1. Audit de la mise en œuvre d’une solution de portefeuille
Une activité d’évaluation de la conformité consiste à sélectionner des activités d’évaluation spécifiques.
Les schémas nationaux de certification spécifient une activité d’évaluation destinée à évaluer les informations fournies, couvrant au moins les éléments suivants:
a) une analyse des informations fournies pour confirmer qu’elles sont adaptées à l’une des architectures spécifiées dans les schémas nationaux de certification;
b) une analyse de la couverture des risques et menaces de cybersécurité recensés dans le registre des risques visé à l’annexe I par les contrôles de sécurité décrits.
L’analyse visée aux points a) et b) se fonde sur les motifs et la justification fournis par le fournisseur de portefeuille.
2. Activités d’évaluation liées au dispositif cryptographique sécurisé de portefeuille (WSCD)
1) Il n’est pas obligatoire que les opérations critiques, y compris les calculs cryptographiques, soient pleinement mises en œuvre dans le WSCD. Cependant, la partie mise en œuvre dans le WSCD, lorsqu’elle fonctionne comme un élément de la solution de portefeuille, garantit la protection des opérations critiques qu’elle effectue contre les attaques perpétrées par des attaquants ayant un potentiel d’attaque élevé conformément au règlement d’exécution (UE) 2015/1502 de la Commission.
2) Tout ou partie du WSCD peut être inclus dans l’objet de la certification lorsqu’il est fourni par le titulaire du certificat ou le demandeur, ou en être exclu lorsqu’il est intégré dans un dispositif fourni par l’utilisateur final. En outre, les schémas nationaux de certification spécifient les activités d’évaluation destinées à vérifier l’adéquation du WSCD, dans les deux cas suivants:
a) si la WSCA dépend du WSCD considéré (c’est-à-dire si elle doit être évaluée en tant que produit composite basé sur le WSCD), l’évaluation de la WSCA requiert d’accéder à des informations supplémentaires relatives à la certification du WSCD, y compris, en particulier, son rapport technique d’évaluation;
b) si une architecture envisagée dans le schéma utilise plusieurs WSCD, ou si certaines des opérations portant sur des actifs critiques sont réalisées en dehors du WSCD, les schémas nationaux de certification comprennent des activités d’évaluation destinées à garantir que la solution globale offre le niveau de sécurité attendu.
3) Comme condition préalable à la certification dans le cadre des schémas nationaux de certification, le WSCD est évalué au regard des exigences du niveau de garantie élevé énoncées dans le règlement d’exécution (UE) 2015/1502.
Lorsque les conditions prévues à l’article 3, paragraphe 3, point b), sont remplies, l’évaluation de tout ou partie du WSCD comprend une évaluation de la vulnérabilité telle que définie dans la norme EN ISO/IEC 15408-3:2022 au niveau AVA_VAN.5, conformément à l’annexe I du règlement d’exécution (UE) 2024/482 de la Commission, sauf à justifier dûment auprès de l’organisme de certification que les caractéristiques de sécurité de la WSCA permettent d’utiliser un niveau d’évaluation inférieur tout en maintenant globalement le même niveau de garantie élevé que celui prévu dans le règlement d’exécution (UE) 2015/1502.
4) En outre, dans la documentation relative à chaque architecture spécifique, les schémas nationaux de certification formulent des hypothèses pour l’évaluation du WSCD en vertu de laquelle une résistance peut être offerte aux attaquants ayant un potentiel d’attaque élevé conformément au règlement d’exécution (UE) 2015/1502 et spécifient les activités d’évaluation destinées à confirmer ces hypothèses et à confirmer, après la délivrance du certificat, que les hypothèses sont toujours vérifiées. Les schémas nationaux exigent également des candidats à la certification qu’ils affinent ces hypothèses en fonction de leur mise en œuvre spécifique et qu’ils décrivent les mesures mises en place pour garantir que les hypothèses sont vérifiées tout au long du cycle de certification.
5) Dans tous les cas, les schémas nationaux de certification comprennent une activité d’évaluation destinée à vérifier que les informations en matière de garantie disponibles pour le WSCD sont adaptées aux fins de la solution de portefeuille en procédant à une analyse des informations en matière de garantie, telles que la cible de sécurité pour les certificats EUCC, comprenant les activités suivantes:
a) vérifier que la portée de l’évaluation est appropriée, ce qui implique, pour les certificats EUCC, par exemple, de vérifier que les cibles de sécurité sont conformes à l’un des profils de protection recommandés dans l’EUCC;
b) vérifier que les hypothèses relatives à l’environnement d’exploitation sont compatibles avec la solution de portefeuille, ce qui signifie, pour les certificats EUCC, par exemple, que ces hypothèses se retrouvent dans la cible de sécurité;
c) vérifier que les recommandations figurant dans les consignes d’utilisation ou dans la documentation de l’utilisateur sont compatibles avec les conditions d’utilisation du WSCD dans la solution de portefeuille;
d) vérifier que les hypothèses formulées dans le schéma national de certification concernant les WSCD sont vérifiées et couvertes par les informations en matière de garantie.
6) Dans les cas où certaines vérifications ne sont pas totalement concluantes, les schémas nationaux de certification exigent des organismes de certification qu’ils définissent des exigences de compensation pour l’application cryptographique sécurisée de portefeuille (WSCA) sur la base du WSCD, qui doivent figurer dans l’évaluation de la WSCA. À défaut, les schémas nationaux de certification considèrent que le WSCD n’est pas approprié, ce qui signifie que la solution de portefeuille ne reçoit pas de certificat de conformité.
3. Activités d’évaluation liées à l’application cryptographique sécurisée de portefeuille (WSCA)
1) Les schémas nationaux de certification exigent qu’une WSCA, dans le cadre d’une solution de portefeuille, soit évaluée au regard des exigences correspondant au minimum à un niveau de garantie élevé au sens du règlement d’exécution (UE) 2015/1502.
2) Cette évaluation comprend une évaluation de la vulnérabilité telle que définie dans la norme EN ISO/IEC 15408-3:2022 au niveau AVA_VAN.5, conformément à l’annexe I du règlement d’exécution (UE) 2024/482, sauf à justifier dûment auprès de l’organisme de certification que les caractéristiques de sécurité de la WSCA permettent d’utiliser un niveau d’évaluation inférieur tout en maintenant globalement le même niveau de garantie élevé que celui prévu dans le règlement d’exécution (UE) 2015/1502.
3) Lorsque la WSCA n’est pas fournie par le fournisseur de portefeuille, les schémas nationaux de certification formulent des hypothèses pour l’évaluation de la WSCA en vertu de laquelle une résistance peut être offerte aux attaquants ayant un potentiel d’attaque élevé conformément au règlement d’exécution (UE) 2015/1502 et spécifient les activités d’évaluation destinées à confirmer ces hypothèses et à confirmer, après la délivrance du certificat, que les hypothèses sont toujours vérifiées. Les schémas nationaux exigent également des candidats à la certification qu’ils affinent ces hypothèses en fonction de leur mise en œuvre spécifique et qu’ils décrivent les mesures mises en place pour garantir que les hypothèses sont vérifiées tout au long du cycle de certification.
4) Dans tous les cas, les schémas nationaux de certification comprennent une activité d’évaluation destinée à vérifier que les informations en matière de garantie disponibles pour la WSCA sont adaptées aux fins de la solution de portefeuille en procédant à une analyse des informations en matière de garantie, telles que la cible de sécurité pour les certificats EUCC, comprenant les activités suivantes:
a) vérifier que la portée de l’évaluation est appropriée, ce qui implique, pour les certificats EUCC, par exemple, de vérifier que les cibles de sécurité sont conformes à l’un des profils de protection recommandés dans l’EUCC;
b) vérifier que les hypothèses relatives à l’environnement d’exploitation sont compatibles avec la solution de portefeuille, ce qui signifie, pour les certificats EUCC, par exemple, que ces hypothèses se retrouvent dans la cible de sécurité;
c) vérifier que les recommandations figurant dans les consignes d’utilisation ou dans la documentation de l’utilisateur sont compatibles avec les conditions d’utilisation de la WSCA dans la solution de portefeuille;
d) vérifier que les hypothèses formulées dans le schéma national de certification concernant les WSCA sont vérifiées et couvertes par les informations en matière de garantie.
5) Les schémas nationaux de certification exigent que l’évaluation de la WSCA couvre tous les contrôles de sécurité mis en œuvre par cette WSCA.
4. Activités d’évaluation liées à l’appareil de l’utilisateur final
Étant donné que le registre des risques, tel qu’il est prévu à l’annexe I du présent règlement, recense les risques qui sont directement liés à la sécurité de l’appareil de l’utilisateur final, les schémas nationaux de certification définissent les exigences de sécurité applicables auxdits appareils. Toutefois, ces appareils étant fournis par l’utilisateur final et non par le fournisseur de portefeuille, ces exigences doivent être couvertes par des hypothèses.
Pour chaque hypothèse, la solution de portefeuille doit comporter un mécanisme permettant de vérifier, pour chaque unité de portefeuille, que l’appareil sous-jacent de l’utilisateur final satisfait à l’hypothèse. Ces mécanismes sont considérés comme des contrôles de sécurité et font l’objet d’activités d’évaluation destinées à démontrer à la fois leur adéquation et leur efficacité au niveau de garantie approprié.
En voici deux exemples:
a) un appareil d’utilisateur final peut comporter un WSCD certifié, cette certification devant être démontrée. Pour ce faire, il est classiquement fait usage d’un mécanisme cryptographique permettant de vérifier la présence, dans le WSCD certifié, d’un secret cryptographique qui est présent uniquement dans le WSCD certifié. Dans ce cas, ce secret cryptographique devrait être considéré comme un actif critique et être couvert par la certification du WSCD et/ou de la WSCA;
b) une exigence classique applicable aux appareils des utilisateurs finaux concerne l’obligation de procéder à des mises à jour de sécurité. Étant donné que cette exigence est liée à l’instance de portefeuille, le mécanisme utilisé pour vérifier la disponibilité des mises à jour de sécurité ne doit faire l’objet d’activités d’évaluation qu’à un niveau de garantie adapté à l’instance de portefeuille, d’autant plus qu’il est susceptible d’être intégré dans l’instance de portefeuille.
5. Activités d’évaluation liées à l’instance de portefeuille
1) L’évaluation de l’instance de portefeuille tient compte des deux grandes difficultés suivantes:
a) l’instance de portefeuille est susceptible de présenter un ensemble de variantes de la même application de base, chaque variante étant spécialisée pour une catégorie spécifique d’appareils d’utilisateur final;
b) les différentes variantes de l’instance de portefeuille nécessiteront probablement des mises à jour fréquentes afin de suivre le développement de la plateforme de sécurité sous-jacente, par exemple lorsque des vulnérabilités nécessitant des modifications des applications sont détectées.
2) L’évaluation de l’instance de portefeuille prend en considération ces difficultés spécifiques. L’une des conséquences immédiates est que le cadre des critères communs peut ne pas être approprié dans tous les cas. Par conséquent, d’autres méthodes d’évaluation sont envisagées s’il y a lieu. Les schémas nationaux de certification prévoient l’utilisation de la méthodologie EN 17640:2018 selon les modalités suivantes:
a) dans le cadre du schéma lui-même;
b) dans le cadre de schémas nationaux fondés sur la méthodologie;
c) dans le cadre de schémas nationaux fondés sur des principes similaires, mais créés avant l’élaboration de la méthodologie EN 17640:2018.
3) En outre, étant donné que la réalisation d’une évaluation spécifique complète de chaque variante peut présenter une valeur ajoutée limitée, les schémas nationaux de certification prévoient la définition de critères permettant la réalisation d’un échantillonnage, afin d’éviter la répétition d’activités d’évaluation identiques et de privilégier les activités spécifiques à une variante donnée. Les schémas nationaux de certification exigent de tous les organismes de certification qu’ils justifient leur recours à l’échantillonnage.
4) Les schémas nationaux de certification incluent les mises à jour de l’instance de portefeuille dans le processus global de gestion des changements défini pour la solution de portefeuille. Ils fixent également des règles relatives aux procédures à appliquer par le fournisseur de portefeuille pour chaque mise à jour (par exemple, l’analyse de l’incidence des modifications sur les contrôles de sécurité) et aux activités d’évaluation à effectuer par l’organisme de certification sur les mises à jour dans des conditions spécifiées (par exemple, l’évaluation de l’efficacité opérationnelle d’un contrôle de sécurité modifié). Le processus de gestion des modifications est l’un des processus dont l’efficacité opérationnelle doit être vérifiée chaque année conformément à l’article 18, paragraphe 3.
6. Activités d’évaluation liées aux services et processus utilisés pour la fourniture et l’exploitation de la solution de portefeuille
1) Aux fins de l’évaluation des services et processus qui jouent un rôle dans la fourniture et l’exploitation de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie, l’équipe d’évaluation recueille des éléments de preuve en menant des activités d’évaluation qui peuvent comprendre des activités d’audit, d’inspection, de vérification et de validation.
2) L’organisme de certification confirme que les éléments de preuve sont suffisants et appropriés pour offrir une garantie suffisante que les services et processus satisfont aux exigences de certification, en confirmant ce qui suit:
a) l’exactitude des informations présentées dans la description des processus et des services;
b) la pertinence de la conception et des contrôles des processus et des services pour répondre aux critères d’évaluation;
c) l’efficacité opérationnelle de la mise en œuvre de ces contrôles sur l’ensemble d’une période déterminée avant l’évaluation.
3) L’exactitude de la description et l’efficacité opérationnelle d’une mise en œuvre des contrôles peuvent être considérées comme des objectifs de vérification, au sens de la norme ISO/IEC 17000:2020, des déclarations correspondantes du fournisseur de portefeuille (c’est-à-dire la confirmation de l’exactitude des événements qui se sont déjà produits ou des résultats déjà obtenus), tandis que la pertinence de la conception et des contrôles des services et processus pour répondre aux critères d’évaluation peut être considérée comme un objectif de validation, au sens de la norme ISO/IEC 17000:2020, de la déclaration correspondante du fournisseur de portefeuille (c’est-à-dire la confirmation de la plausibilité d’une utilisation future prévue ou du résultat prévu).
4) Étant donné que l’exploitation d’une solution de portefeuille n’est pas autorisée avant sa certification, l’efficacité opérationnelle ne peut pas être confirmée sur la base de l’exploitation effective de la solution. Par conséquent, elle doit être confirmée à l’aide d’éléments de preuve recueillis au cours d’essais ou de projets pilotes.
5) Des schémas nationaux de certification peuvent déjà exister pour des services et des processus spécifiques, par exemple pour l’enrôlement des utilisateurs. L’utilisation de ces schémas est prise en considération par les schémas nationaux de certification, le cas échéant.
7. Activités d’évaluation liées aux services TIC utilisés pour la fourniture et l’exploitation de la solution de portefeuille
1) Certaines architectures de portefeuille peuvent s’appuyer sur des services TIC dédiés, notamment des services en nuage pour la fourniture et l’exploitation d’une solution de portefeuille, et ces services peuvent héberger des données sensibles ainsi que des opérations sensibles. Dans ce cas, les schémas nationaux de certification définissent les exigences de sécurité applicables à ces services TIC.
2) Il existe déjà de nombreux schémas de certification pour les services TIC, les services en nuage et d’autres sources d’informations en matière de garantie, dont ceux énumérés à l’annexe II. Les schémas nationaux de certification s’appuient, lorsqu’ils sont disponibles et applicables, sur ces mécanismes existants, en recourant à l’un des mécanismes suivants:
a) imposer l’utilisation d’un schéma spécifique ou d’une sélection de schémas, en définissant les conditions d’évaluation des services TIC ou des services en nuage à l’aide de ces schémas;
b) laisser le choix de l’évaluation au fournisseur de portefeuille et utiliser l’activité d’analyse des dépendances pour déterminer si les informations en matière de garantie obtenues dans le cadre de ces évaluations sont appropriées.
3) Dans les deux cas, les schémas nationaux de certification définissent les activités d’évaluation supplémentaires nécessaires pour analyser ou compléter les informations obtenues dans le cadre de ces schémas.