資安產品驗證作業報告人許英明國家通訊傳播委員會 97年 11月 24日 Contents

資安產品驗證作業報告人：許英明國家通訊傳播委員會 97年 11月 24日

Contents q 我國資安產品驗證體系 q 資通安全產品及保護剖繪審驗作業要點 q CCRA介紹 1

我國資安產品驗證體系 2

3

資通安全產品及保護剖繪審驗作業要點 4

資通安全產品及保護剖繪審驗作業要點 q 依據 Ø 「國家通訊傳播委員會組織法」 ü 第三條第八款規定 – 本會掌理資通安全之技術規範及管制 q 法律位階 Ø 本會法令 ü 行政規則 – 作業規定類 – 「資通安全產品及保護剖繪審驗作業要點 – 96. 6. 13公布實施」 5

作業要點用詞定義 (1/4) q 資通安全產品 Ø 指具備資通技術安全防護措施或功能之硬體、韌體、軟體或三者之任一組合。 Ø 如：換器、由器、門禁管制系統、毒系統、火牆、侵偵測系統、交路防防入入侵防禦系統等。 q 保護剖繪 (Protection Profile, PP) Ø 指為滿足資通安全產品評估標的製作之安全基本需求文件。 Ø 如：行公會 PP文件內容：銀 IT Security Requirements （ TOE Security Functional Requirements 、 TOE Security Assurance Requirements 等） q 資訊技術安全評估共同準則 (Common Criteria for Information Technology Security Evaluation, CC) Ø 指資通安全產品及保護剖繪之安全功能及安全保證之國際共同規範，國際即標準組織之 ISO/IEC 15408(第 2. 1版 , 1996. 06)規範。(CNS 15408 93. 01. 09） q 資訊技術安全評估共同方法論 (Common Methodology for Information Technology Security Evaluation, CEM) Ø 指依共同準則評估及驗證資通安全產品及保護剖繪之安全功能及安全保證等級時，遵循之方法及程序，國際標準組織之 ISO/IEC 18405 (第 2. 1版 , 應即 1996. 06)規範。 6

作業要點用詞定義 q (2/4) 申請者 Ø Ø q q 指申請評估及驗證之資通安全產品及其相關使用手冊。如：銀行公會的數位簽章產生器、全宏公司的安全晶片。 Ø Ø q 指申請資通安全產品或保護剖繪之評估及驗證者。如：銀行公會的 PP申請及全宏公司的安全晶片申請。指為資通安全產品能符合保護剖繪或特定安全需求製作之規格文件。如：行公會的數位簽章產生器，其 ST內容包括 PP introduction、TOE Description 、銀 TOE Security Environment 、 Security Objectives、IT Security Requirements 、 Rationale 、 Appendix等。評估標的 (Target of Evaluation, TOE) 安全標的 (Security Target, ST) 評估保證等級（ Evaluation Assurance Level, EAL）指依共同準則及共同方法論評估及驗證資通安全產品或保護剖繪，得之安全保證等獲級。 Ø 如： EAL 1、 EAL 2、 EAL 3、 EAL 4、 EAL 5、 EAL 6、 EAL 7共 7級。 Ø q 驗證機關（Certification Body, CB） Ø Ø 指執行審驗之機關。如： NCC(台灣 ) 、 CSE(加拿大 )、 IPA(日本 )、 CSEC(瑞典 )、 ITSCC(韓國 )、 BSI(德國 )。 7

作業要點用詞定義 (3/4) q 評估實驗室（Evaluation Laboratory, EL） Ø 指對資通安全產品或保護剖繪具有評估資格及能力之實驗室。 Ø 如： TTC(台灣 )、 CSC(澳紐 )、 Oppida(法國 ) 、 BT(英國 )等 q 審驗 Ø 指對資通安全產品或保護剖繪以符合特定安全需求，驗證機關出由具書面證明之程序。 Ø 如：審核ETR、 OR、 SER等資料 →共同準則審驗證明。 q 觀察報告（Observation Report, OR） Ø 指評估實驗室評估資通安全產品或保護剖繪時，待澄清事項或有對爭議問題提出之觀察文件。 Ø 如：銀行公會觀察報告。 q 評估技術報告 (Evaluation Technical Report, ETR) Ø 指評估實驗室為評估資通安全產品或保護剖繪撰寫之技術報告，提供驗證機關作為驗證報告之依據。 Ø 如：銀行公會評估技術報告。 8

作業要點用詞定義 (4/4) q 驗證報告（Certification Report, CR） Ø 指驗證機關依評估實驗室提供之評估技術報告，確認其遵循共同準則、共同方法論及評估程序撰寫之報告。 Ø 如：銀行公會驗證報告、全宏公司驗證報告。 q 驗證產品清單 Ø 指經審驗合格之資通安全產品或保護剖繪相關資訊，括申請者、包產品或保護剖繪名稱、評估保證等級、審驗日期等。申請者產品或保護剖繪名稱評估保證等級審驗日期 1 銀行公數位簽章產生器會 EAL 3 97. 1. 10 2 全宏公安全晶片司 EAL 3+ 備註 97. 11. 10 9

評估及驗證規範 q 共同準則 →ISO/IEC 15408 q 共同方法論 →ISO/IEC 18405 q 其他由本會訂定公告之技術規範 Ø 中華民國國家標準（ CNS 15408） Ø 國際標準組織所訂標準 Ø 區域標準組織所訂標準 10

評估及驗證類別 (1/2) q 存取控制裝置與系統（ Access Control Devices and q q q Systems）界限保護裝置與系統（ Boundary Protection Devices and Systems）資料庫（Databases）資料保護（Data Protection）偵測裝置與系統（ Detection Devices and Systems）數位簽章裝置與系統（ Digital Signature Devices and Systems） 11

評估及驗證類別 (2/2) q 積體電路、智慧卡及智慧卡相關裝置與系統（ q q Integrated Circuits, Smart Cards and Smart Card related Devices and Systems）金鑰管理系統（ Key Management Systems）網路及網路相關裝置與系統（ Network and Network related Devices and Systems）作業系統（Operating Systems）其他裝置與系統（ Other Devices and Systems） 12

審驗作業程序 (1/5) q 初步評估 Ø 申請者申請驗證時，先向評估實驗室申請評估，評估實應由驗室就申請驗證之資通安全產品或保護剖繪進行初步評估，經評估為可行案件時出具評估作計畫（項目及內容請參其考「通安全產品及保護剖繪審驗作業要點」附件二）作為資之，申請驗證之依據。 q 正式評估及驗證之前置作業 Ø 驗證機關先行核對申請者檢附之文件，已齊全者，召開認應啟動會議，通知申請者及評估實驗室參與說明，定是否並決受理該驗證申請案。 13

審驗作業程序 (2/5) q 初步評估 Ø 申請者申請驗證時，先向評估實驗室申請評估，評估實驗室就申應由請驗證之資通安全產品或保護剖繪進行初步評估，評估為可行案件經時出具評估作計畫（項目及內容請參考「通安全產品及保護剖其資繪審驗作業要點」之附件二，如下），作為申請驗證之依據。項目內容說明評估實驗室基本資評估實驗室名稱、主導評估員、評估人員料申請者基本資料產品開發者、申請者產品或保護剖繪評評估產品或保護剖繪名稱、版本與日期、評估估保證等級評估標的之說明評估作依據之說明評估作規劃評估作之目的、估作之範圍、估 14 評評作之預計時程、評估作測試需求說明

審驗作業程序 (3/5) q 正式評估及驗證之前置作業 Ø 驗證機關先行核對申請者檢附之文件，已齊全者，召開啟動會認應議，通知申請者及評估實驗室參與說明，定是否受理該驗證申並決請案。 Ø 如：銀行公會啟動會議紀錄 15

審驗作業程序 (4/5) q 正式評估作業 Ø 驗證機關判定得受理驗證後，評估實驗室依第三點所定技由術規範進行評估，驗證機關得視需要派員督導。 Ø 評估實驗室發現待澄清事項，向申請者提出觀察報告，應並副知驗證機關，申請者提出說明；有爭議問題時，估實由遇評驗室應向驗證機關提出爭議問題提案處理單（參考「通安請資全產品及保護剖繪審驗作業要點」附件三）檢附相關觀察之及報告並由驗證機關處理之。 16

審驗作業程序 (5/5) q 驗證作業 Ø 評估實驗室完成評估後，應將資通安全產品或保護剖繪之評估結果，製作資通安全產品或保護剖繪評估技術報告（參考「通安全產品請資及保護剖繪審驗作業要點」之附件四、附件五）並提報驗證機關。 Ø 驗證機關依評估實驗室之評估技術報告及相關申請文件初步做成驗證報告後，召開結案會議並通知評估實驗室及申請者參與。證應驗報告經討論無誤，經驗證機關審議核可後，驗證機關核發共同並由準則審驗證明（參考「通安全產品及保護剖繪審驗作業要點」請資之附件六、件七）該資通安全產品或保護剖繪之驗證產品清單應公附。布於本會網站。請者未取得共同準則審驗證明前，得對媒體發申不表任何評估及驗證結果之不當聲明或促銷資訊。 Ø 資通安全產品或保護剖繪之驗證報告，經驗證機關審議認未合格者，不予核發共同準則審驗證明，列舉不符合事項，書面通知申請並以者於三個月內改善；請者得向驗證機關重新申請複審；請複審仍申申未合格者，應將結果通知申請者。 17

評估之檢附文件 q 申請資通安全產品評估所需文件 Ø 資通安全產品安全標的 Ø 其他經評估實驗室指定之文件 q 申請保護剖繪評估所需文件 Ø 保護剖繪 Ø 其他經評估實驗室指定之文件 18

驗證之檢附文件 (1/2) q 申請資通安全產品驗證，填具申請書（參考「通應請資安全產品及保護剖繪審驗作業要點」附件八）檢附之並下列文件 Ø 申請者身分證明文件 Ø 資通安全產品驗證同意書（參考「通安全產品及保護剖繪請資 Ø Ø 審驗作業要點」之附件九）評估作計畫資通安全產品安全標的其他經驗證機關指定之資料儲存上述文件電子檔之光碟片一份 19

驗證之檢附文件 (2/2) q 申請保護剖繪驗證，填具申請書（參考「通安全應請資產品及保護剖繪審驗作業要點」附件十）檢附下列之並文件 Ø 申請者身分證明文件 Ø 保護剖繪驗證同意書（參考「通安全產品及保護剖繪審請資 Ø Ø 驗作業要點」之附件十一）評估作計畫保護剖繪其他經驗證機關指定之資料儲存上述文件電子檔之光碟片一份 20

注意事項 q 資通安全產品取得共同準則審驗證明後，名稱、其型號、本或安全功能變更者，申請者得就變更部分版原重新申請驗證。保護剖繪有相同情形者，亦同。 q 申請者取得共同準則審驗證明後，發現其檢附資料經偽造或虛偽不實者，該證明失其效力。 Ø 共同準則審驗證明失其效力者，由本會通知原申請者，應自接獲通知之日起三個月內，得就相同名稱、號、本或安不型版全功能重新申請驗證。情形特殊，經本會核准者，在此但且不限。 Ø 前項情形者，會應將其事由公告於本會全球資訊網，將本並其產品資料自驗證產品清單中移除。 21

CCRA介紹 22

CCRA q 1998年美國、國、國與加拿大等五國提議簽署資安產品英德法共同準則驗證證明書相互承認協議 (Arrangement on the Recognition of Common Criteria Certificates in the field of Information Technology Security， CCRA) q CCRA條款於 2000年定案，內容共包括了以下二十個項目：定其協的目的、定的精神、員資格、圍、外、義、認條件、協會範例定承自願性的定期性評鑑、版品、訊的分享、的參與者、定的管出資新協理、議、包商的採用、定的費用、訂、效、與的自願性爭承協修期參終止、協定之起始日及協定的效力等。 q CCRA會員身分可以是 Ø 授與證書會員（ Certificate Authorizing Participant, CAP） ü 授與證書會員有權指派運作於其國內符合 CCRA條款第一條規定之驗證機構出具資訊技術產品及保護剖繪的驗證證明書者。 Ø 接受證書會員（ Certificate Consuming Participant, CCP） ü 接受證書會員，不具備資訊技術產品安全評估的能力，表示接受授與因但證書會員之驗證機構所出具的資訊技術產品及保護剖繪的安全評估及驗證報告。 23

CCRA Members (授與證書會員） Consumers (接受證書會員） Producers India Finland Greece Spain Korea Netherlands Norway Japan Canada France Germany UK USA Australia New Zealand Italy Certificate Certificate Certificate Hungary Czech Evaluation Validation / Certification Accreditation Certificate Sweden CCRA Certificate Market Certificate Market • 24 Countries on CCRA as of 2006 • 12 CAP and 12 CCP Market Certificate Market Israel Market Austria Denmark Turkey Singapore 24

CCRA Members 加入歷程 CAP(授與證書會員國 )*12 1999. 10 澳洲 2000. 5 紐西芬蘭蘭希腊義大利西班牙挪威荷蘭 1998. 10 加拿大法國德國英國美國 2006. 3 挪威荷蘭 2003. 11 日本 2002. 2 瑞典 2000. 10 以色列 2006. 8 2006. 5. 9 西班牙韓國 2005. 3 新加坡 2002. 11 奧地利 2003. 9 匈牙利土耳其 2004. 9 捷克 CCP(接受證書會員國 2005. 4 印度 2006. 6. 7 丹麥 25

CAP會員國現有體制分佈圖 NSS KECS UKITSEC NSCIB GECS CCECCS JISEC CCEVS FECS AISEP SECS 26

簡報完畢敬請指教 27

資安產品驗證作業 報告人 許英明 國家通訊傳播委員會 97年 11月 24日 Contents

資安產品驗證作業報告人許英明國家通訊傳播委員會 97年 11月 24日 Contents