15.3.93 JournalofficieldesCommunautés européennes N°C73/19
leniveaudepertesd'emploispeutsemblerpeuélevé
lorsqu'onlecompareauxlicenciementsmassifsdes
grandesentreprises,maisl'effetrisqued'êtrebien
plusgrandsurlesPMEconsidérées .oncourtledangerquedesdonneursd'ordrespri­
mairesrecourentàdessourcesd'approvisionnement
moinsonéreusesdansdespaystiers;
quoiquelesPMEsoientconnuespourleurfaculté
d'adaptationauchangement,ellespourraientnéan­
moinsavoirbesoind'êtreaidéespardesprogram­
mesdediversification ;
FaitaBruxelles,le27janvier1993.
LePrésident
duComitééconomiqueetsocial
SusanneTIEMANN
Avissurlapropositionderecommandation duConseilconcernantdescritèrescommuns
d'évaluationdelasécuritédestechnologiesdel'information
(93/C73/05)
Le29septembre1992,leConseiladécide,conformément al'article198duTraitéinstituant
laCommunautééconomiqueeuropéenne,desaisirleComitééconomiqueetsociald'une
demanded'avissurlapropositionsusmentionnée .
Lasectiondel'industrie,ducommerce,del'artisanatetdesservices,chargéedepréparerles
travauxenlamatière,aémissonavisle6janvier1993(Rapporteur :MmeBarrow).
Lorsdesa302esessionplénière(séancedu27janvier1993),leComitééconomiqueetsocial
aadoptéàl'unanimité,l'avissuivant.
1.Introduction
1.1.LapropositionprésentéeparlaCommissionvise
àaccroîtrelaconfiancedesconsommateurs dansles
performances enmatièredesécuritédesproduitsdes
technologiesdel'informationetdefournirdesrepères
parrapportauxquelscesperformancesdesécuritépeu­
ventêtreévaluées.Ellereprendetdéveloppelestravaux
déjàréalisésdanslesÉtatsmembres,auxÉtats-Uniset
auJaponsurl'établissement descritèresd'évaluation
delasécuritédesTI.
1.2.Larecommandation duConseilproposée
concerne :
(i)l'adoptiondecritèrescommunsd'évaluationdela
sécuritédestechnologiesdel'information (ITSEC)
àl'échelledelaCEpourunepériodeinitialede
deuxans;
(ii)l'intensification del'harmonisation etdelanorma­
lisationauniveauinternationaldecescritères,sous
l'égideduGroupedehautsfonctionnairespourla
sécuritédessystèmesd'information (SOG-IS);(iii)larevisiondecesmesuresaprèslapériodeinitiale
dedeuxansetlapropositionparleGroupede
hautsfonctionnairespourlasécuritédessystèmes
d'informationd'actionsappropriéespourlaCom­
munauté.
1.3.L'ITSECcomprenddescritèresnormaliséspour
l'évaluationdelasécuritédeproduitsetdesystèmes
TI,quicouvrenttantlesmatérielsqueleslogiciels.
1.4.Cescritèresdoiventêtreappliquésauxproduits
etauxsystèmesTIdanslecadredessystèmesnationaux
decertificationpardesorganismesd'évaluationnatio­
nauxindépendantsetimpartiaux,àlademanded'un
«commanditaire »(normalement levendeuroul'utilisa­
teurduproduitoudusystèmeTI).Ladémarcheest
doncentièrementvolontaire .
1.5.LasécuritédesTIsecomposedetroiséléments:
—laconfidentialité —préventiond'unedivulgation
nonautoriséedel'information ;

N°C73/20 JournalofficieldesCommunautés européennes 15.3.93
—l'intégrité—préventiond'unemodificationnon
autoriséedel'information ;
—ladisponibilité—préventiond'undéninonautorisé
d'accèsàl'informationouàdesressources .
1.6.L'ITSECneconcernepaslesaspectsphysiques
(telsquelesverrousoulescliquets),maisrecouvrent
lesmatériels,leslogicielsoulesmicroprogrammes ,tant
pourlesproduitsquepourlessystèmesTI.
1.7.Uncommanditaire souhaitantuneévaluationde
sécuritépoursonproduitousonsystèmeTIdoitdéfinir,
pourleproduitoulesystèmela«cibledesécurité»,à
lalumièredelaquelleilseraévalué.Cetteciblede
sécuritédoitdéfinirles«objectifsdesécurité»auxquels
leproduitousystèmeTIdoitrépondre,ses«fonctions
dédiéesàlasécurité»,les«menaces»éventuellesà
l'encontredecelui-ciet,àtitreoptionnel,les«mécanis­
mesdesécurité»—lalogiqueoulesalgorithmesqui
permettentlamiseenœuvredelafonctiondesécurité.
1.8.L'évaluationestrealiseeadeuxniveaux.On
évalueaupremierniveausilasélectionetl'intégration
desfonctionsdédiéesàlasécuritéaucoursdudévelop­
pementdusystèmeouproduitd'unepart,etlamanière
dontellessontutiliséesd'autrepart,sontcorrectes;au
secondniveau,onévaluesilesystèmeouproduitest
efficacepouratteindrelesobjectifsdesécurité.plusieursreprisesparleParlementeuropéenetle
Comitélui-même,enparticulierdansunavisdecelui­
cisurlespropositionsdedirectivesurlaprotection
desindividusenmatièredetraitementdesdonnéesà
caractèrepersonneletladécisionduConseilrelativeà
lasécuritédessystèmesd'information(^.
2.2.L'établissement decritèresnormaliséspour
l'évaluationdesaspectsdelasécuritépermettraaux
utilisateursquiontidentifiélesmenacesquilesconcer­
nentdechoisirdesproduitsousystèmesadaptésà
leursbesoinsetpartant,d'éviterdesurinvestirdansdes
aspectsdesécuritéquines'imposentpasetderéussir
àcontrôlerlesrisquesenmatièredesécurité.
2.3.Unsystèmedecertificationpermettraégalement
des'assurerquelesannoncesdesfournisseursconcer­
nantlasécuritéinhérentedeleursproduitsetsystèmes
TIsontbienjustifiées.Enoutre,l'existencedecritères
normaliséspourévaluerlescapacitésdesfonctions
dédiéesàlasécuritéintégréesauxproduitsafinde
contrerdesmenacessimilaires,rendraplusfacilela
comparaisonentredesproduitsconcurrents,cequi
revêtunintérêtparticulierdansledomainedesmarchés
publicsetpeutêtreutilepourl'industrieetlecommerce
dusecteurprivé.
2.4.Lesvendeursdeproduitsdesécuritéquiontfait
l'objetd'uneévaluationdesécuritédevraientpouvoir
augmenterleursventesparuneutilisationappropriée
delacertification ;ilsdevraientégalementpouvoircibler
plusfacilementlesfutursdéveloppements deleurspro­
duitsenfonctiondesbesoinsdumarché.
2.5.L'existencedecritèresnormalisésdevraitfacili­
terl'introductiondecodesdebonnepratiqueoud'une
législationétablissantdesnormesminimalesdesécurité
acceptablespourlessystèmesetproduitsTI,dansles
caslejustifiant,parexempleenmatièredeprotection
desdonnées.
2.6.L'existencedecritèresdesécuritédevraitaccroî­
trelaconfiancedanslesproduitsetsystèmescommu­
nautairesàl'extérieurdel'Europeetpermettred'aug­
menterlesexportationsàpartirdelaCE.
2.7.L'harmonisation desnormesestégalementsou­
haitableafindefaciliterlalibrecirculationdesmar­
chandisesdanslaCEetdelimiterlepluspossiblele
recoursàl'article36parlesÉtatsmembresetlenombre
desaisinesdelaCourdejustice.LeComitéadéjà
soulignél'importancedelanormalisationpourl'achè­
vementduMarchéuniquedanssonrapportetdans
sonavissurlanormalisation etlasuppressiondes
entravestechniquesauxéchanges(2).
2.8.LeComitéapprouveladémarcheayantconsisté
àélaborerlescritèresentenantcomptedeceuxqui1.9.Lecommanditaire demanderaqu'onévaluesi
lesfonctionsdédiéesàlasécuritésontmisesenœuvre
defaçoncorrecteetappropriéesurlabased'unniveau
d'évaluation,cesniveauxétantnumérotésdeE0(leplus
bas)àE6(leplusélevé).Chaqueniveaud'évaluation
correspondàuneestimationplusrigoureusedusystème
ouproduit.L'évaluationdel'efficacitédusystèmeou
produitàatteindrelesciblesdesécuritésefaitensuite
surlabasedel'évaluationdelaconformitéetdela
capacitédesmécanismesdesécuritéàrésisteràune
attaquedirectequiseracotéeselontroisniveaux:élé­
mentaire,moyenetélevé.
1.10.Aprèsl'évaluation,l'organismenationalindé­
pendantprocéderaàunecotationdesniveauxde
conformité,allantdeE0àE6,quiconfirmeraquele
systèmeouproduitTIsatisfaitàlatotalitédescritères
deconformitéetqu'ilestefficaceauniveauannoncé.
2(Observationsgénérales
2.1.LeComitéaccueillefavorablement laproposi­
tionetsouscritàsesobjectifs.Lesproduitsetsystèmes
TIjouentunrôledeplusenplusimportantdansla
sociétéetlesdangersquereprésententlesdéfaillances
éventuellesdesécuritésesontproportionnellement
accrus.L'importancedeceproblèmeaétésoulignéeà(1)JOn°C159du17.6.1991.
(2)JOn°C14du20.1.1992.

15.3.93 JournalofficieldesCommunautés européennes N°C73/21
existentdansd'autrespaystiers,notammentauxÉtats­
Unis.LeComitéadanslepasséappeléàuneprise
enconsidération desavantagesd'unenormalisation
àl'échelleinternationale envued'éviterlesbarrières
techniquesauxéchangesaveclespaysnefaisantpas
partiedelaCommunauté etilformuleànouveaule
souhaitdenepasvoirl'ITSECeuropéendevenirune
entraveinvisibleauxéchanges.
2.9.LeComitéapprouvelefaitquel'ITSECaitété
élaboréàlasuited'uneconsultationavecceuxqui
interviennent danslafabricationetl'utilisationdes
produitsetsystèmesTI,etilsoulignel'importance
d'uneconsultationpermanente .
3.Observationsparticulières
3.1.LeComitéregrettequesoitutiliséunlangage
techniqueaussipeuclairdanslecorpsdutextedela
recommandation ,quicompliqueinutilementlacompré­
hensiondelaproposition .
3.2.LeComitésouscritàlaséparationfaiteentrela
fonctionnalité etlesexigencesrelativesàl'assurance
danslescritères,quipermetl'applicationdel'ITSECà
unelargegammedeproduitsetdesystèmesTI.
3.3.LeComitéapprouvel'objectifderevoir,au
termed'unepériodeinitialedesuividedeuxans,assuré
parleSOG-IS,etd'uneconsultationapprofondieavecl'industrieetlesutilisateurs,lesdéveloppements en
matièredesécuritédessystèmesTI.Ilapprouveégale­
mentlefaitdevouloirréaliserl'objectifimportantd'une
reconnaissance mutuelledesprocéduresdecertification
nationalesàl'échelledelaCommunauté .Ilestime
néanmoinsqu'ilyalieudeprendredavantageenconsi­
dérationcertainespréoccupations expriméesparles
utilisateursencequiconcernelesquestionssuivantes:
a)Lesévaluationspeuvent-ellesêtreassezprécisesdans
lapratiquepourpouvoirêtreutilescommerciale­
ment?
b)Comments'yprendreaveclesdifférencesquiexis­
tententrelesdiversmodèlesdontondisposepour
chaqueproduitTIetquipeuventêtrenombreuses ?
c)Quellesméthodesappliquerpourlaprocédure
d'évaluationetcommentparveniràunecohérence
entrelesorganismesdecertificationnationaux ?
d)Unenormedonnéesera-t-ellerequiseàl'avenirpour
lessytèmespublicsouprivésautitredelalégislation
communautaire oud'uncodedebonnepratique,
parexemplepourcequiestdessystèmestraitant
dedonnéespersonnelles ?et
e)danscecontexted'uneindustriequiprogresserapi­
dement,commentfaireensortequelesévaluations
desécuritépuissentêtreréaliséesaveclarapidité
suffisanteetquelescritèresd'évaluationpuissent
êtreréactualisésrégulièrement ?
FaitàBruxelles,le27janvier1993.
LePrésident
duComitééconomiqueetsocial
SusanneTIEMANN