Maintenance de certificats
Le certificat atteste, au jour de sa signature, de la conformité d'un produit ou d'un système aux exigences énumérées dans sa cible de sécurité.
Ce certificat n'est valide que pour la version identifiée du produit. Pour prolonger dans le temps cette assurance, le centre de certification propose les procédures de surveillance et de continuité de l'assurance.
Surveillance
La validité d’un certificat dans la durée est essentiellement liée à la capacité du produit certifié à résister aux nouvelles attaques qui apparaissent au cours du temps. Le processus de surveillance d’un produit certifié proposé par le centre de certification permet de répondre à ce besoin.
La procédure est décrite dans la page du référentiel CCN.
Il s’agit essentiellement, pour le centre d’évaluation, de revoir régulièrement l’analyse de vulnérabilité qui avait été réalisée lors de l’évaluation initiale du produit. Tant que le centre d’évaluation en charge de cette surveillance ne trouve pas nouvelles vulnérabilités exploitables, le certificat est considéré comme surveillé.
La demande de mise sous surveillance est formulée sur l’initiative du commanditaire [SUR/F/01 ] une fois le produit certifié.
Continuité de l’assurance
Il est habituel qu’un produit subisse des évolutions et par conséquent change de version. Le certificat ne s’applique pas à ces nouvelles versions.
Toutefois, certaines évolutions ont un impact qui ne touche pas la sécurité du produit. Afin de pouvoir attester que le certificat émis sur le produit initial n’est pas remis en cause par ces évolutions, le centre de certification propose un processus de Continuité de l’assurance.
La procédure qui est décrite dans le document [MAI/P/01 ] est la mise en œuvre dans le schéma français de l’Assurance continuity proposée par le projet Critères Communs.
La demande de continuité de l’assurance est formulée sur l’initiative du commanditaire [MAI/F/01 ] en référence à la version certifiée du produit. Ce processus ne nécessite pas l’intervention d’un centre d’évaluation.
Une analyse du développeur justifiant l’impact lié aux évolutions du produit est fournie au centre de certification qui confirme ou non la continuité de l’assurance. Cette confirmation peut être publiée sur le site de l’ANSSI. Elle donne les informations aux utilisateurs du produit leur permettant d’apprécier si le certificat du produit initialement certifié peut être étendu à la nouvelle version du produit.
La continuité de l’assurance ne se prononce pas sur la capacité du produit à résister à de nouvelles attaques depuis sa certification initiale.
Certification d’une nouvelle version d’un produit certifié
Dans le cas d’une évolution qui ne permet pas la continuité de l’assurance, une évaluation de la nouvelle version du produit est nécessaire pour garantir la confiance dans la sécurité du produit, au regard des exigences fixées dans la cible de sécurité.
Cette nouvelle évaluation peut être réalisée en utilisant au maximum les résultats validés dans l’évaluation précédente. Ceci permet de réduire les charges et les délais d’évaluation.