Einer der angesehensten Standards zur Bewertung der Sicherheit von IT-Produkten ist ISO 15408, auch bekannt als Common Criteria for Information Technology Security Evaluation. In diesem Blogbeitrag werden die Feinheiten der ISO 15408-Zertifizierung und ihre Bedeutung im Bereich der Cybersicherheit erläutert. Hier finden Sie auch eine umfassende ISO 15408-Zertifizierungscheckliste, die Sie kostenlos herunterladen können.

Informationen zur ISO 15408-Zertifizierung

Die ISO 15408-Zertifizierung oder Common Criteria-Zertifizierung ist ein internationaler Standard für die Computersicherheitszertifizierung. Sie bietet einen Rahmen für die Bewertung der Sicherheitsfunktionen und -fähigkeiten von IT-Produkten und -Systemen. Der Zertifizierungsprozess umfasst strenge Tests und Bewertungen, um sicherzustellen, dass ein Produkt bestimmte Sicherheitsanforderungen erfüllt.

ISO 15408 vs. ISO 27001

Obwohl der Schwerpunkt beider Standards auf der Informationssicherheit liegt, dienen sie unterschiedlichen Zwecken:

• ISO 15408 ist produktorientiert und bewertet die Sicherheitsfunktionen bestimmter IT-Produkte oder -Systeme.
• Zertifizierung nach ISO 27001 ist prozessorientiert und konzentriert sich auf die Gesamtheit einer Organisation Informationssicherheits-Managementsystem (ISMS).

Der Common Criteria-Evaluierungsprozess

Der Common Criteria-Evaluierungsprozess ist ein umfassender und strukturierter Ansatz zur Beurteilung der Sicherheit von IT-Produkten. Er umfasst mehrere wichtige Schritte:

1. Entwicklung eines Schutzprofils (PP): Bei diesem optionalen Schritt wird ein Dokument erstellt, in dem die Sicherheitsanforderungen für einen bestimmten Produkttyp beschrieben werden.
2. Erstellung von Sicherheitszielen (ST): Der Anbieter erstellt ein detailliertes Dokument, in dem die Sicherheitsfunktionen des Produkts und die beabsichtigte Evaluierungsstufe beschrieben werden.
3. Auswertung: Ein akkreditiertes Testlabor führt eine gründliche Bewertung des Produkts anhand der im ST gemachten Sicherheitsansprüche durch. Dazu gehört:

• Überprüfung der Dokumentation

• Funktionstests

• Schwachstellenanalyse

• Bewertung von Entwurf und Umsetzung

4. Validierung: Die Prüfergebnisse werden durch die Zertifizierungsstelle überprüft und validiert.
5. Zertifizierung: Bei Erfolg wird ein Zertifikat ausgestellt und das Produkt zur Liste der zertifizierten Produkte hinzugefügt.

Die Sicherheitsstufe der Bewertung wird bestimmt durch Bewertungssicherheitsstufe (EAL), von EAL1 bis EAL7, wobei höhere Stufen eine strengere Prüfung bedeuten. Jede EAL entspricht einem bestimmten Satz von Sicherheitsanforderungen, die erfüllt werden müssen.

Vorteile der Common Criteria-Zertifizierung

Der Erwerb einer Common Criteria-Zertifizierung bietet mehrere wesentliche Vorteile:

• Verbesserte Produktsicherheit: Der strenge Evaluierungsprozess hilft bei der Identifizierung und Beheben Sie potenzielle Schwachstellen, was zu einem sichereren Produkt führt.
• Erhöhtes Kundenvertrauen: Durch die Zertifizierung wird die Sicherheit eines Produkts unabhängig überprüft, was das Vertrauen der Kunden stärkt.
• Wettbewerbsvorteil: Zertifizierte Produkte haben in Märkten, in denen Sicherheit ein entscheidender Faktor ist, oft einen Vorteil.
• Weltweite Anerkennung: Common Criteria werden in über 30 Ländern anerkannt und erleichtern den internationalen Marktzugang.
• Einhaltung gesetzlicher Vorschriften: Viele Regierungs- und Industrievorschriften erfordern oder bevorzugen Common Criteria-zertifizierte Produkte.
• Strukturierte Entwicklung: Der Zertifizierungsprozess fördert von Anfang an einen sicherheitsorientierten Ansatz bei der Produktentwicklung.
• Kontinuierliche Verbesserung: Regelmäßige Neubewertungen zur Aufrechterhaltung der Zertifizierung fördern kontinuierliche Sicherheitsverbesserungen.

Common Criteria-Zertifizierungsliste

Viele Organisationen führen eine Common Criteria-Zertifizierungsliste bewerteter Produkte. Diese Listen sind wertvolle Ressourcen für Organisationen, die nach sicheren IT-Lösungen suchen. Einige namhafte Zertifizierungsstellen und ihre Listen umfassen:

• Nationale Partnerschaft zur Informationssicherung (NIAP) in den USA: Pflege der Product Compliant List (PCL)
• BSI-Zertifizierungsstelle in Deutschland: Veröffentlichung der BSI-DSZ-CC-Liste (German Scheme Certification Report)
• CSEC-Zertifizierungsstelle in Schweden: Bietet die Liste der zertifizierten Produkte der schwedischen Zertifizierungsstelle für IT-Sicherheit (CSEC) an
• Common Criteria Portal: Bietet eine umfassende Liste zertifizierter Produkte aus mehreren Ländern

Diese Listen enthalten normalerweise Details wie den Produktnamen, den Anbieter, das Zertifizierungsdatum, das Schutzprofil (sofern zutreffend) und den erreichten Evaluation Assurance Level (EAL).

Konformität mit ISO/IEC 15408

Um die ISO/IEC 15408-Konformität zu erreichen, müssen die Anforderungen der Norm während des gesamten Produktentwicklungszyklus eingehalten werden. Dies umfasst:

1. Funktionale Sicherheitsanforderungen (SFRs): Implementierung spezifischer Sicherheitsfunktionen, wie in den Common Criteria definiert.
2. Sicherheitsanforderungen (SARs): Bereitstellung von Nachweisen für die ordnungsgemäße Implementierung und Prüfung von Sicherheitsfunktionen.
3. Dokumentation: Entwicklung umfassender Dokumentation, einschließlich:

• Sicherheitsziel (ST)
• Funktionsspezifikation
• Entwurfsdokumentation
• Testpläne und Ergebnisse

4. Entwicklungsumgebung: Aufrechterhaltung einer sicheren Entwicklungsumgebung und Befolgen sicherer Codierungspraktiken.
5. Konfigurationsmanagement: Implementierung robuster Konfigurationsmanagementprozesse, um die Integrität des bewerteten Produkts sicherzustellen.
6. Lieferung und Betrieb: Festlegen sicherer Verfahren für die Produktlieferung und Bereitstellen von Anleitungen für den sicheren Betrieb.
7. Schwachstellenanalyse: Durchführung gründlicher Schwachstellenanalysen und Penetrationstests.
8. Lebenszyklus-Support: Bereitstellung von kontinuierlichem Support und Sicherheitsupdates während des gesamten Produktlebenszyklus.

Kostenlose ISO 15408-Zertifizierungs-Checkliste

Um Organisationen auf ihrem Weg zur ISO 15408-Zertifizierung zu unterstützen, haben wir eine umfassende ISO 15408-Zertifizierungscheckliste erstellt. Diese Checkliste deckt alle wesentlichen Schritte und Anforderungen für die Erlangung der Zertifizierung ab. Sie können diese Checkliste kostenlos herunterladen und an die spezifischen Anforderungen Ihrer Organisation anpassen, wodurch der Zertifizierungsprozess überschaubarer und strukturierter wird.

Laden Sie unsere kostenlose ISO 15408-Zertifizierungscheckliste herunter

Standards zur Gewährleistung der Sicherheit

ISO 15408 ist nur einer von vielen verfügbaren Sicherheitsstandard. Wenn Unternehmen sich mit den Sicherheitsstandards vertraut machen, können sie die für ihre Anforderungen am besten geeigneten Standards auswählen:

• FIPS 140-2/3: Konzentriert sich auf kryptografische Module, die in den USA und Kanada häufig für den Einsatz durch Behörden erforderlich sind.
• Common Criteria-Schutzprofile: Bereitstellung vordefinierter Sätze von Sicherheitsanforderungen für bestimmte Produkttypen, z. B. Firewalls oder Betriebssysteme.
• PCI DSS: Spezifisch für die Zahlungskartenbranche, gewährleistet die sichere Handhabung der Karteninhaberdaten.
• Zertifizierung nach ISO 27001: Konzentriert sich auf allgemeine Informationssicherheits-Managementsysteme innerhalb von Organisationen.
• NIST SP 800-53: Bietet einen umfassenden Satz von Sicherheitskontrollen für föderale Informationssysteme in den Vereinigten Staaten.
• SOC 2: Konzentriert sich auf die Kontrollen von Serviceorganisationen in Bezug auf Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.
• DSGVO: Obwohl es sich hier strenggenommen nicht um einen Sicherheitsstandard handelt, werden in der Europäischen Union erhebliche Anforderungen an den Datenschutz und die Wahrung der Privatsphäre gestellt.

Jeder dieser Standards dient unterschiedlichen Zwecken und kann je nach den spezifischen Anforderungen, der Branche und dem geografischen Standort einer Organisation mehr oder weniger relevant sein. Oft ist die Einhaltung mehrerer Standards erforderlich, um verschiedene gesetzliche und marktbezogene Anforderungen zu erfüllen.

Trio: Verbessern Sie Ihre Sicherheitslage

Da Unternehmen strenge Sicherheitsstandards wie ISO 15408 einhalten möchten, sind robuste Tools unverzichtbar. Trio, unser Lösung zur Verwaltung mobiler Geräte, kann eine entscheidende Rolle dabei spielen, Unternehmen dabei zu helfen, eine sichere IT-Umgebung aufrechtzuerhalten. Durch die Bereitstellung umfassender Geräteverwaltungsfunktionen unterstützt Trio Unternehmen bei:

• Implementierung von Sicherheitsrichtlinien auf allen Geräten
• Überwachung und Berichterstattung des Gerätesicherheitsstatus
• Schnelle Reaktion auf Sicherheitsvorfälle

Diese Funktionen können wesentlich dazu beitragen, viele der in ISO 15408 festgelegten Sicherheitsanforderungen zu erfüllen.

Wir laden Sie ein, zu erfahren, wie Trio die Sicherheitslage Ihres Unternehmens verbessern kann, indem Sie unsere kostenlose Demo Mit Trio sind Sie besser gerüstet, um sich in der komplexen Landschaft der Sicherheitszertifizierungen und -standards zurechtzufinden.

Abschluss

Die ISO 15408-Zertifizierung, auch bekannt als Common Criteria, gilt als entscheidender Maßstab im Bereich der IT-Sicherheit. Wie wir bereits festgestellt haben, bietet diese Zertifizierung zahlreiche Vorteile, von verbesserter Produktsicherheit bis hin zu gesteigerter Marktwettbewerbsfähigkeit. Auch wenn der Prozess streng sein mag, ist die daraus resultierende Gewährleistung der Produktsicherheit angesichts der heutigen Bedrohungslandschaft von unschätzbarem Wert.

Unternehmen, die ihre Sicherheitslage stärken möchten, sollten ernsthaft darüber nachdenken, eine ISO 15408-Zertifizierung für ihre IT-Produkte anzustreben. Denken Sie daran, dass Ihnen unsere kostenlose ISO 15408-Zertifizierungscheckliste zur Verfügung steht, um Sie durch diesen Prozess zu führen.

Wenn Sie sich auf den Weg zur Verbesserung Ihrer Sicherheit begeben, sollten Sie überlegen, wie Tools wie Trio Ihre Bemühungen unterstützen können. Durch die Bereitstellung robuster Funktionen zur Verwaltung mobiler Geräte kann Trio Ihnen dabei helfen, eine sichere IT-Umgebung aufrechtzuerhalten, die vielen ISO 15408-Anforderungen entspricht. Wir empfehlen Ihnen, Trios kostenlose Demo und erfahren Sie aus erster Hand, wie es zur Sicherheitsstrategie Ihres Unternehmens beitragen kann.

In einer Zeit, in der sich Cyberbedrohungen ständig weiterentwickeln, sind Standards wie ISO 15408 und Tools wie Trio nicht nur nützlich, sondern unverzichtbar. Machen Sie noch heute den nächsten Schritt zur Sicherung Ihrer IT-Produkte und -Infrastruktur.