1. Évaluation de la disponibilité des documents relatifs à la garantie
Les évaluateurs établissent la liste des documents relatifs à la garantie qui sont disponibles pour chaque composant pertinent de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie. Ensuite, les évaluateurs apprécient la pertinence globale de chaque document relatif à la garantie pour l’examen des dépendances.
Les aspects suivants sont pris en compte dans l’analyse:
1) en ce qui concerne les documents relatifs à la garantie proprement dits:
a) le type de documents relatifs à la garantie, avec tous les détails requis, (il s’agit, par exemple, de certificats de conformité répondant à la norme EN ISO/IEC 27001:2022 ou des types 1 ou 2 pour les rapports ISAE);
b) la période couverte ou la durée de validité, cette période pouvant être complétée par une lettre de pont (un document couvrant une période comprise entre la date de fin de la période de référence du rapport ISAE courant et la publication d’un nouveau rapport ISAE) ou une déclaration similaire);
c) le cadre applicable (par exemple, une norme existante);
d) l’information selon laquelle les documents relatifs à la garantie comprennent ou non une mise en correspondance avec les exigences du schéma;
2) en ce qui concerne les compétences professionnelles et l’impartialité de l’entité dont émane le rapport de garantie:
a) le nom de l’organisme de certification et, s’il est disponible, le nom de l’évaluateur principal;
b) la preuve de la compétence de l’organisme de certification et de l’évaluateur (par exemple, accréditation, certification personnelle, etc.);
c) la preuve de l’impartialité de l’organisme de certification et de l’évaluateur (par exemple, accréditation, etc.).
2. Évaluation de la garantie liée aux exigences individuelles
Les évaluateurs vérifient que les documents relatifs à la garantie disponibles pour la solution de portefeuille et le schéma d’identification électronique dans le cadre duquel elle est fournie sont suffisants pour établir que la solution de portefeuille répond aux attentes par rapport aux exigences individuelles du schéma de certification.
Cette évaluation est effectuée pour chaque composant pertinent de la solution de portefeuille et du schéma d’identification électronique dans le cadre duquel elle est fournie, en formulant une hypothèse sur les contrôles de sécurité de la solution de portefeuille.
Pour chacune de ces hypothèses, l’équipe d’évaluation détermine si la garantie fournie dans les documents relatifs à la garantie disponibles est suffisante ou non.
La détermination du caractère suffisant de la garantie repose sur les éléments suivants:
1) les informations requises sont disponibles, avec le niveau de garantie voulu, dans les documents relatifs à la garantie;
2) les informations disponibles dans les documents relatifs à la garantie ne couvrent pas l’intégralité du champ d’application de l’exigence, mais des contrôles supplémentaires ou des contrôles de compensation (c’est-à-dire des contrôles internes qui réduisent le risque de faiblesse effective ou potentielle des contrôles) mis en œuvre dans la solution de portefeuille ou dans le schéma d’identification électronique dans le cadre duquel elle est fournie permettent aux évaluateurs d’établir que les informations sont suffisantes;
3) les informations disponibles dans les documents relatifs à la garantie n’offrent pas le niveau de garantie voulu, mais les contrôles mis en œuvre pour évaluer et contrôler le fournisseur de portefeuille permettent aux évaluateurs d’établir que les informations sont suffisantes;
4) si les documents relatifs à la garantie mentionnent des défauts de conformité dans la conception ou la mise en œuvre des contrôles utilisés pour répondre à une hypothèse, les mesures correctives proposées et mises en œuvre par le fournisseur de portefeuille et examinées par ses évaluateurs sont suffisantes pour garantir qu’il est répondu à l’hypothèse.