes, skills required when evaluating specific security functional
requirements classes
— Information systems architecture
Knowledge: Technology being evaluated
Skills: Understand the interaction of security components and information
— Information security testing
Knowledge: Information security testing techniques, information security testing tools, product
development lifecycle, test types
Skills: Create and manage an information security test plan, design information security tests,
prepare and conduct information security tests
The audience for this document includes validation and certification authorities, testing laboratory
accreditation bodies, evaluation schemes, laboratories, evaluators and organizations offering
professional credentialing.
vi © ISO/IEC 2018 – All rights reserved

INTERNATIONAL STANDARD ISO/IEC 19896-3:2018(E)
IT security techniques — Competence requirements for
information security testers and evaluators —
Part 3:
Knowledge, skills and effectiveness requirements for ISO/
IEC 15408 evaluators
1 Scope
This document provides the specialized requirements to demonstrate competence of individuals
in performing IT product security evaluations in accordance with ISO/IEC 15408 (all parts) and
ISO/IEC 18045.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO/IEC 19896-1, IT security techniques — Competence requirements for information security testers and
evaluators — Part 1: Introduction, concepts and general requirements
ISO/IEC 15408 (all parts), Information technology — Security techniques — Evaluation criteria for IT
security
ISO/IEC 18045, Information technology — Security techniques — Methodology for IT security evaluation
ISO/IEC 17025, General requirements for the competence of testing and calibration laboratories
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO/IEC 19896-1, ISO/IEC 15408-
1, ISO/IEC 17025, ISO/IEC 18045 and the following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https: //www .iso .org/obp
— IEC Electropedia: available at http: //www .electropedia .org/
3.1
evaluation scheme
organization implementing policies and a set of rules established by an evaluation authority, defining
the evaluation environment, including criteria and methodology required to conduct IT security
evaluations
3.2
subjective method
method based on a given person's experience, and understanding
© ISO/IEC 2018 – All rights reserved 1

4 Knowledge
4.1 General
Knowledge is what an evaluator knows and can describe. Subclauses 4.2 to 4.8 address the knowledge
that is needed for evaluation to ISO/IEC 15408 (all parts) and ISO/IEC 18045.
4.2 Knowledge of ISO/IEC 15408 and ISO/IEC 18045
4.2.1 ISO/IEC 15408-1
All evaluators shall have knowledge of:
a) the terms and definitions defined in ISO/IEC 15408-1;
b) the terms and definitions defined in ISO/IEC 18045;
c) the context for ISO/IEC 15408 evaluations;
d) the general model for the ISO/IEC 15408 series given in ISO/IEC 15408-1;
e) tailoring security requirements: operations, dependencies between components and extended
components;
f) protection profiles and packages;
g) evaluation results; and
h) the specification of security targets.
4.2.2 ISO/IEC 15408-2
All evaluators shall have knowledge of those security functional requirements (SFRs) of ISO/IEC 15408-
2 which are used for the technology types the evaluator is authorized to work with, as well as any
dependent SFRs. The classes of SFRs given in ISO/IEC 15408-2 are:
a) security audit (FAU);
b) communication (FCO);
c) cryptographic support (FCS);
d) user data protection (FDP);
e) identification and authentication (FIA);
f) security management (FMT);
g) privacy (FPR);
h) protection of the target of evaluation security functions (FPT);
i) resource utilisation (FRU);
j) target of evaluation access (FTA); and
k) trusted path/channels (FTP).
4.2.3 ISO/IEC 15408-3
All evaluators shall have knowledge of the security assurance requirements (SARs) given in ISO/
IEC 15408-3 which are specified by Security Targets (ST) that the evaluator is authorized to work with.
2 © ISO/IEC 2018 – All rights reserved

The knowledge of particular SAR components shall include those to which the evaluator is authorized
to work at. The classes of SARs given in ISO/IEC 15408-3 are:
a) development (ADV);
b) guidance documentation (AGD);
c) life-cycle support (ALC);
d) security target structure (ASE);
e) protection profile structure (APE);
f) tests (ATE);
g) vulnerability assessment (AVA); and
h) composition (ACO).
4.2.4 ISO/IEC 18045
All evaluators shall have knowledge of:
a) the evaluation process: this process is described in ISO/IEC 18045:2008, Clause 8; and
b) security evaluation method and activities: this information is given in ISO/IEC 18045.
4.3 Knowledge of the assurance paradigm
4.3.1 Knowledge of the evaluation authority
All evaluators shall have knowledge of the requirements of the evaluation authority or evaluation
authorities that are applicable to the evaluation schemes for which they are authorized to work.
NOTE Examples of such evaluation authorities include "Common Criteria Recognition Agreement (CCRA)"
and the "Senior Officials Group Information Systems Security (SOG-IS)".
Requirements from evaluation authorities can include topics such as:
a) the scope of the evaluation authority;
b) recognition arrangements;
c) evaluation authority policies;
d) guidance to evaluation schemes, validators and evaluators;
e) interpretations;
f) supporting documents;
g) knowledge of related standards; and
h) quality requirements.
4.3.2 Knowledge of the evaluation scheme
Evaluation schemes typically define operational aspects such as policies, and procedures that are
specific to the evaluation scheme. Such items are often based on the scope of the evaluation scheme.
All evaluators shall have knowledge of:
a) The requirements of the evaluation scheme or schemes for which they are authorized to work;
© ISO/IEC 2018 – All rights reserved 3

EXAMPLE
— any sector specific policies, regulations and legislation;
— laboratory approval requirements for the evaluation scheme;
— evaluation scheme policies in regard to evaluation projects including entry criteria, time limits, report
requirements, site visit requirements;
— guidance to validators and evaluators;
— evaluation scheme specific interpretations;
— evaluation scheme specific guidance;
— approved protection profiles and their supporting documents;
— evaluation scheme specific assurance methods and activities; and
— reporting requirements.
b) the competence requirements of the evaluation scheme for evaluators.
NOTE See ISO/IEC 18045:2008, A.5 for guidance to evaluation schemes on this topic.
4.3.3 Knowledge of the laboratory and it’s management system
All evaluators shall have knowledge of:
a) the laboratory’s management system, including policies, processes and procedures that are
applicable to evaluators;
b) laboratory approved methods; and
c) laboratory competence requirements.
NOTE Management systems vary greatly in their implementations. However, items such as document
control, record control, control of nonconforming testing and/or calibration work, handling of technical records,
and conflict of interest are often the direct responsibility of evaluators. Most laboratory management systems
are based on ISO/IEC 17025.
4.4 Knowledge of information security
All evaluators shall have knowledge of:
a) security principles;
b) security properties;
c) mechanisms of attack;
d) concepts of attack potential;
e) secure development life cycles;
f) security testing; and
g) vulnerabilities and weaknesses.
4 © ISO/IEC 2018 – All rights reserved

4.5 Knowledge of the technology being evaluated
4.5.1 Knowledge of the technology being evaluated
ISO/IEC 15408 (all parts) and ISO/IEC 18045 can be used in the evaluation of a wide variety of
information technologies. These technologies are often classified into various technology types by
evaluation schemes, evaluation authorities or others.
All evaluators shall have knowledge of the information technology types being evaluated by them,
including the common security architectures deployed for that technology type.
NOTE Annex A provides an informative list of knowledge topics presented by commonly identified
technology types.
EXAMPLE Commonly identified technology types include:
— access control devices and systems;
— encryption, key management and PKI systems, products for digital signatures;
— databases;
— operating systems;
— network and network-related devices and systems;
— mobile devices and systems;
— multi-function devices;
— ICs, smart cards and smart-card related devices and systems;
— hardware devices;
— detection devices and systems; and
— data protection, biometric systems and devices, trusted computing.
4.5.2 Protection Profiles, packages and supporting documents
All evaluators shall have knowledge of the following, where they are applicable for the information
technology evaluated by them:
a) protection profiles, packages and any related supporting documents specified in connection with
the evaluator's work;
b) the knowledge required to meet any additional evaluation methods and assurance activities
specified as applicable to an evaluation;
c) how to determine if any interpretations or guidance in regard to protection profiles, packages and
related supporting documents have been issued and whether they are applicable to a particular
evaluation project.
4.6 Knowledge required for specific assurance classes
Evaluators need the knowledge required by the evaluation methods and activities specified for the
assurance classes for which they are authorized to work. Examples for the knowledge required by ISO/
IEC 18045 are given in Annex B.
© ISO/IEC 2018 – All rights reserved 5

4.7 Knowledge required when evaluating specific security functional requirements
Evaluators shall have the knowledge required as given by the security functional requirements they
are authorized to evaluate as specified in ISO/IEC 15408-2. Examples for the knowledge required by
ISO/IEC 15408-2 are given in Annex C.
4.8 Knowledge needed when evaluating specific technologies
Since technology can vary and are continually evolving it is not possible to identify all the skills
required. Annex A provides an informative list of both knowledge and skills for many technologies. In
addition, the Bibliography gives many technology related references.
Technology related knowledge can be obtained through experience with that technology. Such
experience can be developed by:
a) participating in education in regard to the technology;
b) working as a trainee alongside an experienced evaluator;
c) working in the development of the technology; and
d) performing research on the technology.
5 Skills
5.1 Basic evaluation skills
5.1.1 Evaluation methods
All evaluators shall have skills in basic evaluation methods. These include both objective and subjective
methods, including:
a) sampling;
b) basic statistical analysis;
c) observation;
d) analysis;
e) comparison; and
f) recording results;
5.1.2 Evaluation tools
The evaluator shall be skilled in:
a) the use of tools that are specified by the laboratory or evaluation scheme in support of evaluation,
report generation, delivery or protection of documents and results;
EXAMPLE
— encryption tools; and
— documentation tools.
6 © ISO/IEC 2018 – All rights reserved

b) specialized tools for certain evaluation tasks as specified by the laboratory or evaluation scheme or
supporting documents.
EXAMPLE
— specialized mathematical tools for analysing measured data;
— tools for verifying implementation of crypto algorithms.
5.2 Core evaluation skills given in ISO/IEC 15408-3 and ISO/IEC 18045
5.2.1 Evaluation principles
All evaluators shall be able to perform their work in a way that is:
a) impartial;
b) objective;
c) repeatable; and
d) reproducible.
5.2.2 Evaluation methods and activities
All evaluators shall have skills in the core evaluation methods and activities specified in ISO/IEC 18045,
Protection Profiles and any supporting documents.
The following verbs have special meaning in ISO/IEC 18045:2008 and the evaluator shall be skilled in
performing the activities in accordance with the definitions made in ISO/IEC 18045:2008. These are
expressed as the following verbs:
a) check;
b) confirm;
c) demonstrate;
d) describe;
e) determine;
f) ensure;
g) be exhaustive;
h) examine;
i) explain;
j) justify;
k) prove;
l) report;
m) record;
n) specify;
o) trace; and
p) verify.
© ISO/IEC 2018 – All rights reserved 7

NOTE These terms are defined and explained in either ISO/IEC 15408-1 or ISO/IEC 18045:2008.
5.3 Skills required when evaluating specific security assurance classes
5.3.1 General
Evaluators performing evaluation activities shall be able to write observation reports.
The further skills required are listed for each class in Tables 1 to 7. Within each family, the skills
required increase both in depth and width. The additional skills are listed in higher members of the
family while the increased depth of the skills is not explicitly mentioned but shall be considered when
authorizing evaluators.
EXAMPLE 1 An evaluator who is authorized to evaluate ADV_FSP.2 needs to be able to check tracing links of
the SFRs before obtaining authorization for ADV_FSP.3.
EXAMPLE 2 For ADV_TDS.1, only basic skills regarding TOE architecture are required, while for ADV_TDS.6,
skills to handle formal methods for the architecture are required.
5.3.2 ADV (Development) Class
Evaluators performing evaluation activities related to the ADV class shall have the skills identified in
Table 1 for the assurance components up to and including the component that they are evaluating.
Table 1 — Skills required for ADV class evaluators
Assurance
Evaluation skills required
component
a) Being able to cross-check architectural information with other evidence provided for
ADV_ARC.1
the evaluation.
a) Being able to identify program and application interfaces;
ADV_FSP.1
b) Being able to determine the TSFIs.
ADV_FSP.2 No additional requirements.
ADV_FSP.3 c) Being able to check tracing links of the SFRs;
ADV_FSP.4 No additional requirements.
ADV_FSP.5 d) Being able to understand semi-formal language;
e) Being able to understand formal language;
ADV_FSP.6
f) Being able to verify the correctness of the formal model and also the completeness of the
reasoning.
a) Use of sampling techniques;
b) Being able to read and understand source code or hardware diagrams and/ or IC
hardware design language code or layout data used in implementing the TOE;
ADV_IMP.1
c) Being able to use tools allowing for un-shrouding or de-obfuscation;
d) Being able to understand generation tools, their usage, and their effects.
EXAMPLE  Compiler configurations.
ADV_IMP.2 No additional requirements.
ADV_INT.1 No additional requirements.
a) Being able to identify standards relevant to the TSF in order to determine if the TSF is
ADV_INT.2
well-structured;
ADV_INT.3 b) Being able to judge the complexity of the TSF internals;
ADV_SPM.1 a) Being able to understand the security policy model and determine if it is complete;
ADV_TDS.1 a) Being able to understand the architecture of the TOE.
8 © ISO/IEC 2018 – All rights reserved

Table 1 (continued)
Assurance
Evaluation skills required
component
ADV_TDS.2 No additional requirements.
ADV_TDS.3 No additional requirements.
ADV_TDS.4 No additional requirements.
ADV_TDS.5 No additional requirements.
ADV_TDS.6 No additional requirements.
5.3.3 AGD (Guidance Documents) Class
Evaluators performing evaluation activities related to the AGD class shall have the skills identified in
Table 2 for the assurance components that they are evaluating.
Table 2 — Skills required for AGD class evaluators
Assurance
Evaluation skills required
component
a) Being able to understand that the operation is correct and secure according to the
AGD.OPE.1
evidence;
a) Being able to understand that the installation is correct and secure according to the
AGD_PRE.1
evidence;
5.3.4 ALC (Life-Cycle Support) Class
Evaluators performing evaluation activities related to the ALC class shall have the skills identified in
Table 3 for the assurance components that they are evaluating.
Table 3 — Skills required for ALC class evaluators
Assurance
Evaluation skills required
component
ALC_CMC.1 a) Being able to observe the use of the CM system as described in the CM plan;
ALC_CMC.2 No additional requirements.
ALC_CMC.3 No additional requirements.
ALC_CMC.4 No additional requirements.
ALC_CMC.5 No additional requirements.
a) Being able to understand versioning and identification schema;
ALC_CMS.1
b) Being able to determine if configuration items are uniquely identified.
ALC_CMS.2 No additional requirements.
ALC_CMS.3 No additional requirements.
ALC_CMS.4 No additional requirements.
ALC_CMS.5 No additional requirements.
ALC_DEL.1 a) Being able to follow written delivery and installation procedures.
a) Site visit planning;
b) On-site and personnel assessment techniques;
c) Being able to observe the application of security measures during development and
ALC_DVS.1
maintenance of the TOE as described in the development security documentation;
d) Being able to observe the practical application of delivery procedures as described in
the delivery documentation.
© ISO/IEC 2018 – All rights reserved 9

Table 3 (continued)
Assurance
Evaluation skills required
component
ALC_DVS.2 No additional requirements.
ALC_FLR.1 a) Being able to understand flaw remediation processes.
ALC_FLR.2 No additional requirements.
ALC_LCD.1 a) Being able to analyse the life cycle processes presented by the developer.
ALC_LCD.2 No additional requirements.
ALC_TAT.1 a) Being able to analyse the tools and techniques presented by the developer.
ALC_TAT.2 No additional requirements.
ALC_TAT.3 No additional requirements.
5.3.5 ASE and APE (ST and PP evaluation) Classes
Evaluators performing evaluation activities related to the ASE class shall have the skills identified in
Table 4 for the assurance components that they are evaluating.
Table 4 — Skills required for ASE and APE class evaluators
Assurance component Evaluator skills required
ASE_CCL.1 APE_CCL.1 a) Being able to check that the conformance claim is correct.
a) Being able to understand that the extended components definition is
ASE_ECD.1 APE_ECD.1
correct.
a) Being able to understand that the introduction describes the TOE and
ASE_INT.1 APE_INT.1
the TOE context correctly.
a) Being able to determine if the security objectives adequately and
completely address the security problem definition;
b) Being able to determine if the security objectives are properly divided
ASE_OBJ.1 APE_OBJ.1
between security objectives of the TOE and the security objectives
for the TOE environment correctly and together address the security
problem definition.
ASE_OBJ.2 APE_OBJ.2 No additional requirements.
a) Being able to determine that the security requirements are clear,
ASE_REQ.1 APE_REQ.1
unambiguous and well-defined.
ASE_REQ.2 APE_REQ.2 No additional requirements.
a) Being able to understand that the security problem definition is
ASE_SPD.1 APE_SPD.1
correct.
ASE_TSS.1 a) Being able to map narrative to specific SFRs.
5.3.6 ATE (Tests) Class
Evaluators performing evaluation activities related to the ATE class shall have the skills identified in
Table 5 for the assurance components that they are evaluating.
10 © ISO/IEC 2018 – All rights reserved

Table 5 — Skills required for ATE class evaluators
Assurance
Evaluator skills required
component
a) Being able to understand the test coverage presented;
ATE_COV.1
b) Being able to understand tests and verify that the results of tests are correct;
ATE_COV.2 No additional requirements.
ATE_COV.3 No additional requirements.
a) Being able to understand the test coverage documentation provided by the developer;
ATE_DPT.1
b) Being able to understand testing at a subsystem level.
ATE_DPT.2 a) Being able to understand testing at a module level.
ATE_DPT.3 No additional requirements.
ATE_DPT.4 No additional requirements.
a) Being able to understand the functional testing documentation provided by the
ATE_FUN.1
developer.
ATE_FUN.2 No additional requirements.
a) Development of a test plan;
b) Development of appropriate test cases;
c) Configuration of the TOE;
ATE_IND.1 d) Setup and configuration of the TOE environment;
e) Maintaining the integrity of the test environment;
f) Configuring and using test tools specified in the test plan;
g) Commissioning appropriate test harnesses and test scripts.
NOTE  This can include the use of programming languages, scripting languages, and debug
facilities.
ATE_IND.2 No additional requirements.
ATE_IND.3 No additional requirements.
5.3.7 AVA (Vulnerability Assessment) Class
Evaluators performing evaluation activities related to the AVA class shall have the skills identified in
Table 6 for the assurance components that they are evaluating.
© ISO/IEC 2018 – All rights reserved 11

Table 6 — Skills required for AVA class evaluators
Assurance
Evaluator skills required
component
a) Being able to identify appropriate keywords for a vulnerability search;
b) Being able to identify appropriate sources of information for publically known
vulnerabilities for a particular TOE;
c) Being able to understand the evidence of vulnerabilities analysis and verify that the
AVA_VAN.1
result of the evidence is correct;
d) Being able to analyse cause and effect relationships of TOE functionality;
e) Being able to identify residual vulnerabilities;
f) Being able to calculate the attack potential.
AVA_VAN.2 No additional requirements
AVA_VAN.3 g) Flaw hypothesis development;
AVA_VAN.4 No additional requirements.
AVA_VAN.5 No additional requirements.
5.3.8 ACO (Composition) Class
Evaluators performing evaluation activities related to the ACO class shall have the skills identified in
Table 7 for the assurance components that they are evaluating.
Table 7 — Skills required for ACO class evaluators
Assurance
Evaluator skills required
component
ACO_COR.1 No additional requirements.
ACO_DEV.1 No additional requirements.
ACO_DEV.2 No additional requirements.
ACO_DEV.3 No additional requirements.
ACO_REL.1 No additional requirements.
ACO_REL.2 No additional requirements.
ACO_CTT.1 a) The skills identified for the ADV_FSP class given in Table 1;
ACO_CTT.2 No additional requirements.
a) The skills identified for the AVA_VAN class given in Table 6;
b) Being able to determine if the assumptions and objectives specified for the each of the
components operational environment, remains true for a composed TOE;
ACO_VUL.1
c) Being able to identify vulnerabilities introduced as a result of composition;
d) Being able to perform penetration testing.
ACO_VUL.2 No additional requirements.
ACO_VUL.3 No additional requirements.
5.4 Skills required when evaluating specific security functional requirement classes
5.4.1 General
For each class, the evaluator shall be able to:
a) understand and test for conformance to related technological standards; and
12 © ISO/IEC 2018 – All rights reserved

b) search for potential vulnerabilities and side channels.
5.4.2 Skills required when evaluating the FCS (Cryptographic support) Class
a) being able to determine if cryptographic algorithms and protocols are implemented correctly.
5.5 Skills needed when evaluating specific technologies
Since technology can vary and are continually evolving it is not possible to identify all the skills
required. Annex A provides a list of both knowledge and skills for some technologies.
Technology related skills can be obtained through experience with that technology. Such experience
can be developed by:
a) attending skills-training related to the technology;
b) working as a trainee alongside an experienced evaluator;
c) working in the development of such technologies; and
d) performing research on the technology.
6 Experience
Experience in the core evaluation skills, given in Clause 5, is gained during the first and subsequent
evaluations performed by an evaluator. As a trainee, such experience should be gained under the
supervision and/or mentorship of another competent evaluator.
Previous experience in tasks related to the use of ISO/IEC 15408 and its related documents including,
but not limited to, performing related work such as consultancy, product development, research
and specification of requirements can contribute to the elements of knowledge that are required for
competence.
7 Education
All evaluators should have a tertiary educational qualification, such as an Associate, Bachelor’s, or
higher degree, that is relevant to the requirements addressed in ISO/IEC 15408 and the evaluation
methodology requirements in ISO/IEC 18045.
All evaluators shall, at a minimum, demonstrate they have either:
a) successfully completed appropriate tertiary education with at least 3 years of study in disciplines
including specific technical specialities related to IT or IT security; or
b) had experience which provided equivalent knowledge, skills and effectiveness to that gained
through tertiary education in disciplines related to IT or IT security.
EXAMPLE Examples of specific technical specialities include:
— engineering technology;
— electrical engineering;
— mechanical engineering;
— material engineering;
— computer information technology;
— computer engineering;
© ISO/IEC 2018 – All rights reserved 13

— computer science;
— computer networks;
— cybersecurity;
— physics;
— formal mathematics;
— information systems; and
— software development and security.
8 Effectiveness
8.1 General
The evaluator shall be able to apply knowledge and skills in a productive manner, characterized by
attributes of behaviour such as aptitude, initiative, enthusiasm, willingness, communication skills,
team participation, and leadership.
8.2 Effectiveness of the evaluation
Subclause 5.2.1, lists the evaluation principles that are required to be followed in order to achieve an
effective evaluation.
8.3 Evaluation scheme responsibilities for evaluator effectiveness
ISO/IEC 18045:2008, A.5 provides guidance to evaluation schemes on their expected responsibilities.
Many items related are directly or indirectly related to evaluator effectiveness and should be considered
by evaluation facilities when determining effectiveness.
8.4 Effectiveness in performing timely evaluations
Measurement criteria for the effectiveness of evaluators are found ISO/IEC 19896-1:2018, 8.5.
8.5 Effectiveness in performing accurate evaluations
All evaluators shall be able to perform assigned evaluation tasks that follow defined evaluation methods
and activities with accuracy.
8.6 Effectiveness in reporting results
All evaluators shall be ab
...

NORME ISO/IEC
INTERNATIONALE 19896-3
Première édition
2018-08
Techniques de sécurité IT — Exigences
de compétence pour les testeurs et les
évaluateurs en matière de sécurité de
l'information —
Partie 3:
Exigences en matière de
connaissances, compétences
et efficacité des spécialistes en
évaluations ISO/IEC 15408
IT security techniques — Competence requirements for information
security testers and evaluators —
Part 3: Knowledge, skills and effectiveness requirements for ISO/IEC
15408 evaluators
Numéro de référence
© ISO/IEC 2018
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2018
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
Fax: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
ii
© ISO/IEC 2018 – Tous droits réservés

Sommaire Page
Avant-propos .v
Introduction . vi
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Connaissances . . 2
4.1 Généralités . 2
4.2 Connaissance de l'ISO/IEC 15408 et de l'ISO/IEC 18045 . 2
4.2.1 ISO/IEC 15408-1 . 2
4.2.2 ISO/IEC 15408-2 . 2
4.2.3 ISO/IEC 15408-3 . 3
4.2.4 ISO/IEC 18045 . 3
4.3 Connaissance du paradigme de l'assurance . 3
4.3.1 Connaissance de l'autorité d'évaluation . 3
4.3.2 Connaissance du schéma d'évaluation . 4
4.3.3 Connaissance du laboratoire et de son système de management . 4
4.4 Connaissance de la sécurité de l'information . 4
4.5 Connaissance de la technologie évaluée . 5
4.5.1 Connaissance de la technologie évaluée. 5
4.5.2 Profils de protection, paquets et documents connexes . 5
4.6 Connaissances requises pour des classes d'assurance spécifiques. 6
4.7 Connaissances requises lors de l'évaluation d'exigences fonctionnelles de sécurité
spécifiques . 6
4.8 Connaissances nécessaires lors de l'évaluation de technologies spécifiques . 6
5 Savoir-faire . 6
5.1 Savoir-faire d'évaluation de base . 6
5.1.1 Méthodes d'évaluation . 6
5.1.2 Outils d'évaluation . 6
5.2 Savoir-faire d'évaluation de base spécifiés dans l'ISO/IEC 15408-3 et l'ISO/
IEC 18045 . 7
5.2.1 Principes de l'évaluation . 7
5.2.2 Méthodes et activités d'évaluation . 7
5.3 Savoir-faire requis lors de l'évaluation de classes d'assurance de sécurité
spécifiques . 8
5.3.1 Généralités . 8
5.3.2 Classe ADV (Développement) . 8
5.3.3 Classe AGD (Manuels utilisateur) . 9
5.3.4 Classe ALC (Prise en charge du cycle de vie) . 9
5.3.5 Classes ASE et APE (évaluation ST et PP) . 10
5.3.6 Classe ATE (Essais) . 11
5.3.7 Classe AVA (Évaluation de la vulnérabilité) . 11
5.3.8 Classe ACO (Composition) .12
5.4 Savoir-faire requis lors de l'évaluation de classes d'exigences fonctionnelles de
sécurité spécifiques .13
5.4.1 Généralités .13
5.4.2 Savoir-faire requis lors de l'évaluation de la classe FCS (Support
cryptographique) .13
5.5 Savoir-faire nécessaires lors de l'évaluation de technologies spécifiques .13
6 Expérience .13
7 Instruction .13
8 Efficacité .14
iii
© ISO/IEC 2018 – Tous droits réservés

8.1 Généralités . 14
8.2 Efficacité de l'évaluation . 14
8.3 Responsabilités des schémas d'évaluation concernant l'efficacité des évaluateurs . 14
8.4 Efficacité pour la réalisation d'évaluations en temps opportun . 14
8.5 Efficacité pour la réalisation d'évaluations exactes . 14
8.6 Efficacité concernant le rapportage des résultats . 15
Annexe A (informative) Types de technologie: Connaissances et savoir-faire .16
Annexe B (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences d'assurance de la sécurité .21
Annexe C (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences fonctionnelles de sécurité .29
Bibliographie .33
iv
© ISO/IEC 2018 – Tous droits réservés

Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l’IEC participent au développement de Normes internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l’IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l’IEC, participent également aux travaux. Dans le domaine
des technologies de l'information, l'ISO et l’IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations
de brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/iso/fr/avant-propos.html.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur le site web de l'ISO.
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l'adresse www.iso.org/fr/members.html.
v
© ISO/IEC 2018 – Tous droits réservés

Introduction
La série ISO/IEC 15408 permet la comparaison entre des résultats d'évaluations de sécurité
indépendantes. À cet effet, elle propose un ensemble commun d'exigences applicables aux fonctionnalités
de sécurité des produits de technologies de l'information (IT) et aux mesures d'assurance appliquées
à ces produits IT au cours d'une évaluation de sécurité. De nombreux schémas de certification et
d'évaluation ainsi que des autorités d'évaluation ont été élaborés en utilisant la série ISO/IEC 15408 et
l'ISO/IEC 18045 comme base, ce qui permet de comparer les résultats des projets d'évaluation.
Un facteur important pour assurer la comparaison des résultats de ces évaluations consiste à
comprendre que le processus d'évaluation inclut la spécification de mesures d'assurance à la fois
objectives et subjectives. Par conséquent, la compétence des évaluateurs individuels est importante
lorsque la comparaison et la répétabilité des résultats de l'évaluation constituent le fondement de la
reconnaissance mutuelle.
L'ISO/IEC 17025 fournit des exigences générales concernant la compétence des laboratoires d'essai et
d'étalonnage. Dans l'ISO/IEC 17025:2017, 5.2.1, il est précisé que « le personnel effectuant des tâches
spécifiques doit être qualifié sur la base d'une instruction, d'une formation, d'une expérience appropriées
et/ou d'un savoir-faire démontré ».
Le présent document établit une base de référence pour les compétences minimales des évaluateurs
de l'ISO/IEC 15408 dans le but d'établir la conformité des exigences de formation des évaluateurs
professionnels selon l'ISO/IEC 15408 associés aux programmes d'évaluation et aux autorités des
produits IT. Il fournit les exigences spécifiques permettant de démontrer la compétence des personnes
pour effectuer des évaluations de la sécurité des produits IT conformément à l'ISO/IEC 15408 (toutes les
parties) et à l'ISO/IEC 18045. L'ISO/IEC 15408-1 décrit le cadre général des compétences, y compris les
différents éléments de la compétence: connaissances, savoir-faire, expérience, instruction et efficacité.
Le présent document inclut notamment les connaissances et les savoir-faire dans les domaines suivants.
— Sécurité de l'information
Connaissances: Principes de sécurité de l'information, propriétés de sécurité de l'information,
menace et vulnérabilités en matière de sécurité de l'information
Savoir-faire: Comprendre les exigences en matière de sécurité de l'information, comprendre le
contexte
— Évaluation de la sécurité de l'information
Connaissances: Connaissance de l'ISO/IEC 15408 (toutes les parties) et de l'ISO/IEC 18045,
système de management de laboratoire
Savoir-faire: Savoir-faire de base en matière d'évaluation, savoir-faire essentiels en matière
d'évaluation, savoir-faire requis lors de l'évaluation de classes d'assurance de la sécurité spécifiques,
savoir-faire requis lors de l'évaluation de classes d'exigences fonctionnelles de sécurité spécifiques
— Architecture des systèmes d'information
Connaissances: Technologie évaluée
Savoir-faire: Comprendre l'interaction entre les composants de sécurité et les informations
— Essais de sécurité de l'information
Connaissances: Techniques d'essai de la sécurité de l'information, outils d'essai de la sécurité de
l'information, cycle de vie du développement des produits, types d'essais
Savoir-faire: Créer et gérer un plan d'essai de sécurité de l'information, concevoir des essais de
sécurité de l'information, préparer et réaliser des essais de sécurité de l'information
vi
© ISO/IEC 2018 – Tous droits réservés

Le public visé par le présent document comprend les autorités de validation et de certification, les
organismes de certification des laboratoires d'essai, les schémas d'évaluation, les laboratoires, les
évaluateurs et les organismes proposant des certifications professionnelles.
vii
© ISO/IEC 2018 – Tous droits réservés

NORME INTERNATIONALE ISO/IEC 19896-3:2018(F)
Techniques de sécurité IT — Exigences de compétence
pour les testeurs et les évaluateurs en matière de sécurité
de l'information —
Partie 3:
Exigences en matière de connaissances, compétences et
efficacité des spécialistes en évaluations ISO/IEC 15408
1 Domaine d'application
Le présent document fournit les exigences spécifiques permettant de démontrer la compétence des
personnes pour effectuer des évaluations de la sécurité des produits IT conformément à l'ISO/IEC 15408
(toutes les parties) et à l'ISO/IEC 18045.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO/IEC 19896-1, Techniques de sécurité IT — Exigences de compétence pour les testeurs et les évaluateurs
en matière de sécurité de l’information — Partie 1: Introduction, concepts et exigences générales
ISO/IEC 15408 (toutes les parties), Technologies de l’information — Techniques de sécurité — Critères
d’évaluation pour la sécurité TI
ISO/IEC 18045, Sécurité de l'information, cybersécurité et protection de la vie privée — Critères d'évaluation
pour la sécurité des technologies de l'information — Méthodologie pour l'évaluation de sécurité
ISO/IEC 17025, Exigences générales concernant la compétence des laboratoires d'étalonnages et d'essais
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions donnés dans l'ISO/IEC 19896-1,
l’ISO/IEC 15408-1 et l’ISO/IEC 17025, l’ISO/IEC 18045 ainsi que les suivants s'appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse https:// www .electropedia .org/
3.1
schéma d'évaluation
organisation qui assure la mise en œuvre des politiques et d'un ensemble de règles, établies par une
autorité d'évaluation, définissant l'environnement d'évaluation, y compris les critères et la méthodologie
nécessaires pour mener des évaluations de la sécurité des IT
© ISO/IEC 2018 – Tous droits réservés

3.2
méthode subjective
méthode fondée sur l'expérience et la compréhension d'une personne donnée
4 Connaissances
4.1 Généralités
Les connaissances sont ce qu'un évaluateur connaît et peut décrire. Les paragraphes 4.2 à 4.8
traitent des connaissances nécessaires pour l'évaluation selon l'ISO/IEC 15408 (toutes les parties) et
l'ISO/IEC 18045.
4.2 Connaissance de l'ISO/IEC 15408 et de l'ISO/IEC 18045
4.2.1 ISO/IEC 15408-1
Tous les évaluateurs doivent avoir connaissance des éléments suivants:
a) les termes et définitions définis dans l'ISO/IEC 15408-1;
b) les termes et définitions définis dans l'ISO/IEC 18045;
c) le contexte pour les évaluations selon l'ISO/IEC 15408;
d) le modèle général de la série ISO/IEC 15408 donné dans l'ISO/IEC 15408-1;
e) la personnalisation des exigences de sécurité: opérations, dépendances entre composants et
composants étendus;
f) les profils et les paquets de protection;
g) les résultats de l'évaluation; et
h) la spécification des cibles de sécurité.
4.2.2 ISO/IEC 15408-2
Tous les évaluateurs doivent avoir connaissance des exigences fonctionnelles de sécurité (SFR) de
l'ISO/IEC 15408-2 qui sont utilisées pour les types de technologie avec lesquels l'évaluateur est autorisé
à travailler, ainsi que de toute SFR dépendante. Les classes de SFR données dans l'ISO/IEC 15408-2 sont
les suivantes:
a) audit de sécurité (FAU);
b) communication (FCO);
c) support cryptographique (FCS);
d) protection des données utilisateur (FDP);
e) identification et authentification (FIA);
f) gestion de la sécurité (FMT);
g) confidentialité des données (FPR);
h) protection des fonctions de sécurité de la cible d'évaluation (FPT);
i) utilisation des ressources (FRU);
j) accès à la cible d'évaluation (FTA); et
© ISO/IEC 2018 – Tous droits réservés

k) chemin/canaux de confiance (FTP).
4.2.3 ISO/IEC 15408-3
Tous les évaluateurs doivent avoir connaissance des exigences d'assurance de sécurité (SAR) données
dans l'ISO/IEC 15408-3 qui sont spécifiées par les cibles de sécurité (ST) avec lesquelles l'évaluateur est
autorisé à travailler. La connaissance des composants particuliers de SAR doit comprendre ceux pour
lesquels l'évaluateur est autorisé à travailler. Les classes de SAR données dans l'ISO/IEC 15408-3 sont
les suivantes:
a) développement (ADV);
b) manuel utilisateur (AGD);
c) prise en charge du cycle de vie (ALC);
d) structure de la cible de sécurité (ASE);
e) structure du profil de protection (APE);
f) essais (ATE);
g) évaluation de la vulnérabilité (AVA); et
h) composition (ACO).
4.2.4 ISO/IEC 18045
Tous les évaluateurs doivent avoir connaissance des éléments suivants:
a) le processus d'évaluation: ce processus est décrit dans l'ISO/IEC 18045:2008, Article 8; et
b) la méthode et les activités d'évaluation de la sécurité: ces informations sont données dans
l'ISO/IEC 18045.
4.3 Connaissance du paradigme de l'assurance
4.3.1 Connaissance de l'autorité d'évaluation
Tous les évaluateurs doivent avoir connaissance des exigences de l'autorité ou des autorités d'évaluation
applicables aux schémas d'évaluation pour lesquels ils sont autorisés à travailler.
NOTE Parmi ces autorités d'évaluation, on peut par exemple citer l'« Accord de reconnaissance des critères
communs (CCRA, Common Criteria Recognition Agreement) » et le « Groupe des hauts fonctionnaires pour la
sécurité des systèmes d'information (SOG-IS, Senior Officials Group Information Systems Security) ».
Les exigences des autorités d'évaluation peuvent porter sur des sujets tels que:
a) le domaine d'application de l'autorité d'évaluation;
b) les accords de reconnaissance;
c) les politiques de l'autorité d'évaluation;
d) les recommandations pour les schémas d'évaluation, les valideurs et les évaluateurs;
e) les interprétations;
f) les documents d'appui;
g) la connaissance des normes connexes; et
© ISO/IEC 2018 – Tous droits réservés

h) les exigences en matière de qualité.
4.3.2 Connaissance du schéma d'évaluation
Les schémas d'évaluation définissent généralement des aspects opérationnels tels que les politiques et
les modes opératoires qui sont spécifiques au schéma d'évaluation. Ces éléments sont souvent basés sur
le domaine d'application du schéma d'évaluation.
Tous les évaluateurs doivent avoir connaissance des éléments suivants:
a) les exigences du ou des schémas d'évaluation pour lesquels ils sont autorisés à travailler;
EXEMPLES
— toute politique, réglementation et législation spécifiques au secteur;
— les exigences d'approbation des laboratoires pour le système d'évaluation;
— les politiques du schéma d'évaluation en ce qui concerne les projets d'évaluation, y compris les critères
d'entrée, les limites de durée, les exigences en matière de rapports, les exigences en matière de visites
sur site;
— les recommandations pour les valideurs et les évaluateurs;
— les interprétations spécifiques du schéma d'évaluation;
— les recommandations spécifiques du schéma d'évaluation;
— les profils de protection approuvés et leurs documents connexes;
— les méthodes et activités d'assurance spécifiques du schéma d'évaluation; et
— les exigences d'établissement de rapports.
b) les exigences de compétences du schéma d'évaluation concernant les évaluateurs.
NOTE À ce sujet, voir l'ISO/IEC 18045:2008, A.5 pour des recommandations concernant les schémas
d'évaluation.
4.3.3 Connaissance du laboratoire et de son système de management
Tous les évaluateurs doivent avoir connaissance des éléments suivants:
a) le système de management du laboratoire, y compris les politiques, processus et modes opératoires
qui s'appliquent aux évaluateurs;
b) les méthodes approuvées par le laboratoire; et
c) les exigences du laboratoire en matière de compétences.
NOTE La mise en œuvre des systèmes de gestion est très variable. Toutefois, il est fréquent que des éléments
tels que le contrôle des documents, des enregistrements, des travaux d'essai et/ou d'étalonnage en cas de non-
conformité, le traitement des dossiers techniques et les conflits d'intérêts relèvent de la responsabilité directe
des évaluateurs. La plupart des systèmes de management de laboratoire sont fondés sur l'ISO/IEC 17025.
4.4 Connaissance de la sécurité de l'information
Tous les évaluateurs doivent avoir connaissance des éléments suivants:
a) principes de sécurité;
b) propriétés de sécurité;
c) mécanismes d'attaque;
© ISO/IEC 2018 – Tous droits réservés

d) concepts de potentiel d'attaque;
e) cycle de vie de développement sécurisé;
f) essais de sécurité; et
g) vulnérabilités et faiblesses.
4.5 Connaissance de la technologie évaluée
4.5.1 Connaissance de la technologie évaluée
L'ISO/IEC 15408 (toutes les parties) et l'ISO/IEC 18045 peuvent être utilisées pour l'évaluation d'une
grande variété de technologies de l'information. Ces technologies sont souvent classées en différents
types de technologies par des schémas d'évaluation, des autorités d'évaluation ou autres.
Tous les évaluateurs doivent avoir connaissance des types de technologies de l'information qu'ils
évaluent, y compris les architectures de sécurité communes déployées pour ce type de technologie.
NOTE L'Annexe A fournit une liste informative de sujets de connaissance présentés par des types de
technologie couramment identifiés.
EXEMPLE Les types de technologie couramment identifiés comprennent notamment:
— les dispositifs et systèmes de contrôle d'accès;
— le chiffrement, les systèmes de gestion de clés et de PKI (infrastructure de clé publique), les produits pour
signatures numériques;
— les bases de données;
— les systèmes d'exploitation;
— les réseaux et les équipements et systèmes liés au réseau;
— les dispositifs et systèmes mobiles;
— les dispositifs multifonctions;
— les circuits intégrés, les cartes à puce et les dispositifs et systèmes liés aux cartes à puce;
— les dispositifs matériels;
— les dispositifs et systèmes de détection; et
— la protection des données, les dispositifs et systèmes biométriques, l'informatique de confiance.
4.5.2 Profils de protection, paquets et documents connexes
Tous les évaluateurs doivent avoir connaissance des éléments suivants, lorsqu'ils s'appliquent à la
technologie de l'information qu'ils évaluent:
a) les profils de protection, les paquets et tout document de justification connexe spécifié dans le
cadre du travail de l'évaluateur;
b) les connaissances requises pour satisfaire à toute méthode d'évaluation et activité d'assurance
supplémentaire spécifiée comme étant applicable à une évaluation;
c) la manière de déterminer si des interprétations ou des recommandations concernant les profils de
protection, les paquets et les documents de justification connexes ont été publiées et si elles sont
applicables à un projet d'évaluation particulier.
© ISO/IEC 2018 – Tous droits réservés

4.6 Connaissances requises pour des classes d'assurance spécifiques
Les évaluateurs doivent avoir les connaissances requises par les méthodes et activités d'évaluation
spécifiées pour les classes d'assurance pour lesquelles ils sont autorisés à travailler. Des exemples de
connaissances requises par l'ISO/IEC 18045 sont donnés à l'Annexe B.
4.7 Connaissances requises lors de l'évaluation d'exigences fonctionnelles de sécurité
spécifiques
Les évaluateurs doivent avoir les connaissances requises par les exigences fonctionnelles de sécurité
qu'ils sont autorisés à évaluer, comme spécifié dans l'ISO/IEC 15408-2. Des exemples de connaissances
requises par l'ISO/IEC 15408-2 sont donnés à l'Annexe C.
4.8 Connaissances nécessaires lors de l'évaluation de technologies spécifiques
Dans la mesure où les technologies peuvent varier et sont en constante évolution, il n'est pas
possible d'identifier l'ensemble des savoir-faire requis. L'Annexe A fournit une liste informative des
connaissances et des savoir-faire requis pour de nombreuses technologies. La bibliographie fournit en
outre de nombreuses références liées à la technologie.
Les connaissances liées à la technologie peuvent être obtenues par l'expérience avec cette technologie.
Une telle expérience peut être développée par:
a) la participation à une instruction relative à la technologie;
b) le travail en tant que stagiaire aux côtés d'un évaluateur expérimenté;
c) le travail dans le développement de la technologie; et
d) la réalisation de recherches sur la technologie.
5 Savoir-faire
5.1 Savoir-faire d'évaluation de base
5.1.1 Méthodes d'évaluation
Tous les évaluateurs doivent disposer de savoir-faire dans les méthodes d'évaluation de base. Celles-ci
incluent des méthodes à la fois objectives et subjectives, par exemple:
a) l'échantillonnage;
b) l'analyse statistique de base;
c) l'observation;
d) l'analyse;
e) la comparaison; et
f) l'enregistrement des résultats.
5.1.2 Outils d'évaluation
L'évaluateur doit disposer de savoir-faire dans:
a) l'utilisation des outils spécifiés par le laboratoire ou le schéma d'évaluation à l'appui de l'évaluation,
de l'établissement de rapports, de la livraison ou de la protection des documents et des résultats;
EXEMPLES
© ISO/IEC 2018 – Tous droits réservés

— outils de chiffrement; et
— outils de documentation.
b) des outils spécialisés pour certaines tâches d'évaluation, comme spécifié par le laboratoire, le
schéma d'évaluation ou les documents d'appui.
EXEMPLES
— outils mathématiques spécialisés pour l'analyse des données mesurées;
— outils pour vérifier la mise en œuvre d'algorithmes de chiffrement.
5.2 Savoir-faire d'évaluation de base spécifiés dans l'ISO/IEC 15408-3 et l'ISO/
IEC 18045
5.2.1 Principes de l'évaluation
Tous les évaluateurs doivent être capables de réaliser leur travail d'une manière:
a) impartiale;
b) objective;
c) répétable; et
d) reproductible.
5.2.2 Méthodes et activités d'évaluation
Tous les évaluateurs doivent disposer de savoir-faire dans les méthodes et activités d'évaluation de
base spécifiées dans l'ISO/IEC 18045, les profils de protection et tout document connexe.
Les verbes suivants ont une signification particulière dans l'ISO/IEC 18045:2008 et l'évaluateur
doit posséder un savoir-faire dans la réalisation des activités conformément aux définitions de
l'ISO/IEC 18045:2008. Elles sont exprimées par les verbes suivants:
a) contrôler;
b) confirmer;
c) démontrer;
d) décrire;
e) déterminer;
f) assurer;
g) être exhaustif;
h) examiner;
i) expliquer;
j) justifier;
k) prouver;
l) rapporter;
m) consigner;
n) spécifier;
© ISO/IEC 2018 – Tous droits réservés

o) relier; et
p) vérifier.
NOTE Ces termes sont définis et expliqués dans l'ISO/IEC 15408-1 ou l’ISO/IEC 18045:2008.
5.3 Savoir-faire requis lors de l'évaluation de classes d'assurance de sécurité
spécifiques
5.3.1 Généralités
Les évaluateurs réalisant des activités d'évaluation doivent être capables de rédiger des rapports
d'observation.
Les autres savoir-faire requis sont énumérés pour chaque classe dans les Tableaux 1 à 7. Dans
chaque famille, les savoir-faire requis s'étendent à la fois en profondeur et en largeur. Les savoir-faire
supplémentaires sont énumérés dans les membres supérieurs de la famille, tandis que la profondeur
accrue des savoir-faire n'est pas explicitement mentionnée, mais doit être prise en considération lors de
l'habilitation des évaluateurs.
EXEMPLE 1 Un évaluateur qui est autorisé à évaluer ADV_FSP.2 doit être capable de contrôler les liens de
traçabilité des SFR avant d'obtenir une autorisation pour ADV_FSP.3.
EXEMPLE 2 Pour ADV_TDS.1, seuls des savoir-faire de base concernant l'architecture de la TOE sont requis,
tandis que pour ADV_TDS.6, des savoir-faire relatifs à la maîtrise des méthodes formelles pour l'architecture sont
requis.
5.3.2 Classe ADV (Développement)
Les évaluateurs effectuant des activités d'évaluation liées à la classe ADV doivent disposer des savoir-
faire identifiés dans le Tableau 1 pour les composants d'assurance jusqu'au (et y compris le) composant
qu'ils évaluent.
Tableau 1 — Savoir-faire requis pour les évaluateurs de la classe ADV
Composant
Savoir-faire d'évaluation requis
d'assurance
a) Être capable de réaliser une vérification croisée des informations architecturales avec
ADV_ARC.1
d'autres preuves fournies pour l'évaluation.
a) Être capable d'identifier les interfaces de programmes et d'applications;
ADV_FSP.1
b) être capable de déterminer les TSFI;
ADV_FSP.2 Pas d'exigence supplémentaire.
ADV_FSP.3 c) être capable de contrôler les liens de traçabilité des SFR;
ADV_FSP.4 Pas d'exigence supplémentaire.
ADV_FSP.5 d) être capable de comprendre un langage semi-formel;
e) être capable de comprendre un langage formel;
ADV_FSP.6
f) être capable de vérifier l'exactitude du modèle formel ainsi que l'exhaustivité du
raisonnement.
a) Utilisation des techniques d'échantillonnage;
b) être capable de lire et de comprendre le code source ou les diagrammes du matériel et/
ou code du langage de conception du matériel des circuits intégrés ou les données de
ADV_IMP.1
configuration utilisés dans la mise en œuvre de la TOE;
c) être capable d'utiliser des outils permettant le démasquage ou la désobfuscation;
d) être capable de comprendre les outils de génération, leur utilisation et leurs effets.
© ISO/IEC 2018 – Tous droits réservés

TTabableleaauu 1 1 ((ssuuiitte)e)
Composant
Savoir-faire d'évaluation requis
d'assurance
EXEMPLE Configurations d'un compilateur.
ADV_IMP.2 Pas d'exigence supplémentaire.
ADV_INT.1 Pas d'exigence supplémentaire.
a) Être capable d'identifier les normes pertinentes pour la TSF afin de déterminer si celle-
ADV_INT.2
ci est bien structurée;
ADV_INT.3 b) être capable de juger de la complexité des éléments internes de la TSF;
a) Être capable de comprendre le modèle de politique de sécurité et de déterminer si celui-
ADV_SPM.1
ci est complet.
ADV_TDS.1 a) Être capable de comprendre l'architecture de la TOE.
ADV_TDS.2 Pas d'exigence supplémentaire.
ADV_TDS.3 Pas d'exigence supplémentaire.
ADV_TDS.4 Pas d'exigence supplémentaire.
ADV_TDS.5 Pas d'exigence supplémentaire.
ADV_TDS.6 Pas d'exigence supplémentaire.
5.3.3 Classe AGD (Manuels utilisateur)
Les évaluateurs effectuant des activités d'évaluation liées à la classe AGD doivent disposer des savoir-
faire identifiés dans le Tableau 2 pour les composants d'assurance qu'ils évaluent.
Tableau 2 — Savoir-faire requis pour les évaluateurs de la classe AGD
Composant
Savoir-faire d'évaluation requis
d'assurance
a) Être capable de comprendre que le fonctionnement est correct et sûr conformément à la
AGD.OPE.1
preuve.
b) Être capable de comprendre que l'installation est correcte et sûre conformément à la
AGD_PRE.1
preuve.
5.3.4 Classe ALC (Prise en charge du cycle de vie)
Les évaluateurs effectuant des activités d'évaluation liées à la classe ALC doivent disposer des savoir-
faire identifiés dans le Tableau 3 pour les composants d'assurance qu'ils évaluent.
Tableau 3 — Savoir-faire requis pour les évaluateurs de la classe ALC
Composant
Savoir-faire d'évaluation requis
d'assurance
ALC_CMC.1 a) Être capable d'observer l'utilisation du système CM comme décrit dans le plan de CM;
ALC_CMC.2 Pas d'exigence supplémentaire.
ALC_CMC.3 Pas d'exigence supplémentaire.
ALC_CMC.4 Pas d'exigence supplémentaire.
ALC_CMC.5 Pas d'exigence supplémentaire.
b) être capable de comprendre le schéma de versionnage et d'identification;
ALC_CMS.1
c) être capable de déterminer si les éléments de configuration sont identifiés de manière
unique.
ALC_CMS.2 Pas d'exigence supplémentaire.
ALC_CMS.3 Pas d'exigence supplémentaire.
© ISO/IEC 2018 – Tous droits réservés

TTabableleaauu 3 3 ((ssuuiitte)e)
Composant
Savoir-faire d'évaluation requis
d'assurance
ALC_CMS.4 Pas d'exigence supplémentaire.
ALC_CMS.5 Pas d'exigence supplémentaire.
ALC_DEL.1 a) Être capable de suivre les procédures écrites de livraison et d'installation.
a) Planification des visites de site;
b) techniques d'évaluation du personnel et sur site;
c) être capable d'observer l'application des mesures de sécurité pendant le développement
ALC_DVS.1
et la maintenance de la TOE, comme décrit dans la documentation de sécurité du
développement;
d) être capable d'observer l'application pratique des procédures de livraison telles que
décrites dans la documentation de livraison.
ALC_DVS.2 Pas d'exigence supplémentaire.
ALC_FLR.1 a) Être capable de comprendre les processus de correction des failles.
ALC_FLR.2 Pas d'exigence supplémentaire.
ALC_LCD.1 a) Être capable d'analyser les processus du cycle de vie présentés par le développeur.
ALC_LCD.2 Pas d'exigence supplémentaire.
ALC_TAT.1 a) Être capable d'analyser les outils et techniques présentés par le développeur.
ALC_TAT.2 Pas d'exigence supplémentaire.
ALC_TAT.3 Pas d'exigence supplémentaire.
5.3.5 Classes ASE et APE (évaluation ST et PP)
Les évaluateurs effectuant des activités d'évaluation liées à la classe ASE doivent disposer des savoir-
faire identifiés dans le Tableau 4 pour les composants d'assurance qu'ils évaluent.
Tableau 4 — Savoir-faire requis pour les évaluateurs des classes ASE et APE
Composant d'assurance Savoir-faire de l'évaluateur requis
a) Être capable de contrôler si la revendication de conformité est
ASE_CCL.1 APE_CCL.1
correcte.
a) Être capable de comprendre si la définition des composants étendus
ASE_ECD.1 APE_ECD.1
est correcte.
a) Être capable de comprendre si l'introduction décrit correctement la
ASE_INT.1 APE_INT.1
TOE et son contexte.
a) Être capable de déterminer si les objectifs de sécurité répondent de
manière adéquate et complète à la définition du problème de sécurité;
b) être capable de déterminer si les objectifs de sécurité sont
ASE_OBJ.1 APE_OBJ.1
correctement répartis entre les objectifs de sécurité de la TOE et les
objectifs de sécurité de l'environnement de la TOE, et s'ils répondent
ensemble à la définition du problème de sécurité.
ASE_OBJ.2 APE_OBJ.2 Pas d'exigence supplémentaire.
a) Être capable de déterminer si les exigences en matière de sécurité sont
ASE_REQ.1 APE_REQ.1
claires, sans ambiguïté et bien définies.
ASE_REQ.2 APE_REQ.2 Pas d'exigence supplémentaire.
a) Être capable de comprendre si la définition du problème de sécurité
ASE_SPD.1 APE_SPD.1
est correcte.
a) Être capable de faire correspondre les descriptions à des SFR
ASE_TSS.1
spécifiques.
© ISO/IEC 2018 – Tous droits réservés

5.3.6 Classe ATE (Essais)
Les évaluateurs effectuant des activités d'évaluation liées à la classe ATE doivent disposer des savoir-
faire identifiés dans le Tableau 5 pour les composants d'assurance qu'ils évaluent.
Tableau 5 — Savoir-faire requis pour les évaluateurs de la classe ATE
Composant
Savoir-faire de l'évaluateur requis
d'assurance
a) Être capable de comprendre la couverture de test présentée;
ATE_COV.1
b) être capable de comprendre les essais et de vérifier que les résultats des essais sont
corrects.
ATE_COV.2 Pas d'exigence supplémentaire.
ATE_COV.3 Pas d'exigence supplémentaire.
a) Être capable de comprendre la documentation de la couverture d'essai fournie par le
développeur;
ATE_DPT.1
b) être capable de comprendre les essais au niveau du sous-système.
ATE_DPT.2 a) Être capable de comprendre les essais au niveau du module.
ATE_DPT.3 Pas d'exigence supplémentaire.
ATE_DPT.4 Pas d'exigence supplémentaire.
a) Être capable de comprendre la documentation des essais fonctionnels fournie par le
ATE_FUN.1
développeur.
ATE_FUN.2 Pas d'exigence supplémentaire.
a) Élaboration d'un plan d'essai;
b) élaboration de cas d'essai appropriés;
c) configuration de la TOE;
ATE_IND.1 d) mise en place et configuration de l'environnement de la TOE;
e) préservation de l'intégrité de l'environnement d'essai;
f) configuration et utilisation des outils d'essai spécifiés dans le plan d'essai;
g) mise en service des harnais d'essai et des scripts d'essai appropriés.
NOTE Cela peut inclure l'utilisation de langages de programmation, de langages de script et
d'outils de débogage.
ATE_IND.2 Pas d'exigence supplémentaire.
ATE_IND.3 Pas d'exigence supplémentaire.
5.3.7 Classe AVA (Évaluation de la vulnérabilité)
Les évaluateurs effectuant des activités d'évaluation liées à la classe AVA doivent disposer des savoir-
faire identifiés dans le Tableau 6 pour les composants d'assurance qu'ils évaluent.
© ISO/IEC 2018 – Tous droits réservés

Tableau 6 — Savoir-faire requis pour les évaluateu
...

ISO/IEC JTC 1/SC 27
Date : 2023-01-23: 2018-08
ISO/IEC JTC 1/SC 27
Secrétariat : DIN
Techniques de sécurité IT — Exigences de compétence pour les testeurs et les
évaluateurs en matière de sécurité de l’information — Partie 3 : Exigences en
matière de connaissances, compétences et efficacité des spécialistes en
évaluations ISO/IEC 15408
IT security techniques — Competence requirements for information security
testers and evaluators — Part 3: Knowledge, skills and effectiveness
requirements for ISO/IEC 15408 evaluators
ICS : 35.030
Type de document :  Error! Reference source not found.
Sous-type de document :
Stade du document :  Error! Reference source not found.
Langue du document :  Error! Reference source not found.

Formatted
DOCUMENT PROTÉGÉ PAR COPYRIGHT
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en
œuvre, aucune partie de cette publication ne peut être reproduite ni utilisée sous quelque forme
que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie, l'affichage
sur l'internet ou sur un Intranet, sans autorisation écrite préalable. Les demandes d'autorisation
peuvent être adressées à l'ISO à l'adresse ci-après ou au comité membre de l'ISO dans le pays du
demandeur.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél. :.: + 41 22 749 01 11
Fax : + 41 22 749 09 47
E-mail : [e-mail]
Web : www.iso.org
Publié en Suisse
ii
Sommaire Page
Avant-propos . v
Introduction. vi
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Connaissances . 2
4.1 Généralités . 2
4.2 Connaissance de l'ISO/IEC 15408 et de l'ISO/IEC 18045 . 2
4.2.1 ISO/IEC 15408-1 . 2
4.2.2 ISO/IEC 15408-2 . 2
4.2.3 ISO/IEC 15408-3 . 3
4.2.4 ISO/IEC 18045 . 3
4.3 Connaissance du paradigme de l'assurance . 3
4.3.1 Connaissance de l'autorité d'évaluation . 3
4.3.2 Connaissance du schéma d'évaluation . 4
4.3.3 Connaissance du laboratoire et de son système de management . 5
4.4 Connaissance de la sécurité de l'information . 5
4.5 Connaissance de la technologie évaluée . 5
4.5.1 Connaissance de la technologie évaluée . 5
4.5.2 Profils de protection, paquets et documents connexes . 6
4.6 Connaissances requises pour des classes d'assurance spécifiques . 6
4.7 Connaissances requises lors de l'évaluation d'exigences fonctionnelles de sécurité
spécifiques . 7
4.8 Connaissances nécessaires lors de l'évaluation de technologies spécifiques . 7
5 Savoir-faire . 7
5.1 Savoir-faire d'évaluation de base . 7
5.1.1 Méthodes d'évaluation . 7
5.1.2 Outils d'évaluation . 8
5.2 Savoir-faire d'évaluation de base spécifiés dans l'ISO/IEC 15408-3 et
l'ISO/IEC 18045 . 8
5.2.1 Principes de l'évaluation . 8
5.2.2 Méthodes et activités d'évaluation . 8
5.3 Savoir-faire requis lors de l'évaluation de classes d'assurance de sécurité
spécifiques . 9
5.3.1 Généralités . 9
5.3.2 Classe ADV (Développement) . 9
5.3.3 Classe AGD (Manuels utilisateur) . 11
5.3.4 Classe ALC (Prise en charge du cycle de vie) . 11
5.3.5 Classes ASE et APE (évaluation ST et PP) . 12
5.3.6 Classe ATE (Essais) . 13
5.3.7 Classe AVA (Évaluation de la vulnérabilité) . 14
iii
5.3.8 Classe ACO (Composition) . 15
5.4 Savoir-faire requis lors de l'évaluation de classes d'exigences fonctionnelles de
sécurité spécifiques . 15
5.4.1 Généralités . 15
5.4.2 Savoir-faire requis lors de l'évaluation de la classe FCS (Support cryptographique) . 15
5.5 Savoir-faire nécessaires lors de l'évaluation de technologies spécifiques . 16
6 Expérience . 16
7 Instruction . 16
8 Efficacité . 17
8.1 Généralités . 17
8.2 Efficacité de l'évaluation . 17
8.3 Responsabilités des schémas d'évaluation concernant l'efficacité des évaluateurs . 18
8.4 Efficacité pour la réalisation d'évaluations en temps opportun . 18
8.5 Efficacité pour la réalisation d'évaluations exactes . 18
8.6 Efficacité concernant le rapportage des résultats . 18
Annexe A (informative) Types de technologie : Connaissances et savoir-faire . 19
Annexe B (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences d'assurance de la sécurité . 25
Annexe C (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences fonctionnelles de sécurité . 35
Bibliographie . 39
iv
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes nationaux
membres de l'ISO ou de l’IEC participent au développement de Normes internationales par
l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des domaines
particuliers de l'activité technique. Les comités techniques de l'ISO et de l’IEC collaborent dans des
domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l’IEC, participent également aux travaux. Dans le domaine des
technologies de l'information, l'ISO et l’IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1. Formatted: Pattern: Clear
Formatted: Pattern: Clear
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors
de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.html.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information, Formatted: Pattern: Clear
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Formatted: Pattern: Clear
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur le site web de l'ISO.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l'adresse www.iso.org/fr/members.html. Formatted: Pattern: Clear
v
Introduction
La série ISO/IEC 15408 permet la comparaison entre des résultats d'évaluations de sécurité
Formatted: Pattern: Clear
indépendantes. À cet effet, elle propose un ensemble commun d'exigences applicables aux fonctionnalités
Formatted: Pattern: Clear
de sécurité des produits de technologies de l'information (IT) et aux mesures d'assurance appliquées à
ces produits IT au cours d'une évaluation de sécurité. De nombreux schémas de certification et
d'évaluation ainsi que des autorités d'évaluation ont été élaborés en utilisant la série ISO/IEC 15408 et
Formatted: Pattern: Clear
l'ISO/IEC 18045 comme base, ce qui permet de comparer les résultats des projets d'évaluation.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Un facteur important pour assurer la comparaison des résultats de ces évaluations consiste à comprendre
Formatted: Pattern: Clear
que le processus d'évaluation inclut la spécification de mesures d'assurance à la fois objectives et
subjectives. Par conséquent, la compétence des évaluateurs individuels est importante lorsque la
comparaison et la répétabilité des résultats de l'évaluation constituent le fondement de la reconnaissance
mutuelle.
L'ISO/IEC 17025 fournit des exigences générales concernant la compétence des laboratoires d'essai et Formatted: Pattern: Clear
d'étalonnage. Dans l'ISO/IEC 17025:2017, 5.2.1, il est précisé que « le personnel effectuant des tâches
Formatted: Pattern: Clear
spécifiques doit être qualifié sur la base d'une instruction, d'une formation, d'une expérience appropriées
Formatted: Pattern: Clear
et/ou d'un savoir-faire démontré ».
Formatted: Pattern: Clear
Le présent document établit une base de référence pour les compétences minimales des évaluateurs de
Formatted: Pattern: Clear
l'ISO/IEC 15408 dans le but d'établir la conformité des exigences de formation des évaluateurs
Formatted: Pattern: Clear
professionnels selon l'ISO/IEC 15408 associés aux programmes d'évaluation et aux autorités des
Formatted: Pattern: Clear
produits IT. Il fournit les exigences spécifiques permettant de démontrer la compétence des personnes
Formatted: Pattern: Clear
pour effectuer des évaluations de la sécurité des produits IT conformément à l'ISO/IEC 15408 (toutes les
parties) et à l'ISO/IEC 18045. L'ISO/IEC 15408-1 décrit le cadre général des compétences, y compris les Formatted: Pattern: Clear
différents éléments de la compétence : connaissances, savoir-faire, expérience, instruction et efficacité.
Formatted: Pattern: Clear
Le présent document inclut notamment les connaissances et les savoir-faire dans les domaines suivants.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
— Sécurité de l'information
Formatted: Pattern: Clear
Connaissances : Principes de sécurité de l'information, propriétés de sécurité de l'information,
Formatted: Pattern: Clear
menace et vulnérabilités en matière de sécurité de l'information
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Savoir-faire : Comprendre les exigences en matière de sécurité de l'information, comprendre le
contexte
Formatted: Pattern: Clear
Formatted: Pattern: Clear
— Évaluation de la sécurité de l'information
Connaissances : Connaissance de l'ISO/IEC 15408 (toutes les parties) et de l'ISO/IEC 18045, Formatted: Pattern: Clear
système de management de laboratoire
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Savoir-faire : Savoir-faire de base en matière d'évaluation, savoir-faire essentiels en matière
Formatted: Pattern: Clear
d'évaluation, savoir-faire requis lors de l'évaluation de classes d'assurance de la sécurité spécifiques,
savoir-faire requis lors de l'évaluation de classes d'exigences fonctionnelles de sécurité spécifiques Formatted: Pattern: Clear
— Architecture des systèmes d'information
Connaissances : Technologie évaluée
Savoir-faire : Comprendre l'interaction entre les composants de sécurité et les informations
vi
— Essais de sécurité de l'information
Connaissances : Techniques d'essai de la sécurité de l'information, outils d'essai de la sécurité de
l'information, cycle de vie du développement des produits, types d'essais
Savoir-faire : Créer et gérer un plan d'essai de sécurité de l'information, concevoir des essais de
sécurité de l'information, préparer et réaliser des essais de sécurité de l'information
Le public visé par le présent document comprend les autorités de validation et de certification, les
organismes de certification des laboratoires d'essai, les schémas d'évaluation, les laboratoires, les
évaluateurs et les organismes proposant des certifications professionnelles.
vii
Techniques de sécurité IT — Exigences de compétence pour
les testeurs et les évaluateurs en matière de sécurité de
l’information — Partie 3: Exigences en matière de
connaissances, compétences et efficacité des spécialistes en
évaluations ISO/IEC 15408
1 Domaine d'application
Le présent document fournit les exigences spécifiques permettant de démontrer la compétence des
personnes pour effectuer des évaluations de la sécurité des produits IT conformément à l'ISO/IEC 15408 Formatted: Pattern: Clear
(toutes les parties) et à l'ISO/IEC 18045.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
2 Références normatives
Formatted: Pattern: Clear
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur Formatted: Pattern: Clear
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
Formatted: Pattern: Clear
ISO/IEC 19896-1, Techniques de sécurité IT — Exigences de compétence pour les testeurs et les
Formatted: Pattern: Clear
évaluateurs en matière de sécurité de l’information — Partie 1: Introduction, concepts et exigences
Formatted: Pattern: Clear
générales
Formatted: Pattern: Clear
ISO/IEC 15408 (toutes les parties), Technologies de l’information — Techniques de sécurité —
Formatted: Pattern: Clear
Critères d’évaluation pour la sécurité TI
Formatted: Pattern: Clear
Formatted: Pattern: Clear
ISO/IEC 18045, Sécurité de l'information, cybersécurité et protection de la vie privée — Critères
d'évaluation pour la sécurité des technologies de l'information — Méthodologie pour l'évaluation de
Formatted: Pattern: Clear
sécurité
Formatted: Pattern: Clear
Formatted: Pattern: Clear
ISO/IEC 17025, Exigences générales concernant la compétence des laboratoires d'étalonnages et
Formatted: Pattern: Clear
d'essais
Formatted: Pattern: Clear
ISO/IEC 17025, Exigences générales concernant la compétence des laboratoires d'étalonnages et d'essais
Formatted: Pattern: Clear
Formatted: Pattern: Clear
3 Termes et définitions
Formatted: Pattern: Clear
Pour les besoins du présent document, les termes et définitions donnés dans l'ISO/IEC 19896-1,
Formatted: Pattern: Clear
l’ISO/IEC 15408-1 et l’ISO/IEC 17025, l’ISO/IEC 18045 ainsi que les suivants s'appliquent.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
L'ISOL’ISO et l'IECl’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées
Formatted: Pattern: Clear
en normalisation, consultables aux adresses suivantes ::
Formatted: Pattern: Clear
— ISO Online browsing platform : disponible à l'adressel’adresse
Formatted: Pattern: Clear
https://www.iso.org/obphttps://www.iso.org/obp
Formatted: Adjust space between Latin and Asian text,
Adjust space between Asian text and numbers
— IEC Electropedia : disponible à l'adressel’adresse https://www.electropedia.org/
Formatted: Hyperlink, No underline, Font color: Auto
3.1
schéma d'évaluation
organisation qui assure la mise en œuvre des politiques et d'un ensemble de règles, établies par une
autorité d'évaluation, définissant l'environnement d'évaluation, y compris les critères et la méthodologie
nécessaires pour mener des évaluations de la sécurité des IT
3.2
méthode subjective
méthode fondée sur l'expérience et la compréhension d'une personne donnée
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4 Connaissances
Formatted: Pattern: Clear
4.1 Généralités
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Les connaissances sont ce qu'un évaluateur connaît et peut décrire. Les paragraphes 4.2 à 4.8 traitent des
Formatted: Pattern: Clear
connaissances nécessaires pour l'évaluation selon l'ISO/IEC 15408 (toutes les parties) et
l'ISO/IEC 18045. Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.2 Connaissance de l'ISO/IEC 15408 et de l'ISO/IEC 18045
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.2.1 ISO/IEC 15408-1
Formatted: Pattern: Clear
Tous les évaluateurs doivent avoir connaissance des éléments suivants :
Formatted: Pattern: Clear
Formatted: Pattern: Clear
a) les termes et définitions définis dans l'ISO/IEC 15408-1 ;
Formatted: Pattern: Clear
b) les termes et définitions définis dans l'ISO/IEC 18045 ;
Formatted: Pattern: Clear
Formatted: Pattern: Clear
c) le contexte pour les évaluations selon l'ISO/IEC 15408 ;
Formatted: Pattern: Clear
d) le modèle général de la série ISO/IEC 15408 donné dans l'ISO/IEC 15408-1 ; Formatted: Pattern: Clear
Formatted: Pattern: Clear
e) la personnalisation des exigences de sécurité : opérations, dépendances entre composants et
Formatted: Pattern: Clear
composants étendus ;
Formatted: Pattern: Clear
f) les profils et les paquets de protection ;
Formatted: Pattern: Clear
Formatted: Pattern: Clear
g) les résultats de l'évaluation ; et
Formatted: Pattern: Clear
Formatted: Pattern: Clear
h) la spécification des cibles de sécurité.
Formatted: Pattern: Clear
4.2.2 ISO/IEC 15408-2
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous les évaluateurs doivent avoir connaissance des exigences fonctionnelles de sécurité (SFR) de
l'ISO/IEC 15408-2 qui sont utilisées pour les types de technologie avec lesquels l'évaluateur est autorisé Formatted: Pattern: Clear
à travailler, ainsi que de toute SFR dépendante. Les classes de SFR données dans l'ISO/IEC 15408-2 sont
Formatted: Pattern: Clear
les suivantes :
Formatted: Pattern: Clear
Formatted: Pattern: Clear
a) audit de sécurité (FAU) ;);
Formatted: Pattern: Clear
b) communication (FCO) ;);
Formatted: Pattern: Clear
Formatted: Pattern: Clear
c) support cryptographique (FCS) ;);
d) protection des données utilisateur (FDP) ;);
e) identification et authentification (FIA) ;);
f) gestion de la sécurité (FMT) ;);
g) confidentialité des données (FPR) ;);
h) protection des fonctions de sécurité de la cible d'évaluation (FPT) ;);
i) utilisation des ressources (FRU) ;);
j) accès à la cible d'évaluation (FTA) ;); et
k) chemin/canaux de confiance (FTP).
4.2.3 ISO/IEC 15408-3 Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous les évaluateurs doivent avoir connaissance des exigences d'assurance de sécurité (SAR) données
Formatted: Pattern: Clear
dans l'ISO/IEC 15408-3 qui sont spécifiées par les cibles de sécurité (ST) avec lesquelles l'évaluateur est
Formatted: Pattern: Clear
autorisé à travailler. La connaissance des composants particuliers de SAR doit comprendre ceux pour
lesquels l'évaluateur est autorisé à travailler. Les classes de SAR données dans l'ISO/IEC 15408-3 sont les Formatted: Pattern: Clear
suivantes :
Formatted: Pattern: Clear
Formatted: Pattern: Clear
a) développement (ADV) ;);
Formatted: Pattern: Clear
b) manuel utilisateur (AGD) ;);
Formatted: Pattern: Clear
c) prise en charge du cycle de vie (ALC) ;);
d) structure de la cible de sécurité (ASE) ;);
e) structure du profil de protection (APE) ;);
f) essais (ATE) ;);
g) évaluation de la vulnérabilité (AVA) ;); et
h) composition (ACO).
4.2.4 ISO/IEC 18045
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous les évaluateurs doivent avoir connaissance des éléments suivants :
Formatted: Pattern: Clear
a) le processus d'évaluation : ce processus est décrit dans l'ISO/IEC 18045:2008, Article 8 ; et
Formatted: Pattern: Clear
b) la méthode et les activités d'évaluation de la sécurité : ces informations sont données dans
Formatted: Pattern: Clear
l'ISO/IEC 18045.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.3 Connaissance du paradigme de l'assurance
4.3.1 Connaissance de l'autorité d'évaluation
Tous les évaluateurs doivent avoir connaissance des exigences de l'autorité ou des autorités d'évaluation
applicables aux schémas d'évaluation pour lesquels ils sont autorisés à travailler.
NOTE Parmi ces autorités d'évaluation, on peut par exemple citer l'« Accord de reconnaissance des critères
communs (CCRA, Common Criteria Recognition Agreement) » et le « Groupe des hauts fonctionnaires pour la sécurité
des systèmes d'information (SOG-IS, Senior Officials Group Information Systems Security) ».
Les exigences des autorités d'évaluation peuvent porter sur des sujets tels que :
a) le domaine d'application de l'autorité d'évaluation ;
b) les accords de reconnaissance ;
c) les politiques de l'autorité d'évaluation ;
d) les recommandations pour les schémas d'évaluation, les valideurs et les évaluateurs ;
e) les interprétations ;
f) les documents d'appui ;
g) la connaissance des normes connexes ; et
h) les exigences en matière de qualité.
4.3.2 Connaissance du schéma d'évaluation
Les schémas d'évaluation définissent généralement des aspects opérationnels tels que les politiques et
les modes opératoires qui sont spécifiques au schéma d'évaluation. Ces éléments sont souvent basés sur
le domaine d'application du schéma d'évaluation.
Tous les évaluateurs doivent avoir connaissance des éléments suivants :
a) les exigences du ou des schémas d'évaluation pour lesquels ils sont autorisés à travailler ;
EXEMPLES
— toute politique, réglementation et législation spécifiques au secteur ;
— les exigences d'approbation des laboratoires pour le système d'évaluation ;
— les politiques du schéma d'évaluation en ce qui concerne les projets d'évaluation, y compris les critères
d'entrée, les limites de durée, les exigences en matière de rapports, les exigences en matière de visites sur site ;
— les recommandations pour les valideurs et les évaluateurs ;
— les interprétations spécifiques du schéma d'évaluation ;
— les recommandations spécifiques du schéma d'évaluation ;
— les profils de protection approuvés et leurs documents connexes ;
— les méthodes et activités d'assurance spécifiques du schéma d'évaluation ; et
— les exigences d'établissement de rapports.
b) les exigences de compétences du schéma d'évaluation concernant les évaluateurs.
NOTE À ce sujet, voir l'ISO/IEC 18045:2008, A.5 pour des recommandations concernant les schémas
Formatted: Pattern: Clear
d'évaluation.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.3.3 Connaissance du laboratoire et de son système de management
Formatted: Pattern: Clear
Tous les évaluateurs doivent avoir connaissance des éléments suivants :
a) le système de management du laboratoire, y compris les politiques, processus et modes opératoires
qui s'appliquent aux évaluateurs ;
b) les méthodes approuvées par le laboratoire ; et
c) les exigences du laboratoire en matière de compétences.
NOTE La mise en œuvre des systèmes de gestion est très variable. Toutefois, il est fréquent que des éléments
tels que le contrôle des documents, des enregistrements, des travaux d'essai et/ou d'étalonnage en cas de non-
conformité, le traitement des dossiers techniques et les conflits d'intérêts relèvent de la responsabilité directe des
évaluateurs. La plupart des systèmes de management de laboratoire sont fondés sur l'ISO/IEC 17025.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.4 Connaissance de la sécurité de l'information
Tous les évaluateurs doivent avoir connaissance des éléments suivants :
a) principes de sécurité ;
b) propriétés de sécurité ;
c) mécanismes d'attaque ;
d) concepts de potentiel d'attaque ;
e) cycle de vie de développement sécurisé ;
f) essais de sécurité ; et
g) vulnérabilités et faiblesses.
4.5 Connaissance de la technologie évaluée
4.5.1 Connaissance de la technologie évaluée
Formatted: Pattern: Clear
L'ISO/IEC 15408 (toutes les parties) et l'ISO/IEC 18045 peuvent être utilisées pour l'évaluation d'une Formatted: Pattern: Clear
grande variété de technologies de l'information. Ces technologies sont souvent classées en différents
Formatted: Pattern: Clear
types de technologies par des schémas d'évaluation, des autorités d'évaluation ou autres.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous les évaluateurs doivent avoir connaissance des types de technologies de l'information qu'ils
évaluent, y compris les architectures de sécurité communes déployées pour ce type de technologie.
NOTE L'Annexe A fournit une liste informative de sujets de connaissance présentés par des types de
Formatted: Pattern: Clear
technologie couramment identifiés.
EXEMPLE Les types de technologie couramment identifiés comprennent notamment :
— les dispositifs et systèmes de contrôle d'accès ;
— le chiffrement, les systèmes de gestion de clés et de PKI (infrastructure de clé publique), les produits pour
signatures numériques ;
— les bases de données ;
— les systèmes d'exploitation ;
— les réseaux et les équipements et systèmes liés au réseau ;
— les dispositifs et systèmes mobiles ;
— les dispositifs multifonctions ;
— les circuits intégrés, les cartes à puce et les dispositifs et systèmes liés aux cartes à puce ;
— les dispositifs matériels ;
— les dispositifs et systèmes de détection ; et
— la protection des données, les dispositifs et systèmes biométriques, l'informatique de confiance.
4.5.2 Profils de protection, paquets et documents connexes
Tous les évaluateurs doivent avoir connaissance des éléments suivants, lorsqu'ils s'appliquent à la
technologie de l'information qu'ils évaluent :
a) les profils de protection, les paquets et tout document de justification connexe spécifié dans le cadre
du travail de l'évaluateur ;
b) les connaissances requises pour satisfaire à toute méthode d'évaluation et activité d'assurance
supplémentaire spécifiée comme étant applicable à une évaluation ;
c) la manière de déterminer si des interprétations ou des recommandations concernant les profils de
protection, les paquets et les documents de justification connexes ont été publiées et si elles sont
applicables à un projet d'évaluation particulier.
4.6 Connaissances requises pour des classes d'assurance spécifiques
Les évaluateurs doivent avoir les connaissances requises par les méthodes et activités d'évaluation
spécifiées pour les classes d'assurance pour lesquelles ils sont autorisés à travailler. Des exemples de
connaissances requises par l'ISO/IEC 18045 sont donnés à l'Annexe B. Formatted: Pattern: Clear
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.7 Connaissances requises lors de l'évaluation d'exigences fonctionnelles de sécurité
spécifiques
Les évaluateurs doivent avoir les connaissances requises par les exigences fonctionnelles de sécurité
qu'ils sont autorisés à évaluer, comme spécifié dans l'ISO/IEC 15408-2. Des exemples de connaissances Formatted: Pattern: Clear
requises par l'ISO/IEC 15408-2 sont donnés à l'Annexe C.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
4.8 Connaissances nécessaires lors de l'évaluation de technologies spécifiques
Formatted: Pattern: Clear
Dans la mesure où les technologies peuvent varier et sont en constante évolution, il n'est pas possible Formatted: Pattern: Clear
d'identifier l'ensemble des savoir-faire requis. L'Annexe A fournit une liste informative des connaissances
Formatted: Pattern: Clear
et des savoir-faire requis pour de nombreuses technologies. La bibliographie fournit en outre de
Formatted: Pattern: Clear
nombreuses références liées à la technologie.
Formatted: Pattern: Clear
Les connaissances liées à la technologie peuvent être obtenues par l'expérience avec cette technologie.
Une telle expérience peut être développée par :
a) la participation à une instruction relative à la technologie ;
b) le travail en tant que stagiaire aux côtés d'un évaluateur expérimenté ;
c) le travail dans le développement de la technologie ; et
d) la réalisation de recherches sur la technologie.
5 Savoir-faire
5.1 Savoir-faire d'évaluation de base
5.1.1 Méthodes d'évaluation
Tous les évaluateurs doivent disposer de savoir-faire dans les méthodes d'évaluation de base. Celles-ci
incluent des méthodes à la fois objectives et subjectives, par exemple :
a) l'échantillonnage ;
b) l'analyse statistique de base ;
c) l'observation ;
d) l'analyse ;
e) la comparaison ; et
f) l'enregistrement des résultats.
5.1.2 Outils d'évaluation
L'évaluateur doit disposer de savoir-faire dans :
a) l'utilisation des outils spécifiés par le laboratoire ou le schéma d'évaluation à l'appui de l'évaluation,
de l'établissement de rapports, de la livraison ou de la protection des documents et des résultats ;
EXEMPLES
— outils de chiffrement ; et
— outils de documentation.
b) des outils spécialisés pour certaines tâches d'évaluation, comme spécifié par le laboratoire, le schéma
d'évaluation ou les documents d'appui.
EXEMPLES
— outils mathématiques spécialisés pour l'analyse des données mesurées ;
— outils pour vérifier la mise en œuvre d'algorithmes de chiffrement.
5.2 Savoir-faire d'évaluation de base spécifiés dans l'ISO/IEC 15408-3 et l'ISO/IEC 18045 Formatted: Pattern: Clear
Formatted: Pattern: Clear
5.2.1 Principes de l'évaluation
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous les évaluateurs doivent être capables de réaliser leur travail d'une manière :
Formatted: Pattern: Clear
a) impartiale ;
b) objective ;
c) répétable ; et
d) reproductible.
5.2.2 Méthodes et activités d'évaluation
Tous les évaluateurs doivent disposer de savoir-faire dans les méthodes et activités d'évaluation de base
spécifiées dans l'ISO/IEC 18045, les profils de protection et tout document connexe. Formatted: Pattern: Clear
Formatted: Pattern: Clear
Les verbes suivants ont une signification particulière dans l'ISO/IEC 18045:2008 et l'évaluateur doit
Formatted: Pattern: Clear
posséder un savoir-faire dans la réalisation des activités conformément aux définitions de
Formatted: Pattern: Clear
l'ISO/IEC 18045:2008. Elles sont exprimées par les verbes suivants :
Formatted: Pattern: Clear
a) contrôler ;
Formatted: Pattern: Clear
Formatted: Pattern: Clear
b) confirmer ;
Formatted: Pattern: Clear
c) démontrer ;
d) décrire ;
e) déterminer ;
f) assurer ;
g) être exhaustif ;
h) examiner ;
i) expliquer ;
j) justifier ;
k) prouver ;
l) rapporter ;
m) consigner ;
n) spécifier ;
o) relier ; et
p) vérifier.
NOTE Ces termes sont définis et expliqués dans l'ISO/IEC 15408-1 ou l’ISO/IEC 18045:2008.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
5.3 Savoir-faire requis lors de l'évaluation de classes d'assurance de sécurité spécifiques
Formatted: Pattern: Clear
Formatted: Pattern: Clear
5.3.1 Généralités
Formatted: Pattern: Clear
Les évaluateurs réalisant des activités d'évaluation doivent être capables de rédiger des rapports
Formatted: Pattern: Clear
d'observation.
Les autres savoir-faire requis sont énumérés pour chaque classe dans les Tableaux 1 à 7. Dans chaque Formatted: Pattern: Clear
famille, les savoir-faire requis s'étendent à la fois en profondeur et en largeur. Les savoir-faire
supplémentaires sont énumérés dans les membres supérieurs de la famille, tandis que la profondeur
accrue des savoir-faire n'est pas explicitement mentionnée, mais doit être prise en considération lors de
l'habilitation des évaluateurs.
EXEMPLE 1 Un évaluateur qui est autorisé à évaluer ADV_FSP.2 doit être capable de contrôler les liens de
traçabilité des SFR avant d'obtenir une autorisation pour ADV_FSP.3.
EXEMPLE 2 Pour ADV_TDS.1, seuls des savoir-faire de base concernant l'architecture de la TOE sont requis,
tandis que pour ADV_TDS.6, des savoir-faire relatifs à la maîtrise des méthodes formelles pour l'architecture sont
requis.
5.3.2 Classe ADV (Développement)
Les évaluateurs effectuant des activités d'évaluation liées à la classe ADV doivent disposer des savoir-
faire identifiés dans le Tableau 1 pour les composants d'assurance jusqu'au (et y compris le) composant Formatted: Pattern: Clear
qu'ils évaluent.
Tableau 1 — Savoir-faire requis pour les évaluateurs de la classe ADV
Composant
Savoir-faire d'évaluation requis
d'assurance
a) Être capable de réaliser une vérification croisée des informations architecturales
ADV_ARC.1
avec d'autres preuves fournies pour l'évaluation.
a) Être capable d'identifier les interfaces de programmes et d'applications ;
ADV_FSP.1
b) être capable de déterminer les TSFI ;
ADV_FSP.2 Pas d'exigence supplémentaire.
ADV_FSP.3
c) être capable de contrôler les liens de traçabilité des SFR ;
ADV_FSP.4 Pas d'exigence supplémentaire.
ADV_FSP.5 d) être capable de comprendre un langage semi-formel ;
e) être capable de comprendre un langage formel ;
ADV_FSP.6
f) être capable de vérifier l'exactitude du modèle formel ainsi que l'exhaustivité du
raisonnement.
a) Utilisation des techniques d'échantillonnage ;
b) être capable de lire et de comprendre le code source ou les diagrammes du
matériel et/ou code du langage de conception du matériel des circuits intégrés
ADV_IMP.1 ou les données de configuration utilisés dans la mise en œuvre de la TOE ;
c) être capable d'utiliser des outils permettant le démasquage ou la désobfuscation ;
d) être capable de comprendre les outils de génération, leur utilisation et leurs
effets.
EXEMPLE Configurations d'un compilateur.
Formatted: Table body, Indent: Left: 0 pt, First line: 0
pt, Space Before: 0 pt, After: 0 pt, Adjust space between
ADV_IMP.2 Pas d'exigence supplémentaire.
Latin and Asian text, Adjust space between Asian text and
numbers
ADV_INT.1 Pas d'exigence supplémentaire.
a) Être capable d'identifier les normes pertinentes pour la TSF afin de déterminer
ADV_INT.2
si celle-ci est bien structurée ;
ADV_INT.3 b) être capable de juger de la complexité des éléments internes de la TSF ;
a) Être capable de comprendre le modèle de politique de sécurité et de déterminer
ADV_SPM.1
si celui-ci est complet.
ADV_TDS.1
a) Être capable de comprendre l'architecture de la TOE.
ADV_TDS.2 Pas d'exigence supplémentaire.
ADV_TDS.3 Pas d'exigence supplémentaire.
ADV_TDS.4 Pas d'exigence supplémentaire.
ADV_TDS.5 Pas d'exigence supplémentaire.
ADV_TDS.6 Pas d'exigence supplémentaire.
5.3.3 Classe AGD (Manuels utilisateur)
Les évaluateurs effectuant des activités d'évaluation liées à la classe AGD doivent disposer des savoir-
faire identifiés dans le Tableau 2 pour les composants d'assurance qu'ils évaluent. Formatted: Pattern: Clear
Tableau 2 — Savoir-faire requis pour les évaluateurs de la classe AGD
Composant
Savoir-faire d'évaluation requis
d'assurance
a) Être capable de comprendre que le fonctionnement est correct et sûr
AGD.OPE.1 conformément à la preuve.
b) Être capable de comprendre que l'installation est correcte et sûre conformément
AGD_PRE.1 à la preuve.
5.3.4 Classe ALC (Prise en charge du cycle de vie)
Les évaluateurs effectuant des activités d'évaluation liées à la classe ALC doivent disposer des savoir-
faire identifiés dans le Tableau 3 pour les composants d'assurance qu'ils évaluent. Formatted: Pattern: Clear
Tableau 3 — Savoir-faire requis pour les évaluateurs de la classe ALC
Composant
Savoir-faire d'évaluation requis
d'assurance
a) Être capable d'observer l'utilisation du système CM comme décrit dans le plan de
ALC_CMC.1 CM ;
ALC_CMC.2 Pas d'exigence supplémentaire.
ALC_CMC.3 Pas d'exigence supplémentaire.
ALC_CMC.4 Pas d'exigence supplémentaire.
ALC_CMC.5 Pas d'exigence supplémentaire.
b) être capable de comprendre le schéma de versionnage et d'identification ;
ALC_CMS.1 c) être capable de déterminer si les éléments de configuration sont identifiés de
manière unique.
Pas d'exigence supplémentaire.
ALC_CMS.2
ALC_CMS.3 Pas d'exigence supplémentaire.
ALC_CMS.4 Pas d'exigence supplémentaire.
ALC_CMS.5 Pas d'exigence supplémentaire.
a) Être capable de suivre les procédures écrites de livraison et d'installation.
ALC_DEL.1
a) Planification des visites de site ;
b) techniques d'évaluation du personnel et sur site ;
c) être capable d'observer l'application des mesures de sécurité pendant le
ALC_DVS.1 développement et la maintenance de la TOE, comme décrit dans la
documentation de sécurité du développement ;
d) être capable d'observer l'application pratique des procédures de livraison telles
que décrites dans la documentation de livraison.
Composant
Savoir-faire d'évaluation requis
d'assurance
ALC_DVS.2 Pas d'exigence supplémentaire.
a) Être capable de comprendre les processus de correction des failles.
ALC_FLR.1
ALC_FLR.2 Pas d'exigence supplémentaire.
a) Être capable d'analyser les processus du cycle de vie présenté
...