ISO 15408 Evaluation Assurance Level: Das müsst ihr wissen
Die ISO/IEC 15408 wurde entwickelt, um einen internationalen Standard für die Bewertung der Sicherheitseigenschaften von IT-Produkten und -Systemen zu schaffen. Wie diese aussehen, warum sie so wichtig sind und woher sie kommen, erfahrt ihr bei uns.
Themen in diesem Beitrag
Was ist die Common Criteria?
Der Begriff Common Criteria (CC) ist die Kurzform von “Common Criteria for Information Technology Security Evaluation”. Übersetzt man dies auf Deutsch, erhält man den Begriff „Gemeinsame Kriterien für die Sicherheitsbewertung von Informationstechnologie”. Die Gemeinsamen Kriterien sind ein international anerkannter Standard für die objektive Bewertung der Sicherheitseigenschaften von Informationstechnologiesystemen und -produkten. Sie wurden entwickelt, um ein einheitliches Rahmenwerk für die Evaluierung, Zertifizierung und Akkreditierung von IT-Systemen zu schaffen.
Die Common Criteria wurden erstmals Ende der 1990er-Jahre von den Regierungen der Vereinigten Staaten, Kanadas, Großbritanniens, Frankreichs und Deutschlands entwickelt. Seitdem haben sich viele Länder der internationalen Common Criteria Recognition Arrangement (CCRA) angeschlossen, um den Standard weltweit zu fördern und gegenseitige Anerkennung von Zertifikaten zu ermöglichen.
Die Common Criteria basieren auf einem modularen Ansatz, bei dem Schutzprofile (Protection Profiles) und Evaluationskriterien (Evaluation Assurance Levels) verwendet werden. Schutzprofile definieren Sicherheitsanforderungen für bestimmte Klassen von IT-Produkten, während die Evaluationskriterien die verschiedenen Sicherheitsstufen (EALs) festlegen.
Durch die Einhaltung der Common Criteria können Hersteller und Entwickler Produkte auf ihre Sicherheit hin überprüfen lassen und erhalten bei erfolgreicher Evaluierung ein Zertifikat, das die Sicherheitsfähigkeiten des Produkts bescheinigt. Dieses Zertifikat kann von Organisationen, Regierungen oder Kunden verwendet werden, um die Vertrauenswürdigkeit eines IT-Produkts zu beurteilen.
Was sind die EAL Assurance Level?
Das EAL-Konzept wird verwendet, um das Sicherheitsniveau eines IT-Produkts oder -Systems zu bewerten. Es gibt sieben EAL-Stufen, von EAL1 (niedrigstes Niveau) bis EAL7 (höchstes Niveau). Jede Stufe definiert eine Reihe von Anforderungen und Kriterien, die erfüllt sein müssen, um dieses spezifische EAL zu erreichen.
Die EAL-Stufen werden normalerweise durch eine unabhängige Stelle, wie beispielsweise ein Zertifizierungslabor, vergeben. Die Bewertung erfolgt durch eine umfassende Prüfung der Dokumentation, des Designs und der Implementierung des Produkts sowie durch praktische Tests, um sicherzustellen, dass die Sicherheitsfunktionen den spezifizierten Anforderungen entsprechen.
Die EAL-Stufen dienen als Richtlinie für Organisationen und Entwickler, um das Sicherheitsniveau von IT-Produkten zu bewerten und zu vergleichen. Je höher das EAL, desto umfassender sind die Sicherheitsmaßnahmen und -prüfungen, die durchgeführt wurden, um das Produkt zu validieren.
Was bedeuten die Stufen des EAL?
Hier sind die sieben EAL-Stufen im Detail beschrieben:
- EAL1 – Funktionale Testung: EAL1 stellt das grundlegendste Niveau der Evaluierung dar. Es umfasst eine funktionale Testung des Produkts, bei der überprüft wird, ob es ordnungsgemäß funktioniert und den deklarierten Anforderungen entspricht. Es werden keine spezifischen Sicherheitsmaßnahmen verlangt.
- EAL2 – Strukturelle Testung: EAL2 beinhaltet neben den funktionalen Tests auch eine strukturierte Testung des Produkts. Hier werden zusätzliche Maßnahmen ergriffen, um sicherzustellen, dass das Produkt nachvollziehbare und reproduzierbare Testergebnisse liefert.
- AL3 – Methodisch erarbeitetes und geprüftes Design: EAL3 erfordert ein sorgfältig erarbeitetes und geprüftes Design des Produkts. Es werden Sicherheitsmaßnahmen implementiert, um potenzielle Bedrohungen abzuwehren. Es besteht eine erhöhte Vertrauenswürdigkeit, dass das Produkt gemäß den spezifizierten Sicherheitsanforderungen entwickelt wurde.
- EAL4 – Methodisch erarbeitetes Design mit ausführlicher Testung: EAL4 umfasst ein methodisch erarbeitetes Design, das durch ausführliche Testung validiert wird. Es werden zusätzliche Sicherheitsmaßnahmen ergriffen, um eine robuste Sicherheitsarchitektur zu gewährleisten. Es gibt erhöhte Vertrauenswürdigkeit und ein erhebliches Schutzpotential gegenüber Bedrohungen.
- EAL5 – Semiformale Design- und Testverfahren: EAL5 beinhaltet semiformale Design- und Testverfahren. Es werden umfangreiche Sicherheitsmaßnahmen getroffen, um mögliche Angriffe zu erkennen und zu verhindern. Das Produkt weist eine erhöhte Vertrauenswürdigkeit und ein starkes Schutzpotential auf.
- EAL6 – Verfeinertes Design und Testverfahren: EAL6 erfordert ein verfeinertes Design und Testverfahren mit strengen Sicherheitsmaßnahmen. Es werden umfangreiche und anspruchsvolle Tests durchgeführt, um die Produktintegrität zu gewährleisten. Das Produkt weist ein sehr hohes Schutzpotential auf und ist gegenüber fortgeschrittenen Bedrohungen widerstandsfähig.
- EAL7 – Formale Design- und Verifikationsverfahren: EAL7 stellt das höchste Niveau der Evaluierung dar. Es erfordert formale Design- und Verifikationsverfahren, die mathematische Beweise für die Sicherheitsfunktionen des Produkts erbringen. Es werden rigorose Tests durchgeführt, um eine außergewöhnlich hohe Vertrauenswürdigkeit und ein sehr starkes Schutzpotential gegenüber den fortschrittlichsten Bedrohungen zu gewährleisten. EAL7 ist für Systeme reserviert, die in Umgebungen mit extrem hohen Sicherheitsanforderungen eingesetzt werden, wie beispielsweise Regierungs- oder Verteidigungssystemen.
Wieso ist es wichtig, die Sicherheit von IT-Produkten zu bewerten?
In unserer zunehmend vernetzten und digitalen Welt spielen IT-Produkte eine entscheidende Rolle. Umso wichtiger ist es, dass sich Verbraucher*innen auf die Sicherheit der Produkte verlassen können. Hier sind einige Gründe, warum die Sicherheitsbewertung von IT-Produkten von großer Bedeutung ist:
- Schutz vor Bedrohungen: IT-Produkte sind potenziellen Bedrohungen wie Cyberangriffen, Datenlecks und Malware ausgesetzt. Eine Sicherheitsbewertung hilft dabei, Schwachstellen und Sicherheitslücken in Produkten zu identifizieren, um angemessene Schutzmaßnahmen zu implementieren und das Risiko von Sicherheitsvorfällen zu verringern.
- Vertrauenswürdigkeit und Zuverlässigkeit: Kunden, Organisationen und Regierungen möchten sicherstellen, dass die von ihnen verwendeten IT-Produkte vertrauenswürdig und zuverlässig sind. Eine Sicherheitsbewertung gibt ihnen die Gewissheit, dass angemessene Sicherheitsmaßnahmen implementiert wurden und das Produkt den erwarteten Sicherheitsstandards entspricht.
- Datenschutz und Privatsphäre: IT-Produkte verarbeiten oft sensible Informationen, darunter personenbezogene- und Unternehmensdaten. Eine Sicherheitsbewertung hilft sicherzustellen, dass angemessene Maßnahmen zum Schutz der Privatsphäre und zur Einhaltung von Datenschutzgesetzen implementiert wurden, um Datenverluste und -missbrauch zu verhindern.
- Regulatorische Anforderungen: In vielen Branchen gibt es spezifische Vorschriften und Richtlinien, die die Sicherheit von IT-Produkten regeln. Eine Sicherheitsbewertung ist oft eine Voraussetzung, um die Konformität mit diesen Vorschriften nachzuweisen und rechtliche Anforderungen zu erfüllen.
- Vertrauen und Wettbewerbsvorteil: Eine positive Sicherheitsbewertung kann das Vertrauen der Kunden stärken und einen Wettbewerbsvorteil bieten. Kunden sind eher bereit, Produkte zu nutzen, von denen sie wissen, dass sie sicher sind und Unternehmen können sich durch die Demonstration hoher Sicherheitsstandards von Mitbewerbern abheben.
Mit Smart Data Center seid ihr bestens vorbereitet
Die Sicherheit von euren IT-Systemen hat oberste Priorität. Damit ihr im Notfall bestens gerüstet seid und eure Daten möglichst schnell wiederhergestellt werden, bieten wir euch unseren Back-up-as-a-Service und Disaster-Recovery-as-a-Service an.
Um jetzt zu prüfen, inwieweit euer Unternehmen gefährdet sein könnte, macht am besten direkt die kostenlose Gefährdungsbeurteilung IT- und Cybersicherheit. Bleibt mit uns immer aktuell und informiert. Ihr findet uns auch auf LinkedIn. Wir freuen uns auf eure Anfrage!
Beitragsbild: © Shutterstock, LALAKA
