15.3.93 ΕπίσημηΕφημερίδατωνΕυρωπαϊκώνΚοινοτήτων Αριθ.C73/19
τοεπίπεδοαπώλειαςθεσεωναπασχόλησηςείναιίσως
χαμηλόσεσύγκρισημετιςμεγάλεςαπώλειεςθέσεων
απασχόλησηςστιςμεγάλεςεπιχειρήσεις,όμωςoαντίκτυ­
ποςείναιπολύμεγαλύτεροςγιατιςσυμμετέχουσες MME.υπάρχεικίνδυνοςοιπρώτοιεργολήπτεςνααλλαξουντις
πηγέςεφοδιασμούεπιλέγονταςτρίτεςχώρεςμεχαμηλό­
τεροκόστος·
μολονότιοιMMEείναιγνωστέςγιατηνικανότητάτους
ναπροσαρμόζονται στιςαλλαγές,εντούτοις,έχουνανά­
γκηαπόπρογράμματαδιαφοροποίησης γιατηνυποστή­
ριξήτους·
Βρυξέλλες,27Ιανουαρίου1993.
HΠροεδροςτης
ΟικονομικήςκαιΚοινωνικήςΕπιτροπής
SusanneΤΙΕΜΑΝΝ
ΓνωμοδότησηγιατηνπρότασησύστασηςτουΣυμβουλίουγιακοινάκριτήριααξιολόγησηςτηςασφάλειας
τηςτεχνολογίαςπληροφοριών
(93C73/05)
ΤοΣυμβούλιοαποφάσισεστις29Σεπτεμβρίου1992ναζητήσει,σύμφωναμετιςδιαταξειςτουάρθρου
198τηςΣυνθήκηςγιατηνίδρυσητηςΕυρωπαϊκήςΟικονομικήςΚοινότητας,τηγνωμοδότησητης
ΟικονομικήςκαιΚοινωνικήςΕπιτροπήςγιατηνανωτέρωπρόταση.
Τοτμήμαβιομηχανίας,εμπορίου,βιοτεχνίαςκαιυπηρεσιώνστοοποίοανατέθηκεηπροετοιμασίατων
σχετικώνεργασιών,υιοθέτησετηγνωμοδότησήτουστις6Ιανουαρίου1993μεβάσητηνεισηγητική
έκθεσητηςDameJocelynBarrow.
HΟικονομικήκαιΚοινωνικήΕπιτροπήυιοθέτησεομόφωνακατάτην302ησύνοδοολομέλειας
(συνεδρίασητης27ηςΙανουαρίου1993),τηνακόλουθηγνωμοδότηση .
1.Εισαγωγή
1.1.HπρότασητηςΕπιτροπήςαποσκοπείστηδιασφάλιση
μεγαλύτερηςεμπιστοσύνηςστουςκαταναλωτέςόσοναφορά
τιςδυνατότητεςασφάλειαςτωνπροϊόντωντεχνολογικής
ασφάλειαςκαιστηνεγκαθίδρυσηενόςκριτηρίουεπίτου
οποίουθαμπορείνακρίνονταιοιδυνατότητεςασφάλειαςτων
προϊόντωνΤΠ.Λαμβάνειυπόψητιςεργασίεςπουσυντελέ­
σθηκανστιςχώρεςμέλη,τιςΗΠΑκαιτηνΙαπωνίαγιατη
διαμόρφωσητωνκριτηρίωναξιολόγησηςασφάλειαςτωνΤΠ.
1.2.HσύστασηπουπροτείνειτοΣυμβούλιοαφορά:
α)τηνυιοθέτησηκριτηρίωνγιατηναξιολόγησητηςασφά­
λειαςτηςτεχνολογίαςπληροφοριών(ΚΑΑΤΠ)σεκοινο­
τικήκλίμακα,αρχικάγιαμιαδιετήπερίοδο·
β)τηνπροώθηση,υπότηναιγίδατηςΟμάδαςΑνωτέρων
διοικητικώνυπαλλήλων(SOG-IS)γιατηνασφάλειατης
τεχνολογίαςτωνπληροφοριών ,τηςδιεθνούςεναρμόνισης
καιτυποποίησηςτωνενλόγωκριτηρίων·καιγ)τηνεπανεξετασητωνμέτρωναυτώνμετατηναρχικήδιετή
περίοδοκαιμεβάσητηνπρότασητηςΟμάδαςΑνωτέρων
διοικητικώνυπαλλήλωνγιατηνασφάλειατηςτεχνολο­
γίαςτωνπληροφοριώνγιατηνανάληψη,περαιτέρω,κα­
τάλληλωνδράσεωνγιατηνΚοινότητα .
1.3.ΤαΚΑΑΤΠπεριλαμβάνουν τυποποιημένακριτήρια
γιατηναξιολόγησητηςασφάλειαςτωνπροϊόντωνκαιτων
συστημάτωντηςΤΠπουκαλύπτουνΐόσοτομηχανικόμέρος
όσοκαιτολογισμικόμέρος(hard-andsoftware).
1.4.Τακριτήριααυτάπρέπειναεφαρμόζονταιστασυστή­
ματαΤΠκαιταπροϊόντασταπλαίσιατωνεθνικώνσυστημά­
τωνπιστοποίησης απόανεξάρτητουςκαιαμερόληπτους
οργανισμούςαξιολόγησηςμετάαπόαίτηση«χρηματοδότη»
(κανονικάτουπωλητήήτουχρήστησυστημάτων/προϊόντων
ΤΠ).Hπιστοποίησηγίνεταισυνεπώςσεεκούσιαβάση.
1.5.HασφάλειατηςΤΠσυντίθεταιαπότρίαστοιχεία:
—τηνεμπιστευτικότητα —παρεμπόδισημηεπιτρεπόμενης
διάδοσηςτηςπληροφορίας ,

Αριθ.C73/20 ΕπίσημηΕφημερίδατωνΕυρωπαϊκώνΚοινοτήτων 15.3.93
στιςσυστάσειςτουςγιατηνοδηγίασχετικάμετηνπροστασία
τουατόμουκατάτηνεπεξεργασίαδεδομένωνπροσωπικού
χαρακτήρακαιτηνπρότασηαπόφασηςτουΣυμβουλίουστον
τομέατηςασφάλειαςτωνπληροφοριών(').—τηνακεραιότητα—παρεμπόδισημηεπιτρεπόμενηςτρο­
ποποίησηςτηςπληροφορίας ,
—τηδιαθεσιμότητα—προστασίαέναντιμιαςμηεπιτρεπό­
μενηςαπαγόρευσηςστηνπρόσβασηστηνπληροφόρηση
ήστουςπόρους.2.2.Hκαθιέρωσητυποποιημένων κριτηρίωναξιολόγησης
τηςιδιόμορφηςασφάλειαςτηςτεχνολογίαςθαεπιτρέψει
στουςχρήστεςοιοποίοιεντόπισαντουςκινδύνουςπουτους
απειλούνναεπιλέγουντοείδοςτωνπροϊόντωνήτωνσυστη­
μάτωνπουανταποκρίνονται στιςανάγκεςτουςκαικατάσυνέ­
πειαθαβοηθήσειτουςχρήστεςναμηνπραγματοποιούν επεν­
δύσειςυπερβολικώνποσώνσεμηαναγκαίαχαρακτηριστικά
ήνααποτυγχάνουνστονέλεγχοκινδύνωνγιατηνασφάλεια.1.6.Τακριτήριαασφαλείαςδεναφορούντηνπροστασία
έναντιφυσικώναπειλώντηςασφάλειας(όπωςτωνκλειδαριών
καιτωνσυρτών)αλλάτουλικόμέρος,τολογικόμέροςκαι
ταμικροπρογράμματα σταπροϊόντακαισυστήματαΤΠ.
1.7.Oχρηματοδότηςπουεπιθυμείναεπιτύχειτηναξιολό­
γησητηςασφάλειαςτωνπροϊόντωνήσυστημάτωνΤΠτου
οφείλειναπροσδιορίσειτο«στόχοασφάλειας»γιατοσυγκε­
κριμένοπροϊόνήσύστημαβάσειτουοποίουθααξιολογηθούν
αυτά.Αυτόςoστόχοςπρέπεινακαθορίζειτουςσχετικούς
«στόχουςασφάλειας»πουπρέπειναυλοποιηθούνμετα
προϊόνταήσυστήματαΤΠ,την«ενίσχυσητωνλειτουργιών
ασφάλειας»,ορισμένεςπιθανές«απειλές»σταπροϊόνταή
συστήματαΤΠκαι,επιλεκτικά,τους«μηχανισμούςασφά­
λειας»,τηλογικήήτουςαλγόριθμουςπουεφαρμόζουνστις
λειτουργίεςασφάλειας .2.3.Τοσχήμαπιστοποίησηςθαεξασφαλίσειεπίσηςότιοι
απαιτήσειςτωνπρομηθευτώνδικαιολογούνται όσοναφορά
τηνεγγενήασφάλειαπροϊόντωνκαισυστημάτωνΤΠ·επι­
πλέον,εφόσονυφίστανταιτυποποιημένακριτήριαγιατην
αξιολόγησητηςδυνατότηταςτωνλειτουργιώνενίσχυσηςτης
ασφάλειαςτωνπροϊόντωνναανταποκρίνονται σεπαρόμοιες
απειλέςκαθίσταταιευκολότερηησύγκλισημεταξύτωναντα­
γωνιστικώνπροϊόντων .Τούτοείναιιδιαίτεραπολύτιμοστον
τομέατωνδημοσίωνπρομηθειώνκαιχρήσιμογιατηνιδιω­
τικήβιομηχανίακαιτοεμπόριο.
2.4.Οιπωλητέςπροϊοντωνασφάλειαςπουυποβλήθηκαν
σεαξιολόγησητηςασφάλειαςθαμπορέσουννααυξήσουν
τιςπωλήσειςτωνπροϊόντωντουςμετηνκατάλληληχρήση
τηςπιστοποίησης· συνεπώςαυτάθαπρέπειναδύνανταινα
προσαρμόζουν τημελλοντικήανάπτυξητωνπροϊόντωνστις
ανάγκεςτηςαγοράς.1.8.Hαξιολόγησηπραγματοποιείται σεδυοεπίπεδα:
Αξιολογείταικατ'αρχήνηεπιλογήκαιηενσωμάτωσητων
λειτουργιώνπουσχετίζονταιμετηνασφάλειακατάτηδιάρ­
κειατηςανάπτυξηςτουσυστήματος/προϊόντοςκαθώςκαι
oτρόποςκατάτονοποίοθαχρησιμοποιηθούν ορθώς-στη
συνέχειακατάπόσοντοσύστημαήτοπροϊόνείναιαποτελε­
σματικόγιατηνεκπλήρωσητωνστόχωνασφαλείας.
2.5.Hύπαρξητυποποιημένων κριτηρίωνθαδιευκολύνει
τηνκαθιέρωσηκωδίκωνπρακτικήςήνομοθεσίαςπουθα
επιβάλουνκατώτεραπρότυπαασφαλείαςαποδεκτάβάσειτων
συστημάτωνκαιπροϊόντωντηςΤΠ,εάνκαιόπουαυτάδικαιο­
λογούνταιγιαπαράδειγμαστοπεδίοτηςπροστασίαςτων
δεδομένων.1.9.Oχρηματοδότης θαζητήσειγιατηνορθήκαιπιστή
εφαρμογήτωνλειτουργιώνασφάλειαςναγίνειεκτίμησηστη
βάσηενός(κατώτατου)επιπέδουεκτίμησηςΕ0μέχριτουΕ6
(ανώτατουεπιπέδου).Κάθεεκτίμησηεπιπέδουσυνεπάγεται
αυστηρότεροέλεγχοτουσυστήματος/προϊόντος.Hαξιολό­
γησητηςαποτελεσματικότητας τουσυστήματοςήπροϊόντος
στηνεκπλήρωσητουστόχουασφάλειαςβασίζεταιστηνορθή
εκτίμηση,ενώηικανότητατουμηχανισμούασφάλειαςνα
ανθίσταταισεάμεσηπροσβολήθακριθείωςβασική,μεσαία
ήυψηλή.2.6.Hύπαρξηκριτηρίωνασφαλείαςθσενισχύσειτηνεμπι­
στοσύνηστακοινοτικάπροϊόντακαισυστήματαεκτόςΕυρώ­
πηςκαιθασυμβάλειστηναύξησητωνεξαγωγώντηςΕΚ.
1.10.Μετηνολοκλήρωσητηςαξιολογησηςoανεξάρτη­
τοςεθνικόςοργανισμόςθααπονείμειτηβαθμολογίααπόΕ0
έωςΕ6μέσωτηςοποίαςθαεπιβεβαιώνεταιότιτοσύστημαή
προϊόνΤΠέχειπληρώσειτοσύνολοτωνορθώνκριτηρίων
καιανταποκρίνεται πραγματικάστοαπαιτούμενοεπίπεδο.2.7.Hεναρμόνισητωνπροτύπωνείναισυνεπώςεπιθυμητή
επειδήθαδιευκολύνειτηνελεύθερηκυκλοφορίααγαθώνστην
ΕΚκαιθαπεριορίσειστοελάχιστοτηχρήσηαπότακράτη
μέλητουάρθρου36καιτοναριθμότωνπροσφυγώνστο
Δικαστήριο .HΟΚΕτόνισεήδητησημασίατηςτυποποίησης
γιατηνυλοποίησητηςενιαίαςαγοράςτόσοστηνέκθεσήτης
αλλάκαιστιςγνωμοδοτήσεις τηςγιατηντυποποίησηκαι
τηνκατάργησητωντεχνικώνεμποδίωνστιςσυναλλαγές(2).
2.Γενικεςπαρατηρήσεις
2.8.HΟΚΕεγκρίνειτογεγονόςότιτακριτήριαδιαμορφώ­
θηκανμεγνώμοναταυφιστάμενακριτήριασεάλλεςχώρες 2.1.HΟΚΕκαλωσορίζειτηνπρότασηκαιαποδεχεταιτους
στόχουςτης.OρόλοςτωνπροϊόντωνκαισυστημάτωνΤΠ
ενισχύεταισυνεχώςσεκοινωνικόεπίπεδο,ενώέχουναυξηθεί
αντίστοιχαοιζημίεςπουοφείλονταιστημητήρησητης
ασφάλειας.ΤοΕυρωπαϊκόΚοινοβούλιοκαιηΟΚΕτόνισαν
επανειλημμένα τησημασίατουπροβλήματοςαυτού,ιδίως(')ΕΕαριθ.C159της17.6.1991.
(2)ΕΕαριθ.C14της20.1.1992.

15.3.93 ΕπίσημηΕφημερίδατωνΕυρωπαϊκώνΚοινοτήτων Αριθ.C73/21
εκτόςΕυρώπηςιδίωςστιςΗΠΑ.HΟΚΕζήτησεστοπαρελ­
θόνναδοθείπροσοχήσταπλεονεκτήματα τηςτυποποίησης
σεπαγκόσμιακλίμακαμεσκοπόνααποφευχθούντατεχνικά
εμπόδιαστιςσυναλλαγέςμετιςμηκοινοτικέςχώρες.Επιβε­
βαιώνειότιδενεπιθυμείταΚΑΑΤΠνακαταστούνδυσδιά­
κριταεμπόδιαστιςσυναλλαγές .
2.9.HΟΚΕεγκρίνειτογεγονόςότιταΚΑΑΤΠδιαμορφώ­
θηκανμετάαπόδιαβουλεύσειςμετουςεμπλεκόμενους κατα­
σκευαστέςκαιτουςχρήστεςπροϊόντωνκαισυστημάτωνΤΠ
καιτονίζειτησημασίατηςσυνέχισηςτωνδιαβουλεύσεων .
3.Ειδικέςπαρατηρήσειςλείαςτηςτεχνολογίαςπληροφοριών .Επικροτείπεραιτέρω
τηνπρόθεσηνασυντελεσθείπρόοδοςπροςτηνκατεύθυνση
τηςαμοιβαίαςαναγνώρισηςτωνεθνικώνπιστοποιήσεων σε
κοινοτικήκλίμακα·ωστόσοπιστεύειότιπρέπειναδιατυπω­
θούνπεραιτέρωπαρατηρήσειςγιαορισμένουςενδοιασμούς
πουεξέφρασανοιχρήστεςόπως:
α)κατάπόσοηπρακτικήαξιολόγησημπορείναείναιαρκετά
ακριβήςγιατηνεμπορικήχρήση·
β)μεποιοτρόποθααντιμετωπισθούν οιδιαφορέςμεταξύ
διαφόρωντύπωνπροϊόντωντεχνολογίαςπληροφοριών
πουενδέχεταιναείναιπολλές·
γ)γιατιςμεθόδουςπουεφαρμόζονταιστηδιαδικασίααξιο­
λόγησηςκαιμεποιοτρόπομπορείναεπιτευχθείσυνοχή
μεταξύτωνεθνικώνοργανισμώντυποποίησης·
δ)κατάπόσονστομέλλονορισμέναπρότυπαθααπαιτούνται
σταδημόσιαήιδιωτικάσυστήματαεπειδήηχρήσητους
προβλέπεταιακριβώςαπότηνκοινοτικήνομοθεσίαή
άλλουςκώδικεςπρακτικής,γιαπαράδειγμασεσχέσημε
τασυστήματαεπεξεργασίαςδεδομένωνπροσωπικούχαρα­
κτήρα·και
ε)στοπλαίσιοτηςραγδαίωςεξελισσόμενης βιομηχανίας
μεποιοτρόποθαδιασφαλισθείότιηαξιολόγησητης
ασφάλειαςθαμπορείναγίνεταιαρκετάγρήγορακαιότι
τακριτήριααξιολόγησηςθααναπροσαρμόζονται τακτικά.3.1.HΟΚΕεκφράζειτηλύπητηςεπειδήηχρήσημιας
τέτοιαςασαφούςτεχνικήςορολογίαςστοκείμενοτηςοδηγίας
καθιστάτηνπρόταση,χωρίςλόγο,δυσνόητη.
3.2.HΟΚΕεπιδοκιμάζειτηδιάκρισητηςλειτουργικότη­
ταςαπότιςπροδιαγραφέςασφάλειαςστακριτήριαπουκαθι­
στούνδυνατήτηνεφαρμογήτωνΚΑΑΤΠσεευρείακλίμακα
σταπροϊόνταήσυστήματαΤΠ.
3.3.HΟΚΕεγκρίνειτηνπρόθεση,μετάτηδιετήπερίοδο
παρακολούθησης απότηSOG-ISκαιτιςπεραιτέρωδιαβου­
λεύσειςμετουςσχετικούςβιομηχανικούςκλάδουςκαιτους
χρήστες,ναεπανεξετασθεί ηπορείατωνσυστημάτωνασφά
Βρυξελλες,27Ιανουαρίου1993.
HΠροεδροςτης
ΟικονομικήςκαιΚοινωνικήςΕπιτροπής
SusanneΤΙΕΜΑΝΝ