Common Criteria (CC)

Définition

Les Critères Communs (Common Criteria, CC) constituent une norme internationale d'évaluation de la sécurité des technologies de l'information, normalisée sous ISO/IEC 15408, fournissant un cadre méthodologique commun pour spécifier, évaluer et certifier les propriétés de sécurité d'un produit IT indépendamment de son fabricant ou de son pays d'origine. L'évaluation s'articule autour de deux concepts clés : le Profil de Protection (PP), document indépendant définissant des exigences de sécurité génériques pour une catégorie de produits (pare-feu, carte à puce, système d'exploitation), et la Cible de Sécurité (ST), spécifique à un produit donné et servant de référence à son évaluation. Le niveau de confiance obtenu est exprimé par un EAL (Evaluation Assurance Level) gradué de EAL1, le plus faible, à EAL7, réservé aux environnements à très haut risque nécessitant une vérification formelle des spécifications. Les évaluations sont conduites par des laboratoires accrédités (CESTI en France, sous supervision ANSSI) et reconnues mutuellement entre pays signataires du Common Criteria Recognition Arrangement (CCRA), qui compte une trentaine de pays mais limite la reconnaissance mutuelle automatique aux évaluations jusqu'à EAL2 depuis 2014. La certification CC est fréquemment exigée pour les produits de sécurité destinés aux administrations, aux OIV ou aux environnements de défense, notamment les HSM, cartes à puce et pare-feux industriels.