ISO/IEC 19896-3:2018
(Main)IT security techniques — Competence requirements for information security testers and evaluators — Part 3: Knowledge, skills and effectiveness requirements for ISO/IEC 15408 evaluators
IT security techniques — Competence requirements for information security testers and evaluators — Part 3: Knowledge, skills and effectiveness requirements for ISO/IEC 15408 evaluators
This document provides the specialized requirements to demonstrate competence of individuals in performing IT product security evaluations in accordance with ISO/IEC 15408 (all parts) and ISO/IEC 18045.
Techniques de sécurité IT — Exigences de compétence pour les testeurs et les évaluateurs en matière de sécurité de l'information — Partie 3: Exigences en matière de connaissances, compétences et efficacité des spécialistes en évaluations ISO/IEC 15408
Le présent document fournit les exigences spécifiques permettant de démontrer la compétence des personnes pour effectuer des évaluations de la sécurité des produits IT conformément à l'ISO/IEC 15408 (toutes les parties) et à l'ISO/IEC 18045.
General Information
Relations
Standards Content (Sample)
NORME ISO/IEC
INTERNATIONALE 19896-3
Première édition
2018-08
Techniques de sécurité IT — Exigences
de compétence pour les testeurs et les
évaluateurs en matière de sécurité de
l'information —
Partie 3:
Exigences en matière de
connaissances, compétences
et efficacité des spécialistes en
évaluations ISO/IEC 15408
IT security techniques — Competence requirements for information
security testers and evaluators —
Part 3: Knowledge, skills and effectiveness requirements for ISO/IEC
15408 evaluators
Numéro de référence
© ISO/IEC 2018
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2018
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
© ISO/IEC 2018 – Tous droits réservés
Sommaire Page
Avant-propos .v
Introduction . vi
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Connaissances . . 2
4.1 Généralités . 2
4.2 Connaissance de l'ISO/IEC 15408 et de l'ISO/IEC 18045 . 2
4.2.1 ISO/IEC 15408-1 . 2
4.2.2 ISO/IEC 15408-2 . 2
4.2.3 ISO/IEC 15408-3 . 3
4.2.4 ISO/IEC 18045 . 3
4.3 Connaissance du paradigme de l'assurance . 3
4.3.1 Connaissance de l'autorité d'évaluation . 3
4.3.2 Connaissance du schéma d'évaluation . 4
4.3.3 Connaissance du laboratoire et de son système de management . 4
4.4 Connaissance de la sécurité de l'information . 4
4.5 Connaissance de la technologie évaluée . 5
4.5.1 Connaissance de la technologie évaluée. 5
4.5.2 Profils de protection, paquets et documents connexes . 5
4.6 Connaissances requises pour des classes d'assurance spécifiques. 6
4.7 Connaissances requises lors de l'évaluation d'exigences fonctionnelles de sécurité
spécifiques . 6
4.8 Connaissances nécessaires lors de l'évaluation de technologies spécifiques . 6
5 Savoir-faire . 6
5.1 Savoir-faire d'évaluation de base . 6
5.1.1 Méthodes d'évaluation . 6
5.1.2 Outils d'évaluation . 6
5.2 Savoir-faire d'évaluation de base spécifiés dans l'ISO/IEC 15408-3 et l'ISO/
IEC 18045 . 7
5.2.1 Principes de l'évaluation . 7
5.2.2 Méthodes et activités d'évaluation . 7
5.3 Savoir-faire requis lors de l'évaluation de classes d'assurance de sécurité
spécifiques . 8
5.3.1 Généralités . 8
5.3.2 Classe ADV (Développement) . 8
5.3.3 Classe AGD (Manuels utilisateur) . 9
5.3.4 Classe ALC (Prise en charge du cycle de vie) . 9
5.3.5 Classes ASE et APE (évaluation ST et PP) . 10
5.3.6 Classe ATE (Essais) . 11
5.3.7 Classe AVA (Évaluation de la vulnérabilité) . 11
5.3.8 Classe ACO (Composition) .12
5.4 Savoir-faire requis lors de l'évaluation de classes d'exigences fonctionnelles de
sécurité spécifiques .13
5.4.1 Généralités .13
5.4.2 Savoir-faire requis lors de l'évaluation de la classe FCS (Support
cryptographique) .13
5.5 Savoir-faire nécessaires lors de l'évaluation de technologies spécifiques .13
6 Expérience .13
7 Instruction .13
8 Efficacité .14
iii
© ISO/IEC 2018 – Tous droits réservés
8.1 Généralités . 14
8.2 Efficacité de l'évaluation . 14
8.3 Responsabilités des schémas d'évaluation concernant l'efficacité des évaluateurs . 14
8.4 Efficacité pour la réalisation d'évaluations en temps opportun . 14
8.5 Efficacité pour la réalisation d'évaluations exactes . 14
8.6 Efficacité concernant le rapportage des résultats . 15
Annexe A (informative) Types de technologie: Connaissances et savoir-faire .16
Annexe B (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences d'assurance de la sécurité .21
Annexe C (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences fonctionnelles de sécurité .29
Bibliographie .33
iv
© ISO/IEC 2018 – Tous droits réservés
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l’IEC participent au développement de Normes internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l’IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l’IEC, participent également aux travaux. Dans le domaine
des technologies de l'information, l'ISO et l’IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations
de brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/iso/fr/avant-propos.html.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur le site web de l'ISO.
Il convient que l'utilisateur adr
...
ISO/IEC JTC 1/SC 27
Date : 2023-01-23: 2018-08
ISO/IEC JTC 1/SC 27
Secrétariat : DIN
Techniques de sécurité IT — Exigences de compétence pour les testeurs et les
évaluateurs en matière de sécurité de l’information — Partie 3 : Exigences en
matière de connaissances, compétences et efficacité des spécialistes en
évaluations ISO/IEC 15408
IT security techniques — Competence requirements for information security
testers and evaluators — Part 3: Knowledge, skills and effectiveness
requirements for ISO/IEC 15408 evaluators
ICS : 35.030
Type de document : Error! Reference source not found.
Sous-type de document :
Stade du document : Error! Reference source not found.
Langue du document : Error! Reference source not found.
Formatted
DOCUMENT PROTÉGÉ PAR COPYRIGHT
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en
œuvre, aucune partie de cette publication ne peut être reproduite ni utilisée sous quelque forme
que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie, l'affichage
sur l'internet ou sur un Intranet, sans autorisation écrite préalable. Les demandes d'autorisation
peuvent être adressées à l'ISO à l'adresse ci-après ou au comité membre de l'ISO dans le pays du
demandeur.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél. :.: + 41 22 749 01 11
Fax : + 41 22 749 09 47
E-mail : copyright@iso.org
Web : www.iso.org
Publié en Suisse
ii
Sommaire Page
Avant-propos . v
Introduction. vi
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Connaissances . 2
4.1 Généralités . 2
4.2 Connaissance de l'ISO/IEC 15408 et de l'ISO/IEC 18045 . 2
4.2.1 ISO/IEC 15408-1 . 2
4.2.2 ISO/IEC 15408-2 . 2
4.2.3 ISO/IEC 15408-3 . 3
4.2.4 ISO/IEC 18045 . 3
4.3 Connaissance du paradigme de l'assurance . 3
4.3.1 Connaissance de l'autorité d'évaluation . 3
4.3.2 Connaissance du schéma d'évaluation . 4
4.3.3 Connaissance du laboratoire et de son système de management . 5
4.4 Connaissance de la sécurité de l'information . 5
4.5 Connaissance de la technologie évaluée . 5
4.5.1 Connaissance de la technologie évaluée . 5
4.5.2 Profils de protection, paquets et documents connexes . 6
4.6 Connaissances requises pour des classes d'assurance spécifiques . 6
4.7 Connaissances requises lors de l'évaluation d'exigences fonctionnelles de sécurité
spécifiques . 7
4.8 Connaissances nécessaires lors de l'évaluation de technologies spécifiques . 7
5 Savoir-faire . 7
5.1 Savoir-faire d'évaluation de base . 7
5.1.1 Méthodes d'évaluation . 7
5.1.2 Outils d'évaluation . 8
5.2 Savoir-faire d'évaluation de base spécifiés dans l'ISO/IEC 15408-3 et
l'ISO/IEC 18045 . 8
5.2.1 Principes de l'évaluation . 8
5.2.2 Méthodes et activités d'évaluation . 8
5.3 Savoir-faire requis lors de l'évaluation de classes d'assurance de sécurité
spécifiques . 9
5.3.1 Généralités . 9
5.3.2 Classe ADV (Développement) . 9
5.3.3 Classe AGD (Manuels utilisateur) . 11
5.3.4 Classe ALC (Prise en charge du cycle de vie) . 11
5.3.5 Classes ASE et APE (évaluation ST et PP) . 12
5.3.6 Classe ATE (Essais) . 13
5.3.7 Classe AVA (Évaluation de la vulnérabilité) . 14
iii
5.3.8 Classe ACO (Composition) . 15
5.4 Savoir-faire requis lors de l'évaluation de classes d'exigences fonctionnelles de
sécurité spécifiques . 15
5.4.1 Généralités . 15
5.4.2 Savoir-faire requis lors de l'évaluation de la classe FCS (Support cryptographique) . 15
5.5 Savoir-faire nécessaires lors de l'évaluation de technologies spécifiques . 16
6 Expérience . 16
7 Instruction . 16
8 Efficacité . 17
8.1 Généralités . 17
8.2 Efficacité de l'évaluation . 17
8.3 Responsabilités des schémas d'évaluation concernant l'efficacité des évaluateurs . 18
8.4 Efficacité pour la réalisation d'évaluations en temps opportun . 18
8.5 Efficacité pour la réalisation d'évaluations exactes . 18
8.6 Efficacité concernant le rapportage des résultats . 18
Annexe A (informative) Types de technologie : Connaissances et savoir-faire . 19
Annexe B (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences d'assurance de la sécurité . 25
Annexe C (informative) Exemples de connaissances requises pour l'évaluation des classes
d'exigences fonctionnelles de sécurité . 35
Bibliographie . 39
iv
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes nationaux
membres de l'ISO ou de l’IEC participent au développement de Normes internationales par
l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des domaines
particuliers de l'activité technique. Les comités techniques de l'ISO et de l’IEC collaborent dans des
domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l’IEC, participent également aux travaux. Dans le domaine des
technologies de l'information, l'ISO et l’IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1. Formatted: Pattern: Clear
Formatted: Pattern: Clear
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors
de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.html.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information, Formatted: Pattern: Clear
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Formatted: Pattern: Clear
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur le site web de l'ISO.
Formatted: Pattern: Clear
Formatted: Pattern: Clear
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l'adresse www.iso.org/fr/members.html. Formatted: Pattern: Clear
v
Introduction
La série ISO/IEC 15408 permet la comparaison entre des résultats d'évaluations de sécurité
Formatted: Pattern: Clear
indépendantes. À cet effet, elle propose un ensemble commun d'exigences applicables aux fonctionnalités
Formatted: Pattern: Clear
de sécurité des produits de technologies de l'information (IT) et aux mesures d'assurance appliquées à
ces produits IT au cours d'une évaluation de sécurité. De nombreux schémas de certification et
d'évaluation ainsi que des autorités d'évaluation ont été élaborés en utilisant la série ISO/IEC 15408 et
Formatted: Pattern: Clear
l'ISO/IEC 18045 comme base, ce qui permet de comparer les résultats des pro
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.