V.1 Rapport de certification
1. Sur la base des rapports techniques d’évaluation fournis par le CESTI, l’organisme de certification établit un rapport de certification à publier avec le certificat EUCC et la cible de sécurité correspondants.
2. Le rapport de certification est une source d’informations détaillées et pratiques sur le produit TIC et sur le déploiement sécurisé du produit TIC. C’est pourquoi ce rapport inclut toutes les informations publiquement disponibles et partageables pertinentes pour les utilisateurs et les parties intéressées. Les informations publiquement disponibles et partageables peuvent être référencées dans le rapport de certification.
3. Le rapport de certification contient au moins les informations suivantes:
a) un résumé;
b) l’identification du produit TIC;
c) les informations de contact concernant l’évaluation du produit TIC;
d) les politiques de sécurité;
e) les hypothèses et les éclaircissements quant au champ d’application;
f) les informations architecturales;
g) les informations supplémentaires sur la cybersécurité, le cas échéant;
h) un résumé de l’évaluation du produit TIC et la configuration évaluée;
i) les résultats de l’évaluation et les informations relatives au certificat;
j) des observations et des recommandations, le cas échéant;
k) des annexes, le cas échéant;
l) une référence à la cible de sécurité du produit TIC soumis à la certification;
m) le cas échéant, la marque ou l’étiquette associée au schéma;
n) un glossaire, le cas échéant;
o) une bibliographie.
4. Le résumé visé au paragraphe 3, point a), est une brève synthèse de l’ensemble du rapport de certification. Il fournit un aperçu clair et concis des résultats de l’évaluation et inclut les informations suivantes:
a) le nom du produit TIC évalué;
b) le nom du CESTI qui a réalisé l’évaluation;
c) la date de fin de l’évaluation;
d) la date de délivrance du certificat;
e) le cas échéant, la date de délivrance du certificat initial;
f) la période de validité;
g) l’identifiant unique du certificat tel que décrit à l’article 11;
h) une brève description des résultats du rapport de certification, y compris:
i) la version et, le cas échéant, l’édition des critères communs appliqués à l’évaluation;
ii) le paquet d’assurance ou la liste des composants d’assurance de sécurité des critères communs, y compris le niveau AVA_VAN appliqué pendant l’évaluation et le niveau d’assurance correspondant tel qu’énoncé à l’article 52 du règlement (UE) 2019/881 auquel le certificat EUCC fait référence;
iii) le cas échéant, le ou les profils de protection avec lesquels le produit TIC revendique la conformité;
iv) la référence à la politique de sécurité du produit TIC évalué;
v) la ou les clauses de non-responsabilité, le cas échéant.
5. L’identification visée au paragraphe 3, point b), identifie clairement le produit TIC évalué, y compris en indiquant les informations suivantes:
a) l’identifiant unique du produit TIC évalué;
b) l’énumération des composants du produit TIC qui font partie de l’évaluation, avec le numéro de version de chaque composant;
c) la référence aux exigences supplémentaires relatives à l’environnement opérationnel du produit TIC certifié.
6. Les coordonnées visées au paragraphe 3, point c), contiennent au moins les informations suivantes:
a) le nom du développeur;
b) le nom et les coordonnées du titulaire du certificat EUCC;
c) le nom de l’organisme de certification qui a délivré le certificat;
d) l’autorité nationale de certification de cybersécurité responsable;
e) le nom du CESTI qui a réalisé l’évaluation et, le cas échéant, la liste des sous-traitants.
7. Les politiques de sécurité visées au paragraphe 3, point d), contiennent la description de la politique de sécurité du produit TIC en tant qu’ensemble de services de sécurité et les politiques ou règles que le produit TIC évalué met en œuvre ou auxquelles il se conforme. Elles contiennent également les informations suivantes:
a) une description des procédures de gestion et de divulgation des vulnérabilités du titulaire du certificat, à compléter uniquement par des informations pouvant être mises à la disposition du public;
b) la politique de continuité de l’assurance du titulaire du certificat, y compris, le cas échéant, la description des processus de production ou de gestion du cycle de vie du titulaire du certificat conformément à l’annexe IV, point IV.1;
c) le cas échéant, la présence d’une procédure de gestion des correctifs et le résultat de son évaluation conformément à l’annexe IV, point IV.4.
8. Les hypothèses et les éclaircissements quant au champ d’application visés au paragraphe 3, point e), contiennent des informations concernant les circonstances et les objectifs liés à l’utilisation prévue du produit telle que visée à l’article 7, paragraphe 1, point c), et incluent les informations suivantes:
a) des hypothèses sur l’utilisation et le déploiement du produit TIC sous la forme d’exigences minimales, telles que l’installation et la configuration correctes et la satisfaction des exigences en matière de matériel;
b) des hypothèses sur l’environnement pour le fonctionnement conforme du produit TIC.
c) une description de toute menace pour le produit TIC qui n’est pas prise en charge par les fonctions de sécurité évaluées du produit en fonction de l’utilisation prévue, si cela est jugé pertinent pour un utilisateur potentiel du produit TIC.
Les informations énumérées au premier alinéa sont aussi claires et compréhensibles que possible afin que les utilisateurs potentiels du produit TIC certifié puissent prendre des décisions éclairées quant aux risques associés à son utilisation.
9. Les informations architecturales visées au paragraphe 3, point f), comprennent une description détaillée du produit TIC et de ses principaux composants, sur la base des éléments livrables définis dans les exigences en matière d’assurance de la famille de CC Development - TOE Design (ADV_TDS).
10. Les informations supplémentaires sur la cybersécurité visées au paragraphe 3, point g), comprennent le lien vers le site internet du titulaire du certificat EUCC visé à l’article 55 du règlement (UE) 2019/881.
11. L’évaluation et la configuration du produit TIC visées au paragraphe 3, point h), décrivent les efforts d’essais du développeur et de l’évaluateur, en décrivant l’approche, la configuration et l’ampleur des essais. Elles contiennent au moins les informations suivantes:
a) l’identification des composants d’assurance utilisés dans les normes visées à l’article 3;
b) la version des documents de référence et les autres critères d’évaluation de la sécurité utilisés dans l’évaluation;
c) les paramètres et la configuration de la cible d’évaluation utilisés pour les essais et l’analyse de la vulnérabilité;
d) tout profil de protection utilisé, y compris les informations suivantes: le nom du profil de protection, la version, la date et le certificat.
12. Les résultats de l’évaluation et les informations relatives au certificat visés au paragraphe 3, point i), comprennent des informations sur le niveau d’assurance atteint comme indiqué à l’article 4 du présent règlement et à l’article 52 du règlement (UE) 2019/881.
13. Les observations et recommandations visées au paragraphe 3, point j), sont utilisées pour communiquer des informations supplémentaires sur les résultats de l’évaluation. Ces observations et recommandations peuvent prendre la forme de lacunes du produit TIC découvertes au cours de l’évaluation ou de mentions de caractéristiques particulièrement utiles.
14. Les annexes visées au paragraphe 3, point k), sont utilisées pour décrire toute information supplémentaire qui pourrait être utile pour le public cible du rapport mais qui ne peuvent pas être logiquement incluses dans les sections prescrites du rapport, y compris dans les cas d’une description complète de la politique de sécurité.
15. La cible de sécurité visé au paragraphe 3, point l), mentionne la cible de sécurité évaluée. La cible de sécurité évaluée est accompagnée du rapport de certification aux fins de la publication sur le site internet visé à l’article 50, paragraphe 1, du règlement (UE) 2019/881. Lorsqu’un assainissement de la cible de sécurité évaluée s’impose avant la publication, il est effectué conformément à l’annexe V, point V.2, du présent règlement.
16. Les marques ou les étiquettes associées au schéma EUCC visées au paragraphe 3, point m), sont insérées dans le rapport de certification conformément aux règles et procédures prévues à l’article 11.
17. Le glossaire visé au paragraphe 3, point n), est utilisé pour faciliter la lecture du rapport au moyen de définitions d’acronymes ou de termes dont le sens peut ne pas ressortir clairement.
18. La bibliographie visée au paragraphe 3, point o), comprend les références à tous les documents utilisés pour l’élaboration du rapport de certification. Ces informations comprennent au moins les éléments suivants:
a) les critères d’évaluation de la sécurité, les documents de référence et les autres spécifications pertinentes utilisées;
b) le rapport technique d’évaluation;
c) le rapport technique d’évaluation pour l’évaluation composite, le cas échéant;
d) la documentation de référence technique;
e) les orientations en matière de sécurité pour les développeurs;
f) la liste de configuration pour les développeurs.
Afin de garantir la possibilité de reproduire l’évaluation, toute la documentation à laquelle il est fait référence doit être identifiée de manière unique avec la date de publication et le numéro de version appropriés.
V.2 Assainissement d’une cible de sécurité en vue de sa publication
1. La cible de sécurité à inclure dans le rapport de certification ou à laquelle ce dernier fait référence conformément à la section VI.1, point 1, peut être assainie en supprimant ou en paraphrasant des informations techniques exclusives.
2. La cible de sécurité assainie qui en résulte est une représentation réelle de sa version originale complète. Cela signifie que la cible de sécurité assainie ne peut pas omettre d’informations nécessaires à la compréhension des propriétés de sécurité de la cible d’évaluation et de la portée de l’évaluation.
3. Le contenu de la cible de sécurité assainie est conforme aux exigences minimales suivantes:
a) l’introduction n’est pas assainie car elle ne contient pas d’informations exclusives en général;
b) la cible de sécurité assainie doit avoir un identifiant unique distinct de sa version originale complète;
c) la description de la cible d’évaluation peut être réduite car elle peut inclure des informations exclusives et détaillées sur la conception de la cible d’évaluation qui ne devraient pas être publiées;
d) la description de l’environnement de sécurité de la cible d’évaluation (hypothèses, menaces, politiques de sécurité de l’organisation) n’est pas réduite dans la mesure où cette information est nécessaire pour comprendre la portée de l’évaluation;
e) les objectifs de sécurité ne sont pas réduits, car toutes les informations doivent être rendues publiques pour comprendre l’intention de la cible de sécurité et de la cible d’évaluation;
f) toutes les exigences de sécurité sont rendues publiques. Les notes d’application peuvent donner des informations sur la manière dont les exigences fonctionnelles des critères communs visés à l’article 3 ont été utilisées pour comprendre la cible de sécurité;
g) le résumé de la cible d’évaluation comprend toutes les fonctions de sécurité de la cible d’évaluation, mais les informations exclusives supplémentaires peuvent être retirées;
h) les références aux profils de protection appliqués à la cible d’évaluation sont incluses;
i) la justification peut être assainie pour supprimer les informations exclusives.
4. Même si la cible de sécurité assainie n’est pas formellement évaluée conformément aux normes d’évaluation visées à l’article 3, l’organisme de certification veille à ce qu’elle soit conforme à la cible de sécurité complète et évaluée, et fait référence à la cible de sécurité complète et assainie dans le rapport de certification.