認識IT採購的安全認證Common Criteria

Common Criteria（安全評估共通準則）是由美國、英國、德國、法國及加拿大等國家所制訂的資安產品評估及驗證規範，並於1999年8月正式成為ISO國際標準（ISO/IEC 15408），被全球許多國家認定為是，經第三方實驗室驗證、最高層級的IT產品安全性認證。明年開始，臺灣政府單位的IT採購亦將指明通過Common Criteria認證過的產品，這是一個值得企業參考的做法。

政策推動Common Criteria，2009年政府IT採購率先採用
CC認證已經是多數國家的資訊安全產品必備的認證，否則將無法進入市場，例如半導體晶片、防火牆、入侵偵測系統（IDS）或入侵防禦系統（IPS）等。古智仲以近來國際應用最多的電子護照（e-Passport）系統為例指出，整套系統的每個環節都以CC安全規範為主軸，向外伸展，從半導體晶片、護照、資料處理、讀取設備、系統以至龐大的後端處理平臺。

認識Common Criteria的7級安全評估等級
Common Criteria以7個安全評估等級，來界定安全性規範檢測的結果。在國際相互承認協議（CCRA）的基礎下，各國會承認EAL（Evaluation Assurance Level，簡稱EAL）等級1～4級的產品，至於EAL 5等級以上（包含EAL 5）的產品，由於屬於軍事等級的安全認證，因此各國有各各自的標準規範，並不會互通。

通過CC認證的知名IT產品一覽表
微軟專案經理Eric Bidstrup在MSDN的部落格中指出，有些產品很適合CC驗證，像是智慧卡的安全性驗證，然而，若要驗證規模較大、較為複雜的系統，則目前的CC驗證方式就需要調整。以下列出目前通過認證的知名IT產品，供大家參考。
網路相關設備
其它裝置與系統
政策推動Common Criteria，2009年政府IT採購率先採用

為了提升臺灣資安自主的能量，依據行政院資通安全會報的規範，政府機構要依照機敏程度分成3級單位，並分階段實施資訊安全管理系統（ISMS），除此之外，在IT產品的安全性認證規範上，也要跟上國際潮流，採用Common Criteria（安全評估共通準則，簡稱CC）標準。

明年政府IT採購 率先要求CC驗證
身為政策執行者的國家通訊傳播委員會副主委石世豪表示，政府將以2階段方式推廣，第一步就是推動政府單位看重Common Criteria認證，自2009年起，政府單位將優先採購通過Common Criteria驗證的IT產品。

Common Criteria（安全評估共通準則）是由美國、英國、德國、法國及加拿大等國家所制訂的資安產品評估及驗證規範，並於1999年8月正式成為ISO國際標準（ISO/IEC 15408），被全球許多國家認定為是，經第三方實驗室驗證、最高層級的IT產品安全性認證。

臺灣亦援引ISO 15408，納入CNS 15408國家標準。國家通訊傳播委員會技術管理處副處長羅金賢指出，CNS 15408是將原本的Common Criteria認證2.2和2.3版納入規範中，主要分成簡介模組、安全性功能模組與安全保護需求3部分，他說：「等到CC認證3.1版推出後，NCC也會立即將新的標準規範納入CNS 15408中。」

Common Criteria的效益
臺灣電信技術中心資通安全組組長許碧姍表示，ISO/IEC 15408提供IT產品廠商、產品開發者及產品評估者，一套可以共同依據的產品評估規範。她指出，就製造商而言，可依據由獨立機構所授予的Common Criteria安全評估保證等級（Evaluation Assurance Levels，EALs）及其本身的要求，規畫符合安全性的產品。就產品開發者而言，藉由ISO/IEC 15408結構性流程，可以從安全需求、功能規格、高階設計、低階設計及實作測試等各階段強化其安全性，並透過Common Criteria的評估申請，取得Common Criteria安全評估保證等級的認證，增加產品的市場競爭力及獲得消費者的信心。

對於採購IT產品的企業而言，臺灣TUV資訊事業部經理古智仲說：「透過安全評估保證等級（EALs），企業用戶在採購IT產品時，對產品的安全等級比較有信心。」

全球許多國家的政府採購都以Common Criteria作為IT產品的安全性標準，像是美國、德國、澳洲等國家，近年來，日本、韓國、印度、中國等國家也察覺到資安產品驗證的國際趨勢，開始制訂各自的資安產品驗證標準制度。其中，日本企業若購買經CC驗證的產品，甚至可以抵稅。

在許多國家，CC認證已經是資訊安全產品必備的認證，否則將無法進入市場，例如半導體晶片、防火牆、入侵偵測系統（IDS）或入侵防禦系統（IPS）等。古智仲以近來國際應用最多的電子護照（e-Passport）系統為例指出，整套系統的每個環節都以CC安全規範為主軸，向外伸展，從半導體晶片、護照、資料處理、讀取設備、系統以至龐大的後端處理平臺。

反觀臺灣現況，先前政府和企業偏重在資安管理系統的推動，但對於資安產品的選用，一直沒有一個明確、共通、統一的規範，因此，也無法了解政府和企業所選用的IT軟、硬體產品，是否具有一定程度的安全性？這些產品的開發、設計是否有瑕疵？許碧姍說：「要能判斷IT產品是否具有足夠的安全性，必須有相當的專業能力，還得要實際參與產品的開發流程，才有可能排除這些使用上的顧慮。」

目前全世界有25個國家通用的Common Criteria（ISO 15408）共通國際標準，就是一個規範IT產品安全性驗證最好的標準。由於CC可用來評估資訊產品、系統與技術之安全性，並藉由共同準則的規範，將資訊安全等級的評估工作量化，許碧姍認為：「這使得產品安全性的評估結果更具意義。」

政府政策做多，累積資安自主能力
CC驗證的過程非常繁複，驗證時間也比較久，因此仍需要藉由政府擬訂產品驗證法規、建立驗證制度及制訂相關推動政策。

政府「挑戰2008：國家發展重點計畫」中，有一項建立IT軟、硬體產品安全性驗證體系計畫，屬於數位臺灣計畫分項中「寬頻到府600萬用戶」子計畫，自2005年開始，轉由交通部電信總局（2005年改制為國家通訊傳播委員會）負責產品驗證、驗證實驗室營運、人才培訓與加入國際組織等相關事宜。

國家通訊傳播委員會於是依據通訊傳播組織法第3條第8項的規定，在2007年6月完成IT軟、硬體產品安全驗證體系的建置。羅金賢表示，建立資安自主能力，有能力進行IT產品的測試、評估和驗證，不僅是資安自主能力提升的一項指標，也是國內資通安全基礎建設的一部分。

政府為了鼓勵IT廠商送產品去做CC驗證，第一階段會針對政府單位，石世豪說：「政府將以身作則，率先採購通過CC安全性驗證的產品。」最快在2009年，政府將會以行政命令方式，優先採購已經通過CC認證的IT產品，第二階段則是針對需要處理大量機敏資料的相關產業，例如電信業者，因為電信業者大量使用IP PBX與網路電話後，危險性相對提升。石世豪表示，目前將逐步以品質保證的方式，提升相關產品的安全性。


政府單位目前已經建立全國性資訊安全監控中心（Security Operation Center，SOC），與資訊安全管理系統（ISMS）的機制，再納入資通產品安全性驗證之後，許碧姍說：「如此從設備採購、使用、防護、監控，以至管理等各階段，就能有一套完整的資安管理作業程序。」

許碧姍說：「政府可以在事件發生前，做好預先防護準備；事件發生時，有完善緊急應變措施；及事件發生後，能有效進行追蹤改善程序。由政府機關帶頭，意味著我們對於資通產品驗證的重視程度，也代表著臺灣在資安政策的規畫方向上，可以與國際趨勢接軌。」

臺灣電信技術中心的資通安全實驗室已通過TAF（全國認證基金會）認證，並培訓相關人才，許碧姍說：「目前臺灣已經有能力進行Common Criteria安全性驗證，在臺灣驗證的成本只要國外的三分之一。」

不過，目前臺灣在推廣CC驗證還有一個困境有待突破。由於臺灣不是CCRA簽署的會員國之一，臺灣對於產品的驗證並不能因而獲得CCRA的25個會員國的承認，因而還無法達到臺灣一次驗證、全球通關的理想。為了突破這樣的困境，許碧姍表示，目前臺灣正積極爭取加入CCRA。

行政院研考會資訊處處長何全德表示，導入國際驗證標準的目的就是為了提升臺灣的資安能量，他說：「優先採購CC驗證產品的政策要能夠成功，除了NCC政策的推動，臺灣逐漸累積足夠的資安驗證能量外，能否突破政治藩籬，讓臺灣的IT產品安全性驗證能全球適用，將是主要的關鍵。」

採購產品認明CC驗證，打造企業安全環境
要打造安全的企業IT環境，需要一些關鍵性的條件配合，其中，選擇夠安全的產品就是一個重要的關鍵。許碧姍認為，企業在採購IT產品時，藉由CC驗證的規範，可充分了解各項產品是否符合企業內各種安全需求與規範，也可以針對同類型產品進行安全性衡量與評比。

許碧姍說：「雖然多數資安事件發生原因主要仍是人為因素，但若能在第一關──採購設備上，就以通過CC驗證的產品做為優先考量，後續發生資安事件的比例可以降低。」

上海商業銀行資訊研發處協理羅安昌表示，銀行對於資訊安全的要求較其他產業更為嚴格，上海商銀在IT產品的採購上，會看重產品是否通過CC安全性驗證，他說：「上海商銀會要求廠商提出產品安全驗證的證書或影本，這類安全性驗證對於IT採購決策的確有加分的效果。」

政府確定未來IT採購將優先採用經Common Criteria認證的之後，對於企業的IT採購決策將會開始發生影響力。永慶房屋資訊部協理陳澤維說：「這的確會影響永慶房屋未來對於IT採購的看法。」計畫未來參考政府這項政策，在採購上要求CC認證。

在臺灣開始接受Common Criteria這個國際趨勢之下，許碧姍建議，臺灣廠商若要自我提升，在產品研發及製造過程可以參考國外已獲得驗證產品的成功經驗，在產品開發時就納入市面上已公布的保護剖繪（Protection Profile）的項目，依照ISO/IEC 15408的標準進行產品設計及開發，將可有效提升產品在國際市場的競爭力。

許碧姍指出，CC結構性的流程，正好可以協助廠商強化其產品生命周期中各階段的安全性要求，不論是安全需求、功能規格、高階設計、低階設計以及實作測試等。雖然在臺灣尚未有明確的法令要求廠商，資通產品一定要取得CC驗證證書，「但已有不少國外客戶要求臺灣廠商，將CC的標準應用於產品研發及生產上，甚至要求取得國外證書。」她說。

臺灣電信技術中心資通安全組經理林家弘說：「IT產品製造或研發廠商，可以利用資安實驗室的研發和技術能力，協助產品開發的安全性。」許碧姍指出，透過驗證機關到府視察（Site Visit），將有助於IT產品製造商取得CC驗證，也確保開發環境的安全性。

CC驗證並非萬靈丹
雖然CC驗證已是國際潮流，對於廠商在製造與研發產品上提供安全性的指引，而企業在選擇產品時亦有可信的安全評估標準，但是CC驗證並非萬靈丹，仍有其不足之處。

其中一個問題在於，CC驗證的流程安全性，是在實驗室以安全腳本情境來驗證，雖然CC力求驗證流程能反應真實世界的問題，但終究不是真實世界。舉例而言，就好像是一個每天鑽研武功密笈的武當弟子，一旦面對街頭出身的丐幫弟子，可能會因為缺乏隨機應變的實戰能力，即使功夫依然高強，在街頭實戰中，就容易敗給實戰經驗豐富的丐幫弟子。

微軟專案經理Eric Bidstrup在MSDN的部落格中指出，Common Criteria現階段有其不足之處，導致較少企業用戶採用。他指出，實驗室與真實世界的安全性，最大的差異點在於實驗室是理論上的安全，並無法滿足現實世界中企業對IT安全性的要求。例如，以美國的存取控制保護剖繪（US Controlled Access Protection Profile）所規範的安全設定中，作業系統要開啟FTP伺服器，只能開啟1個，才能符合規範，然而，Eric Bidstrup指出，這樣的安全性設定，很難滿足企業實際的需求。

他指出，有些產品很適合CC驗證，像是智慧卡的安全性驗證，然而，若要驗證規模較大、較為複雜的系統，則目前的CC驗證方式就需要調整。

再者，CC的驗證流程通常需要比較長的時間，對於IT產品廠商而言，要投入很高的時間成本。以IT商用產品最高安全等級EAL 4+為例，要取得這個等級的驗證，至少需要12～16個月的時間。然而，許多IT廠商通常在產品推出18～36個月之後，就會陸續推出新的版本，那麼，新版本又得送驗證，才能確保新版本的安全性。在這種驗證時間與產品上市時間有極大時間落差下，IT廠商可能就不會把每個產品都送去驗證。

臺灣電信技術中心資通安全組組長許碧姍認為，驗證時間過長的問題，可以透過CC驗證實驗室提供的諮詢顧問服務來解決，在產品開發的初期，便納入安全性驗證的項目與流程，既可強化與改善產品的安全性，也可以縮短CC驗證的時間。

面對CC驗證時間過長的問題，目前多數廠商都在產品剛推出時先驗證EAL 2至EAL 3+等級，讓驗證時間縮短在6個月至1年間，爾後在新版本更新時，再進一步驗證EAL 4等較高的等級。文⊙黃彥棻認識Common Criteria的7級安全評估等級

Common Criteria以7個安全評估等級，來界定安全性規範檢測的結果。在國際相互承認協議（CCRA）的基礎下，各國會承認EAL（Evaluation Assurance Level，簡稱EAL）等級1～4級的產品，至於EAL 5等級以上（包含EAL 5）的產品，由於屬於軍事等級的安全認證，因此各國有各各自的標準規範，並不會互通。

針對多數商用產品的最高等級為EAL 4，若廠商送產品驗證時，多增加EAL 5以上或其他不足功能的驗證，在通過驗證後，也只會標識為EAL 4+。若要在美國申請EAL 5至7級的產品驗證，就必須由美國政府「國家安全局 (NSA)」來執行。

EAL驗證需要較長的時間，光是EAL 1最初級的評估等級，測試、驗證的工作就需要花費3個月，隨的驗證等級越高，所需要花費的時間就越久，以商用產品驗證等級最高的EAL 4來說，一般而言起碼需要12～16個月的時間。也因為CC驗證時間長，驗證成本相對比較高。
若要進一步取得軍事等級EAL 5以上的驗證，甚至得花2年的時間。

此外，CC認證還有一個特別的要求，每個產品只要改版，新版產品就必須再驗證才能取得認證，如果產品有大幅改版，則認證時間勢必會延長。一般常見的認證狀況是，若有一新產品版本釋出，通常會先通過驗證等級稍低的驗證版本，隨著每次版本的升級或更新，往上取得更高階的驗證。

中興大學資訊管理系教授林詠章在〈歐盟資訊安全技術與政策發展現況之研究〉一文中提到，EAL（安全評估保證等級）等級越高，越是用於極高資產價及極高風險情況所需的極高安全應用環境。有了共同準則（Common Criteria），系統開發者可以更了解產品的安全需求，擬定未來產品發展的方向；對於系統管理員而言，可以知道電腦系統有哪些安全管理功能，做為擬定安全管理之策略；評估人員可以更正確且客觀地評估電腦系統的安全性，而安全稽查人員也可藉此來評估，系統管理員是否確實管理電腦系統。文⊙黃彥棻

通過CC認證的知名IT產品一覽表

通過CC認證的知名IT產品一覽表