Das Zertifizierungsschema „Common Criteria for Information Technology Security Evaluation“ bietet einen international einheitlichen Maßstab, um eine hohe Sicherheit von Informationstechnik zu gewährleisten. In der Praxis werden die Anforderungen an die Vertrauenswürdigkeit im sog. Evaluation Assurance Level (EAL) zusammengefasst und je nach Bedarf in einem siebenstufigen Sicherheitsmodell evaluiert (Stufe EAL 1 = funktionell getestet bis Stufe EAL 7 = formal verifizierter Entwurf und getestet). Definierte Evaluierungsmethoden und eine ausführliche Dokumentation dienen zur Prüfung und Bewertung der Sicherheit von IT-Systemen, -Produkten und -Anwendungen.

Wir unterstützen Hersteller und Verantwortliche für Produkte, Systeme und Anwendungen ganzheitlich im gesamten Common-Criteria-Prozess: von der Antragstellung über die Entwicklung und Produktion bis hin zu den sicherheitsrelevanten Tests. achelos agiert herstellerneutral und arbeitet im Bereich der Evaluierung eng mit Zertifizierungs- und akkreditierten Prüfstellen zusammen.

Beratung und Bestandsaufnahme

• Analyse und Bestandsaufnahme von Produkt- und Sicherheitsanforderungen (Security Target: ASE, kryptographische Mechanismen)
• Beratung zum Antragsprozess der Zertifizierung 
  • Auswahl der Prüfstelle
  • Verhandlung mit der Prüfstelle
  • Erstellung eines Zeitplans
• Lieferung von qualifizierten Entscheidungsgrundlagen 
  • Machbarkeitsstudien
  • Aufwandsermittlungen
  • Sicherheitslastenheft
  • Leistungsabgrenzungen
  • Angebote
• Auswahl und Beauftragung einer Prüfstelle (Evaluator)
• Ausfüllen des Antragsformulars
• Erstellen der Begleitdokumentation
• Sicherheitskonzepte für Entwicklungs- und Produktionsstandorte
• Hardware-Sicherheitskonzept

Begleitung/Unterstützung von Site Visits (Audits)

• Professionelle Vorbereitung durch interne Schulungen und simulierte Audits
• Begleitung des Audits der Prüfstelle/Zertifizierungsstelle durch achelos für eine effiziente Zertifizierung
• Nachbereitung des Audits

Produktentwicklung auf CC-Niveau (EAL 1 – EAL 7)

• Begleiten oder vollständige Übernahme des Entwicklungsprozesses inkl. Architektur, Design und Implementierung in CC-gerechten Räumen

Testmanagement

• Beratung und Unterstützung von CC-konformen Tests
• Erstellung der Testspezifikation
• Implementierung und Durchführung der Tests
• Automatisierte Testläufe
• Protokollierung und Fehleranalyse

Erstellung der CC-Dokumentation gemäß EAL-Stufe 

• Security Target (ASE)
• Entwicklung (ADV)
• Test (ATE)
• Schwachstellenanalyse (AVA)
• Guidance-Dokumentation (AGD)
• Prozesse, Werkzeuge und Standortsicherheit (ALC)

Projektmanagement und technische Koordination zwischen Produkthersteller, Produktion, Prüfstelle und Zertifizierungsstelle

• Für Gesamt- oder Teilprozesse
• Auf technischer Ebene

Schulungen und Workshops 

• Allgemeine CC-Schulung (Einführung in Common Criteria)
• Einführung in die Erstellung einer CC-Dokumentation
• Praktische Erfahrungen und Tipps zur effizienten Evaluierung
• SCC-Aspekte für Softwareentwicklung und Test

CC-Evaluierung: Entwicklung, Test und Dokumentation

• Elektronische Gesundheitskarte (eGK)
• Digitaler Fahrtenschreiber (Tachograph)
• Elektronische ID-Karten
• eHealth-Kartenterminal
• HSM (Hardware-Sicherheitsmodul) 

CC-Beratung, -Dokumentation und -Evaluierung

• CC-Evaluation von Smart-Meter-Gateways, Signaturanwendungskomponenten, Netz- und Anwendungskonnektoren
• CC-Dokumentation für einen kundenspezifischen Produktionsstandort
• Beratung und Analyse zum Aufbau und zur Implementierung einer Public-Key-Infrastruktur (PKI) im Bereich Smart Metering

Bereitstellung von Testumgebungen und Simulatoren für die Produktgruppen

• Elektronische Gesundheitskarte (eGK)
• eHealth Kartenterminal
• Neuer Personalausweis (nPA)

Bereitstellung von Testsuiten für die Produktgruppen

• Elektronische Gesundheitskarte (eGK)
• eHealth-Kartenterminal (mobil und Standard)
• eHealth-Konnektor
• eHealth-Primärsystem
• TLS und IKE/IPsec (Security-Testsuite)
• nPA-Konformitätstests
• Java Card Security (JC Inspector)

• CC-geschultes Expertenteam 
• Professionelle CC-Beratung, Projektbegleitung und Erstellung der notwendigen CC-Dokumentation 
• Umfassendes Know-how und langjährige Praxiserfahrung in Entwicklung, Test und CC-Evaluierung
• Fachkenntnisse in sicherheitskritischen Segmenten mit gesetzlichen Vorgaben, u. a. eHealth, eEnergy, eID
• Erprobte Zusammenarbeit mit verschiedenen Evaluatoren, Prüfstellen und Zertifizierungsstellen, z. B. Bundesamt für Sicherheit in der Informationstechnik (BSI)
• achelos entwickelt eine Testplattform zur CC-Unterstützung
• Entwicklung von Testsuiten für ATE und AVA durch achelos (z. B. TLS Inspector, IKE/IPsec Inspector)