Source: http://docplayer.fr/4847900-Rapport-de-certification-pp-2004-01-profil-de-protection-pour-services-bancaires-et-ou-financiers-sur-internet.html
Timestamp: 2018-11-18 15:31:15+00:00
Document Index: 317704852

Matched Legal Cases: ['art 1', 'art 2', 'art 3', 'art 1', 'art 2', 'art 3']

Rapport de certification PP 2004/01. Profil de Protection pour services bancaires et/ou financiers sur Internet - PDF
Download "Rapport de certification PP 2004/01. Profil de Protection pour services bancaires et/ou financiers sur Internet"
1 PREMIER MINISTRE Secrétariat général de la défense nationale Direction centrale de la sécurité des systèmes d'information Profil de Protection pour services bancaires et/ou financiers sur Internet Paris, le 7 octobre 2004 Le Directeur central de la sécurité des systèmes d information Henri Serres
2 Avertissement Un profil de protection est un document public qui définit pour une catégorie de produits un ensemble d exigences et d objectifs de sécurité indépendants de leur technologie et de leur implémentation. La certification d un profil de protection ne constitue pas en soi une recommandation de ce profil de protection ou des produits qui s en réclameront conformes par le centre de certification. Page 2 sur 13
3 Table des matières 1. PRESENTATION DU PROFIL DE PROTECTION IDENTIFICATION DU PROFIL DE PROTECTION REDACTEUR DESCRIPTION DU PROFIL DE PROTECTION Généralités Périmètre de la cible d évaluation EXIGENCES FONCTIONNELLES EXIGENCES D ASSURANCE OBJECTIFS DE SECURITE SUR L ENVIRONNEMENT L EVALUATION CENTRE D'EVALUATION COMMANDITAIRE REFERENTIELS D EVALUATION EVALUATION DU PROFIL DE PROTECTION CONCLUSIONS DE L'EVALUATION CERTIFICATION ENREGISTREMENT ANNEXE 1. NIVEAUX D'ASSURANCE PREDEFINIS ANNEXE 2. REFERENCES Page 3 sur 13
4 1. Présentation du profil de protection 1.1. Identification du profil de protection Titre : Profil de Protection pour services Version : 7.0 Date : 4 août Rédacteur Ce profil de protection a été rédigé par le groupe sécurité du : Comité Français d Organisation et de Normalisation Bancaire (CFONB) 18, rue La Fayette Paris 1.3. Description du profil de protection Généralités Ce profil de protection a été réalisé par la communauté bancaire et financière française conformément aux recommandations du Livre Blanc «Internet : quelles conséquences prudentielles?». Il a pour but de constituer un référentiel de sécurité pour les systèmes qui fournissent des services bancaires et/ou financiers transactionnels sur Internet (ci-après SBFI) Périmètre de la cible d évaluation La fourniture d un service bancaire et/ou financier transactionnel sur Internet implique les systèmes suivants : - les équipements des utilisateurs (clients, fournisseurs de données ou exploitants) ; - le système SBFI qui fournit le service ; - et pour certains types de services, un ou plusieurs systèmes de production bancaire et/ou financier. Seul le système SBFI est inclus dans le périmètre de la cible d évaluation définie dans le profil de protection. Sont donc exclus : - les équipements de connexion aux SBFI des utilisateurs et les systèmes de production ; - la partie du système qui fournit des services non considérés comme des SBFI ou des services transitant par un canal différent d Internet (accès Minitel par exemple) ; - les systèmes de secours ou de contrôle d accès physique au système SBFI. Page 4 sur 13
5 1.4. Exigences fonctionnelles Les SBFI peuvent concerner différents types de transactions (ordres d achat, de virement, mises en opposition d une carte bancaire, commande de chéquiers, ). Le profil de protection considère deux types de transactions : les transactions présentant un risque opérationnel élevé et les transactions «normales» 1. Les exigences fonctionnelles de sécurité suivantes sont retenues dans le profil de protection : - Alarmes de sécurité [FAU_ARP.1] ; - Génération de données d audit [FAU_GEN.1] ; - Lien avec l identité de l utilisateur [FAU_GEN.2] ; - Analyse de violation potentielle [FAU_SAA.1] ; - Revue d audit [FAU_SAR.1] ; - Revue d audit restreinte [FAU_SAR.2] ; - Audit sélectif [FAU_SEL.1] ; - Stockage protégé de la trace d audit [FAU_STG.1] ; - Garanties de disponibilité des données d audit [FAU_STG.2] ; - Prévention des pertes de données d audit [FAU_STG.4] ; - Preuve sélective de l origine [FCO_NRO.1] ; - Preuve systématique de l origine [FCO_NRO.2] pour les transactions présentant un risque opérationnel élevé ; - Génération de clés cryptographiques [FCS_CKM.1] ; - Distribution de clés cryptographiques [FCS_CKM.2] ; - Accès aux clés cryptographiques [FCS_CKM.3] ; - Destruction de clés cryptographiques [FCS_CKM.4] ; - Opération cryptographique [FCS_COP.1] ; - Contrôle d accès partiel [FDP_ACC.1] ; - Contrôle d accès basé sur les attributs de sécurité [FDP_ACF.1] ; - Authentification de données élémentaire [FDP_DAU.1] ; - Exportation de données de l utilisateur sans attributs de sécurité [FDP_ETC.1] ; - Contrôle de flux d information partiel [FDP_IFC.1] ; - Attributs de sécurité simples [FDP_IFF.1] ; - Importation de données de l utilisateur sans attributs de sécurité [FDP_ITC.1] ; - Protection élémentaire d un transfert interne [FDP_ITT.1] ; - Annulation élémentaire [FDP_ROL.1] ; - Contrôle de l intégrité des données stockées [FDP_SDI.1] ; - Gestion d un échec de l authentification [FIA_AFL.1] ; - Définition des attributs de l utilisateur [FIA_ATD.1] ; - Vérification de secrets [FIA_SOS.1] ; - Programmation de l authentification [FIA_UAU.1] ; - Authentification de l utilisateur avant toute action [FIA_UAU.2] ; - Mécanismes d authentification à usage unique [FIA_UAU.4] pour les transactions présentant un risque opérationnel élevé ; - Authentification avec retours protégés [FIA_UAU.7] ; 1 Une analyse de risque doit être réalisée par l établissement agréé responsable du service à évaluer pour identifier les transactions qui seront considérées comme présentant un risque opérationnel élevé. Page 5 sur 13
6 - Programmation de l identification [FIA_UID.1] ; - Identification de l utilisateur avant toute action [FIA_UID.2] ; - Administration du comportement des fonctions de sécurité [FMT_MOF.1] ; - Administration des attributs de sécurité [FMT_MSA.1] ; - Attributs de sécurité sûrs [FMT_MSA.2] ; - Initialisation statique d attribut [FMT_MSA.3] ; - Administration des données de la TSF [FMT_MTD.1] ; - Rôles de sécurité [FMT_SMR.1] ; - Protection élémentaire des données de la TSF lors d un transfert interne [FPT_ITT.1] ; - Détection de rejeu [FPT_RPL.1] ; - Capacité de la TSP à ne pas être contournée [FPT_RVM.1] ; - Séparation de domaines pour la TSF [FPT_SEP.1] ; - Horodatage fiable [FPT_STM.1] ; - Cohérence interne de la TSF [FPT_TRC.1] ; - Messages par défaut d accès à la TOE [FTA_TAB.1] ; - Historique des accès à la TOE [FTA_TAH.1] ; - Établissement d une session de la TOE [FTA_TSE.1] ; - Chemin de confiance [FTP_TRP.1]. Toutes les exigences fonctionnelles de sécurité du profil de protection sont extraites de la partie 2 des Critères Communs [CC] Exigences d assurance Les exigences d assurance de sécurité retenues dans le profil de protection ne correspondent pas à un niveau prédéfini EAL. Un paquet spécifique a été défini. Classes d'assurance Gestion de configuration Livraison et exploitation Développement Guides Support au cycle de vie Tests Estimation des vulnérabilités Composants Contrôles des autorisations [ACM_CAP.3] Couverture du suivi des problèmes par la gestion de configuration [ACM_SCP.2] Procédures de livraison [ADO_DEL.1] Procédures d installation, de génération et de démarrage [ADO_IGS.1] Spécifications fonctionnelles informelles [ADV_FSP.1] Conception de haut niveau - identification des soussytèmes dédiés à la sécurité [ADV_HLD.2] Démonstration de correspondance informelle [ADV_RCR.1] Guide de l administrateur [AGD_ADM.1] Guide de l utilisateur [AGD_USR.1] Identification des mesures de sécurité [ALC_DVS.1] Correction élémentaire d anomalies [ALC_FLR.1] Éléments de preuve de la couverture [ATE_COV.1] Tests fonctionnels [ATE_FUN.1] Tests indépendants conformité [ATE_IND.1] Évaluation de la résistance des fonctions de sécurité de la TOE [AVA_SOF.1] Analyse de vulnérabilités indépendante [AVA_VLA.2] Page 6 sur 13
7 Toutes ces exigences d assurance sont extraites de la partie 3 des Critères Communs [CC]. Un niveau minimum de résistance moyen (SOF-Medium) est exigé pour les fonctions de sécurité réalisées par des mécanismes permutationels ou probabilistiques Objectifs de sécurité sur l environnement Les objectifs de sécurité que doit respecter l environnement du système SBFI sont les suivants : Obligations - des contrats doivent formaliser les rôles et responsabilités respectifs des acteurs du système SBFI ; - toute transaction doit s'effectuer dans un cadre contractuel entre un utilisateur et l'établissement agréé responsable du service ; - toute transaction modifiant un bien d'un utilisateur doit inclure l'envoi d'un relevé de transaction à l'utilisateur ; Politique de sécurité - la sécurité du système SBFI et de son environnement doit être placée sous la responsabilité d'un organe unique situé à un niveau hiérarchique, chargé notamment de valider la Politique de sécurité ; - l'établissement agréé responsable du service doit procéder à une analyse de risques spécifique au système SBFI afin de mettre en place des protections adaptées ; - un plan d'action doit être défini afin de faire face aux événements impactant fortement la disponibilité du système SBFI ; - les règles de gestion des incidents de sécurité concernant le système SBFI doivent être formalisées et validées ; - pour une transaction présentant un risque opérationnel élevé, les éléments nécessaires à l authentification d un utilisateur doivent être protégés conformément à leurs caractéristiques de sécurité ; - l'établissement agréé responsable du service doit responsabiliser l utilisateur en le sensibilisant aux risques inhérents à la manipulation et au stockage, sur l équipement qui est sous sa seule responsabilité, des données liées à la fourniture d un SBFI ; - les acteurs ayant les rôles Exploitant, Administrateur ou Chargé de clientèle doivent être de confiance ; - les acteurs ayant les rôles Exploitant, Administrateur ou Chargé de clientèle doivent disposer des compétences et des moyens nécessaires pour mener à bien leurs missions ; Conception et développement - la sécurité doit être prise en compte dès la conception du système SBFI ; - le système SBFI ne doit fournir que les fonctions pour lesquelles il a été conçu, dans le but d'empêcher les vulnérabilités de conception ; - le système SBFI doit être qualifié d'un point de vue fonctionnel et technique avant sa mise en production, en faisant appel à un organe indépendant et compétent pouvant être interne à l'établissement agréé responsable du service ; - le système SBFI doit être conforme au modèle fonctionnel défini dans ce profil de protection. Il doit distinguer les transactions présentant un risque opérationnel élevé des autres transactions ; Contrôle et suivi Page 7 sur 13
8 - le système SBFI doit être inclus dans le processus de contrôle interne de l'établissement agréé responsable du service, avec pour corollaire que le processus de contrôle interne de l'établissement agréé responsable du service doit vérifier le respect de la Politique de sécurité du système SBFI ; - tous les éléments constituant le système SBFI doivent faire l'objet d'une gestion de configuration formalisée et validée ; - les éléments du système SBFI doivent faire l'objet d'une veille sécurité et d'une maintenance sécurité permanentes permettant le suivi et l'adaptation (respectivement) aux évolutions des menaces, des vulnérabilités ainsi que des technologies et produits aptes à renforcer la sécurité ; - toute modification touchant un élément constituant le système SBFI doit être qualifiée avant sa mise en œuvre par un organe indépendant pouvant être interne à l'établissement agréé responsable du service ; Sécurité physique - un contrôle des accès physiques aux locaux abritant des biens doit être mis en œuvre en permettant d autoriser les accès en fonction d un rôle ; - le système SBFI doit être situé dans des locaux disposant de mesures de sécurité physique adaptées, définies dans le cadre de l'analyse de risques spécifique au système SBFI réalisée par l'établissement agréé responsable du service ; - un contrôle des transferts physiques doit être mis en œuvre afin de garantir que les entités émettrices et destinataires sont autorisées. Page 8 sur 13
9 2. L évaluation 2.1. Centre d'évaluation Algoriel Tour Maine Montparnasse 33, avenue du Maine PARIS Cedex Commanditaire Comité Français d Organisation et de Normalisation Bancaire (CFONB) 18, rue La Fayette Paris 2.3. Référentiels d évaluation L évaluation a été menée conformément aux Critères Communs [CC] et à la méthodologie d évaluation définie dans le manuel CEM [CEM] Evaluation du profil de protection L évaluation du profil de protection a été menée sur la base des exigences de la classe APE définie dans la partie 3 des Critères Communs [CC] : Composants APE_DES.1 APE_ENV.1 APE_INT.1 APE_OBJ.1 APE_REQ.1 APE_SRE.1 TOE description Security environment ST introduction Security objectives IT security requirements Explicitly stated IT security requirements Pour tous ces composants d assurance, un verdict «réussite» a été émis par l évaluateur. Le rapport technique d évaluation [RTE] décrit les résultats détaillés de l évaluation du profil de protection. Page 9 sur 13
10 3. Conclusions de l'évaluation 3.1. Certification Le centre de certification atteste que le profil de protection identifié au chapitre 1 satisfait les exigences des critères d évaluation des profils de protection définis dans la classe APE de la partie 3 des Critères Communs [CC] Enregistrement Le profil de protection «Profil de Protection pour services bancaires et/ou financiers sur Internet» version 7.0 est enregistré comme profil de protection certifié sous la référence «PP 2004/01». Un profil de protection enregistré est un document public dont une copie pourra être téléchargée sur le serveur Internet de la Direction centrale de la sécurité des systèmes d information : Suite à modification, une nouvelle version de ce profil de protection peut être enregistrée. Sur demande du commanditaire, il pourra être retiré du catalogue des profils de protection certifiés. Page 10 sur 13
11 Annexe 1. Niveaux d'assurance prédéfinis Classe Famille Composants par niveau d assurance EAL1 EAL2 EAL3 EAL4 EAL5 EAL6 EAL7 ACM_AUT Classe ACM ACM_CAP Gestion de configuration ACM_SCP Classe ADO ADO_DEL Livraison et opération ADO_IGS Classe ADV Développement ADV_FSP ADV_HLD ADV_IMP ADV_INT ADV_LLD ADV_RCR ADV_SPM Classe AGD AGD_ADM Guides d utilisation AGD_USR Classe ALC Support au cycle de vie Classe ATE Tests Classe AVA Estimation des vulnérabilités ALC_DVS ALC_FLR ALC_LCD ALC_TAT ATE_COV ATE_DPT ATE_FUN ATE_IND AVA_CCA AVA_MSU AVA_SOF AVA_VLA Page 11 sur 13
12 Annexe 2. Références [CC] Critères Communs pour l évaluation de la sécurité des technologies de l information: Part 1: Introduction and general model, August 1999, version 2.1, ref CCIMB ; Part 2: Security functional requirements, August 1999, version 2.1, ref CCIMB ; Part 3: Security assurance requirements, August 1999, version 2.1, réf: CCIMB Le contenu des Critères Communs version 2.1 est identique à celui de la Norme Internationale ISO/IEC 15408:1999, comportant les trois documents suivants : ISO/IEC : Part 1 Introduction and general model ; ISO/IEC : Part 2 Security functional requirements ; ISO/IEC : Part 3 Security assurance requirements. [CEM] Common Methodology for Information Technology Security Evaluation, réf. CCIMB , version 2.2, January [RTE] Rapport technique d évaluation du profil de protection SBFI, réf. CESTI/2618/RAP/CC/04.06 version 1, 24 août Page 12 sur 13
13 Toute correspondance relative à ce rapport doit être adressée au : Secrétariat Général de la Défense Nationale Direction Centrale de la Sécurité des Systèmes d'information Bureau certification 51, boulevard de la Tour Maubourg PARIS cedex 07 SP La reproduction de ce document sans altérations ni coupures est autorisée. Page 13 sur 13