I Criteri Comuni (ISO/IEC 15408, con la metodologia di prova definita nella norma ISO/IEC 18045) rappresentano lo standard internazionale per la valutazione della sicurezza dei prodotti informatici. Si specifica cosa protegge il proprio prodotto e quali attacchi dovrebbe contrastare. Un laboratorio indipendente verifica tali affermazioni. Un ente di certificazione rilascia il certificato. Gli acquirenti del settore pubblico, dell’identità, dei pagamenti e automobilistico lo utilizzano da decenni.

L’EUCC è lo schema europeo relativo ai Criteri Comuni, definito dal regolamento (UE) 2024/482 ai sensi della legge dell’UE sulla sicurezza informatica. È in vigore dal 27 febbraio 2025 e sostituisce gli schemi nazionali separati, precedentemente collegati dall’accordo SOG-IS, con un unico schema riconosciuto in tutta l’UE. Lo standard di riferimento rimane lo stesso. Ciò che cambia è la modalità di accreditamento dei laboratori, la formulazione della dichiarazione di garanzia riportata sul certificato e gli obblighi a carico del titolare dopo il rilascio dello stesso.

No. Gli schemi nazionali hanno smesso di accettare nuove richieste il 27 febbraio 2025 e, a partire da febbraio 2026, non potranno più rilasciare alcun certificato. Qualsiasi nuovo certificato Common Criteria in Europa è un certificato EUCC. I certificati già rilasciati rimangono validi ed è ancora possibile effettuare una manutenzione limitata degli stessi secondo le regole dello schema che li ha emessi.

Rimane valido fino alla scadenza. Quando sarà necessario un nuovo certificato, per un nuovo prodotto, una nuova versione o un rinnovo, verrà rilasciato dall’EUCC. I certificati esistenti potranno essere trasferiti una volta verificata la loro conformità con quanto stabilito dall’EUCC. Il vero lavoro consiste solitamente nell’adempimento dei nuovi obblighi successivi alla certificazione e nell’aggiornamento di eventuali documenti tecnici che siano stati modificati dopo la valutazione originale.

Corrispondono ai livelli AVA_VAN. Il livello “Sostanziale” corrisponde a AVA_VAN.1 e 2. Il livello “Elevato” corrisponde a AVA_VAN.3, 4 e 5. La differenza sta nel tipo di aggressore contro cui viene testato il prodotto, e ciò influisce sia sulla profondità dei test sia su chi è autorizzato a eseguirli. Al livello “Elevato”, il laboratorio deve essere autorizzato dall’autorità nazionale, che contribuisce al rilascio del certificato.

Sì, sia nello standard che negli schemi al di fuori dell’Europa. Nell’ambito dell’EUCC, il certificato riporta i livelli “substantial” o “high”, correlati al livello AVA_VAN, e può anche riportare un EAL. Se i vostri clienti o i documenti di appalto richiedono ancora un EAL, possiamo aiutarvi a mappare tale livello sull’equivalente EUCC.

Un dominio tecnico è un insieme di regole condivise relative a una categoria di prodotti, che definisce le modalità di classificazione e applicazione degli attacchi. L’EUCC mantiene i due elementi previsti dallo SOG-IS: le smart card e dispositivi simili, nonché i dispositivi hardware dotati di moduli di sicurezza. Ottenere la certificazione a livello AVA_VAN.4 o 5 implica normalmente operare all’interno di un dominio tecnico o di un profilo di protezione certificato; pertanto, se si punta a un livello elevato, è opportuno definire questo aspetto sin dall’inizio.

No, e nessun laboratorio dovrebbe dirvi il contrario. Keysight è un ente accreditato ITSEF: siamo noi a condurre la valutazione e a redigere il rapporto tecnico di valutazione. Il certificato viene rilasciato da un ente di certificazione, con il coinvolgimento anche dell’autorità nazionale ai massimi livelli. Collaboriamo con loro durante l’intero processo e ci occupiamo per vostro conto di tutti gli scambi tecnici.

Fino a cinque anni, a condizione che si continuino a rispettare gli obblighi previsti dal programma. Il certificato può essere sospeso o revocato in caso di inadempienza o qualora venga riscontrata una grave vulnerabilità nel prodotto certificato.

Questo è l’aspetto che la maggior parte dei team sottovaluta. È necessario monitorare la presenza di nuove vulnerabilità nel prodotto certificato, gestirle, segnalarle all’ente di certificazione entro i termini previsti dallo schema e richiedere una nuova valutazione quando una modifica incide sulle dichiarazioni di sicurezza. La certificazione non è più qualcosa che si ottiene una volta per tutte e poi si archivia. È un processo per il quale occorrono risorse umane e finanziarie per cinque anni.

È utile, ma non copre tutto. Un certificato EUCC permette di presumere che il vostro prodotto sia conforme agli obblighi previsti dal CRA che una valutazione secondo i Common Criteria effettivamente affronta, e le prove fornite si sovrappongono bene. Non copre il resto di ciò che il CRA richiede a voi in qualità di produttori, in particolare la documentazione tecnica, l’SBOM e la rendicontazione, compreso l’avviso preventivo che siete tenuti a fornire quando una vulnerabilità viene attivamente sfruttata. È più economico pianificare entrambe le cose insieme piuttosto che una dopo l’altra. Consulta i nostri servizi di valutazione della sicurezza relativi all’EU Cyber Resilience Act.

Una pre-valutazione è una serie di test che effettuiamo prima dell'inizio della campagna ufficiale, per individuare eventuali problemi quando la loro risoluzione è ancora poco costosa. Non è obbligatoria. È il metodo più affidabile che conosciamo per garantire il rispetto delle tempistiche di certificazione, soprattutto nel caso di una prima certificazione o di un nuovo progetto.

Una valutazione che si basa sui risultati certificati del livello sottostante invece di ripeterli: una piattaforma su un chip certificato, un’applicazione su una piattaforma certificata. È molto più economico che ricominciare da zero, a una condizione: il proprio livello deve seguire le linee guida fornite con il certificato sottostante. Quando questi progetti subiscono ritardi, il motivo è quasi sempre questo.