Gjensidig anerkjennelse av sertifikater

Norge har som medlem i det internasjonale arrangementet CCRA forpliktet seg til å anerkjenne sertifikater som er utstedt av sertifikatproduserende sertifiseringsmyndigheter.

Den gjensidige anerkjennelsen av sertifikater etter Common Criteria innebærer at et sertifikat utstedt av en sertifiseringsmyndighet godkjent som sertifikatproduserende automatisk anerkjennes av alle medlemslandene innenfor CCRA-samarbeidet, også de som har status som sertifikatkonsumerende medlem.

Sertifikatkonsumerende medlem

Sertifikatkonsumerende medlemmer i CCRA kan ikke utstede internasjonalt anerkjente sertifikater, men de står fritt til å utstede nasjonale sertifikater. Nye medlemmer i arrangementet må delta som sertifikatkonsumerende medlem i to år før det kan vurderes om det skal gis status som sertifikatproduserende medlem. For en fullstendig liste over medlemmene i CCRA se listen på den offisielle CC-portalen.

Sertifikatproduserende medlem

Sertifikatproduserende medlemmer i CCRA utsteder internasjonalt anerkjente sertifikater. Dette betyr at et sertifikat utstedt av et sertifikatproduserende medlem automatisk anerkjennes av samtlige medlemmer i CCRA. Denne anerkjennelsen er ikke det samme som en godkjenning for bruk og må heller ikke forstås som en produktanbefaling. Anerkjennelsen betyr at de enkelte medlemsland går god for innholdet i sertifikatet og dermed anerkjenner kvaliteten på den gjennomførte sertifiseringen som utgjør grunnlaget for sertifikatet. For den enkelte som ønsker å ta i bruk sertifiserte produkter vil det alltid være både viktig og nødvendig å studere Security Target (ST) for å vurdere om den sikkerhetsfunksjonalitet man trenger er til stede i produktet. ST og tilhørende sertifiseringsrapport skal være publisert for at produktet kan anerkjennes.

For at en nasjon skal oppnå status som sertifikatproduserende medlem kreves det at man viser sin egnethet til dette. Denne egnetheten vurderes ved at det gjennomføres en skyggeevaluering der representanter for de andre sertifikatproduserende landene gjennomgår og vurderer arbeidet til sertifiseringsmyndigheten. Norge er godkjent som sertifikatproduserende medlem i CCRA.

Listen over alle sertifikatproduserende medlemmer i CCRA finnes på den offisielle CC-portalen eller listen nedenfor.

Anerkjente sertifiseringsmyndigheter

For tiden har følgende land innenfor CCRA rett til å utstede internasjonale sertifikater:

• Frankrike
  Direction Centrale de la Sécurité des Systèmes d'Information
• Tyskland
  Bundesamt fur Sicherheit in der Informationstechnik
• Canada
  Communications Security Establishment
• Storbritannia
  Communications-Electronics Security Group and Department of Trade and Industry
• USA
  National Information Assurance Partnership (NIAP)
• Australia og New Zealand
  Defence Signals Directorate
• Japan
  National Institute of Technology and Evaluation (NITE)
• Nederland
  Netherlands National Communications Security Agency
• Norge
  Sertifiseringsmyndigheten for IT-sikkerhet (SERTIT)
• Republikken Korea
  Korea IT Security Evaluation and Certification Scheme (KECS)
• Spania
  Organismo de Certificacíon de la Seguridad de las Tecnologías de la Información
• Sverige
  CSEC - Sveriges Certifieringsorgan för IT-säkerhet
• Italia
  OCSI - Organismo di Certificazione della Sicurezza Informatica
• Tyrkia
  TSE (Turkish Standards Institution)

SOGIS

”Mutual Recognition Agreement of Information Technology Security Evaluation Certificates – Version 3.0”, eller SOGIS-avtalen er en avtale mellom en del europeiske nasjoner med medlemskap i EU eller EFTA om gjensidig anerkjennelse av evalueringssertifikater etter ITSEC eller CC. For CC gjelder avtalen alle tillitsnivåer, EAL1 - EAL7. Siste utgave av avtalen er fra januar 2010.

Sogis' webside.