국제공통평가기준 (CC, Common Criteria) [해킹과 악성코드] 국제공통평가기준 (CC, Common Criteria) 2012.10.17 A45003 유현수

Contents 1. 공통평가기준(CC)란? 2. CC의 연혁 및 동향 3. CC의 구성 4. CC의 미래 5. 주요용어 정리

1. 공통평가 기준(CC)이란?  ”ISO 15408 표준으로 채택된 정보 보호 제품 평가 기준. 정보화의 순기능 역할을 보장하기 위해 정보 보호 기술 기준으로 정보화 제품의 정보 보호 기능과 이에 대한 사용 환경 등급을 정한 기준이다.” - TTA 한국정보통신 기술협회 정보 보호 시스템에 대한 공통 평가 기준(CC)은 선진 각국들이 서로 다른 평가 기준을 가지고 평가를 시행하여 초래되는 시간과 비용 낭비 등 기타 제반의 문제점을 없애기 위해 개발하기 시작하여, 1998년에는 이에 의한 상호 인정 협정이 미국, 캐나다, 영국, 프랑스, 독일 간에 체결되었다. CC는 제1부 시스템의 평가 원칙과 평가 모델, 제2부 시스템 보안 기능 요구 사항(11개), 제3부 시스템의 7등급 평가를 위한 보증 요구 사항(8개)으로 되어 있다.

2. CC의 연혁 및 동향 http://www.commoncriteriaportal.org/ccra/members/ 국내 행안부 고시[2009.9] 정보보호시스템 공통평가기준 CCV3.1 국문화 http://www.commoncriteriaportal.org/ccra/members/

3. CC의 구성_활용주체 보안성 평가에 관심을 가지는 활용주체는 ‘소비자’, ‘개발자’, ‘평가자’로 공통평가 기준을 활용함으로써 다음과 같은 이점을 얻는다. 소비자 개발자 평가자 1부 배경정보 및 참조 목적으로 사용, 보호프로파일 구조에 대한 지침으로 사용 배경정보 및 참조 목적으로 사 용, TOE 보안명세의 개발에 사용 배경정보 및 참조 목적으로 사용, 보호프로파일과 보안목표명세서 구조에 대한 지침으로 사용 2부 TOE에 대한 요구사항을 공 식화 하기 위한 지침이나 참 고 문헌으로 사용 기능요구사항을 해석하고 TOE 기능명세를 공식화하기 위한 참고 문헌으로 사용 기능요구사항을 해석하기 위한 3부 필요한 보증등급을 결정 하기 위한 지침으로 사용 TOE의 보증방법을 결정하고 보증요구사항을 해석하기 위한 * TOE : 공통평가기준은 평가 대상 선정에 융통성이 있기 때문에 적용 범위가 IT 제품에만 한정되지는 않는다. 따라서, “IT 제품”이라는 표현 대신 “TOE(평가 대상, Target of Evaluation)”라는 용어를 사용하기로 한다.

3. CC의 구성_기본구성 CC는 3부로 구성된 국제표준(ISO/IEC 15408)이며 현재 IT 제품의 신뢰성인 정보 보증(Information Assurance)을 얻기 위해 수행되는 IT 제품 보안성 평가·인증 제도에 가장 많이 적용되는 기준 중 하나이다. 공통평가기준에 대한 소개 부분으로, IT 보안성 평가의 원칙과 일반 개념을 정의하고 평가의 보편적인 모델을 제시 1부 소개 및 일반 모델 TOE에 대한 기본적인 기능요구사항을 정립하는 표준이 될 수 있는 기능 컴포넌트의 집합으로 이루어져 있다. 2부는 기능 컴포넌트의 집합으로 분류되며, 패밀리 및 클래스로 구성된다 2부 보안기능 요구사항 TOE에 대한 기본적인 보증요구사항을 정립하는 표준이 될 수 있는 보증컴포넌트의 집합으로 이루어져 있다. 3부는 보증컴포넌트의 집합으로 분류되며, 패밀리 및 클래스로 구성된다 3부 보증요구사항

3. CC의 구성_1부 1. 1부. 소개 및 일반 모델 Common Criteria Version 3.1 R1 Overview 범위 - 평가 받은 IT 제품은 평가된 보안 특성과 사용된 평가 방법 에 한해서 의미를 갖는다 참고문헌(158개 항목) 공통약어(32개 항목) 일반모델 보호프로파일 및 패키지 평가결과 부록(보안 목표 명세서/보호 프로파일/보안요구사항/보호 프로파일 준수)

3. CC의 구성_2부 2. 2부. 보안기능 요구사항 Common Criteria Version 3.1 R1 Overview - 보호프로파일(PP, Protection Profile)이나 보안 목표명세서(ST, Security Target)에서 명시된 보안기능요구사항을 표현하는데 기초가 된다. 이 요구사항들은 TOE 보안 행동을 설명하고자 하는 것으로 보호프로파일/보안목표명세서에서 서술된 보안목적을 만족시키기 위하여 사용된다. 기능요구사항 패러다임 - 공통평가기준 2부에서는 평가대상(TOE, Target of Evaluation) 을 설명할 수 있는 보안기능요구사항(11개)을 분류함. - TOE 평가의 주된 관심은 정의된 보안기능요구사항 (SFR, security funtional requirements)이 TOE 자원 전반에 수행됨을 보장하는 데 있음.

3. CC의 구성_3부 3. 3부. 보증요구사항 Common Criteria Version 3.1 R1 Overview - 공통평가기준 3부는 보호프로파일/보안목표명세서에 대한 평가기준을 정의하고, 공통평가기준에서 TOE에 대한 보증 수준으로 정의한 평가보증등급(EAL)을 포함한다 보증 클래스(7개) - ASE(Security Target Evaluation)보안목표명세서 평가, ADV(Development)개발, AGD(Guidance Documents)설명서, ALC(Life Cycle Support)생명주기 지원, ATE(Tests)시험, AVA(Vulnerability Assessment)취약성 평가, ACO(Composition)합성 보안수준의 결정평가 1.보증등급(EAL, Evaluation assurance levels) - 각 평가보증 등급은 모든 하위의 평가보증등급보다 더 높은 보증을 표현함 - EAI1 ~EAL7단계 적용 2. 합성보증패키지(CAP, Composed assurance packages) - 해당 보증등급 획득 가능성 및 비용의 균형을 고려한 단계적인 척도, CAP-A ~ C 단계 적용

국가사이버 안전센터(IT보안 인증사무국) 4. CC의 미래 정보보호시스템의 보안적합성 평가/인증 활동 지속 국내 평가기관 한국인터넷 진흥원 한국산업기술시험원 한국시스템보증 한국아이티평가원 한국정보통신 기술협회 CC의 국제화는 기정 사실화되고 있고 선진국을 중심으로 구성된 CCRA를 통하여 확대되고 있는 추세임. 이와 같은 국제환경의 변화에 적절한 대응은 국내 정보보호산업체의 국제 경쟁력 장래에 중요 국가사이버 안전센터(IT보안 인증사무국) 평가/인증 등급별 분포도(총 621개) 전자여권

5. 주요용어 정리 o 공통평가방법론(CEM : Common Evaluation Methodology) 공통평가기준에 관한 지침서로, 공통평가기준에 따른 제품 평가 시 평가자가 수행해야 하는 최소 평가행동을 정의한 표준문서 o 국제상호인정협정(CCRA : Common Criteria Recognition Arrangement) 공통평가기준에 따른 평가∙인증 결과를 회원국간에 상호 인정하는 협정 o 평가보증등급(EAL : Evaluation Assurance Level) 공통평가기준에서 미리 정의된 보증 수준을 가지는 보증요구사항으로 이루어진 보증 패키지로 EAL1 ~ EAL7로 구성. 숫자가 높아질수록 보증 수준이 높아짐 o 인증효력유지 인증제품의 보안기능 및 운영환경이 변경된 경우, 기 인증내역을 유지 하는 제도. 재평가 없이 인증 효력을 유지하거나, 재평가 후 인증 효력 유지 가능 o 인증서 발행국(CAP : Certificate Authorizing Participants) 국제상호인정협정 회원국 중 자국에서 발행한 인증서를 타 회원국으로 부터 인정받는 회원국 o 인증서 수용국(CCP : Certificate Consuming Participants) 국제상호인정협정 회원국 중 자국에서는 인증서를 발행할 수 없으며, 인증서 발행국에서 발행된 인증서를 자국에서 인정하는 회원국