ISO/IEC 18045:2008

INTERNATIONAL ISO/IEC
STANDARD 18045
Second edition
2008-08-15
Information technology — Security
techniques — Methodology for IT security
evaluation
Technologies de l'information — Techniques de sécurité —
Méthodologie pour l'évaluation de sécurité TI

Reference number
©
ISO/IEC 2008
PDF disclaimer
This PDF file may contain embedded typefaces. In accordance with Adobe's licensing policy, this file may be printed or viewed but
shall not be edited unless the typefaces which are embedded are licensed to and installed on the computer performing the editing. In
downloading this file, parties accept therein the responsibility of not infringing Adobe's licensing policy. The ISO Central Secretariat
accepts no liability in this area.
Adobe is a trademark of Adobe Systems Incorporated.
Details of the software products used to create this PDF file can be found in the General Info relative to the file; the PDF-creation
parameters were optimized for printing. Every care has been taken to ensure that the file is suitable for use by ISO member bodies. In
the unlikely event that a problem relating to it is found, please inform the Central Secretariat at the address given below.

©  ISO/IEC 2008
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized in any form or by any means,
electronic or mechanical, including photocopying and microfilm, without permission in writing from either ISO at the address below or
ISO's member body in the country of the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Published in Switzerland
ii © ISO/IEC 2008 – All rights reserved

Contents Page
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Symbols and abbreviated terms . 3
5 Overview . 3
5.1 Organisation of this International Standard . 3
6 Document Conventions . 3
6.1 Terminology . 3
6.2 Verb usage . 3
6.3 General evaluation guidance . 4
6.4 Relationship between ISO/IEC 15408 and ISO/IEC 18045 structures . 4
7 Evaluation process and related tasks . 4
7.1 Introduction . 4
7.2 Evaluation process overview . 5
7.2.1 Objectives . 5
7.2.2 Responsibilities of the roles . 5
7.2.3 Relationship of roles . 5
7.2.4 General evaluation model . 6
7.2.5 Evaluator verdicts . 6
7.3 Evaluation input task . 8
7.3.1 Objectives . 8
7.3.2 Application notes . 8
7.3.3 Management of evaluation evidence sub-task . 8
7.4 Evaluation sub-activities . 9
7.5 Evaluation output task . 9
7.5.1 Objectives . 9
7.5.2 Management of evaluation outputs . 9
7.5.3 Application notes . 10
7.5.4 Write OR sub-task . 10
7.5.5 Write ETR sub-task . 10
8 Class APE: Protection Profile evaluation . 15
8.1 Introduction . 15
8.2 Application notes . 15
8.2.1 Re-using the evaluation results of certified PPs . 15
8.3 PP introduction (APE_INT) . 16
8.3.1 Evaluation of sub-activity (APE_INT.1) . 16
8.4 Conformance claims (APE_CCL) . 17
8.4.1 Evaluation of sub-activity (APE_CCL.1) . 17
8.5 Security problem definition (APE_SPD) . 21
8.5.1 Evaluation of sub-activity (APE_SPD.1) . 21
8.6 Security objectives (APE_OBJ) . 23
8.6.1 Evaluation of sub-activity (APE_OBJ.1) . 23
8.6.2 Evaluation of sub-activity (APE_OBJ.2) . 23
8.7 Extended components definition (APE_ECD) . 25
8.7.1 Evaluation of sub-activity (APE_ECD.1) . 25
8.8 Security requirements (APE_REQ) . 29
8.8.1 Evaluation of sub-activity (APE_REQ.1) . 29
8.8.2 Evaluation of sub-activity (APE_REQ.2) . 32
9 Class ASE: Security Target evaluation . 36
9.1 Introduction . 36
© ISO/IEC 2008 - All rights reserved iii

9.2 Application notes . 37
9.2.1 Re-using the evaluation results of certified PPs . 37
9.3 ST introduction (ASE_INT) . 37
9.3.1 Evaluation of sub-activity (ASE_INT.1) . 37
9.4 Conformance claims (ASE_CCL) . 40
9.4.1 Evaluation of sub-activity (ASE_CCL.1) . 40
9.5 Security problem definition (ASE_SPD) . 45
9.5.1 Evaluation of sub-activity (ASE_SPD.1) . 45
9.6 Security objectives (ASE_OBJ) . 47
9.6.1 Evaluation of sub-activity (ASE_OBJ.1) . 47
9.6.2 Evaluation of sub-activity (ASE_OBJ.2) . 47
9.7 Extended components definition (ASE_ECD) . 49
9.7.1 Evaluation of sub-activity (ASE_ECD.1) . 49
9.8 Security requirements (ASE_REQ) . 53
9.8.1 Evaluation of sub-activity (ASE_REQ.1) . 53
9.8.2 Evaluation of sub-activity (ASE_REQ.2) . 56
9.9 TOE summary specification (ASE_TSS) . 60
9.9.1 Evaluation of sub-activity (ASE_TSS.1) . 60
9.9.2 Evaluation of sub-activity (ASE_TSS.2) . 61
10 Class ADV: Development . 62
10.1 Introduction . 62
10.2 Application notes . 63
10.3 Security Architecture (ADV_ARC) . 63
10.3.1 Evaluation of sub-activity (ADV_ARC.1) . 63
10.4 Functional specification (ADV_FSP). 67
10.4.1 Evaluation of sub-activity (ADV_FSP.1) . 67
10.4.2 Evaluation of sub-activity (ADV_FSP.2) . 70
10.4.3 Evaluation of sub-activity (ADV_FSP.3) . 75
10.4.4 Evaluation of sub-activity (ADV_FSP.4) . 80
10.4.5 Evaluation of sub-activity (ADV_FSP.5) . 85
10.4.6 Evaluation of sub-activity (ADV_FSP.6) . 90
10.5 Implementation representation (ADV_IMP) . 90
10.5.1 Evaluation of sub-activity (ADV_IMP.1) . 90
10.5.2 Evaluation of sub-activity (ADV_IMP.2) . 92
10.6 TSF internals (ADV_INT) . 93
10.6.1 Evaluation of sub-activity (ADV_INT.1) . 93
10.6.2 Evaluation of sub-activity (ADV_INT.2) . 95
10.6.3 Evaluation of sub-activity (ADV_INT.3) . 97
10.7 Security policy modelling (ADV_SPM) . 97
10.7.1 Evaluation of sub-activity (ADV_SPM.1) . 97
10.8 TOE design (ADV_TDS) . 97
10.8.1 Evaluation of sub-activity (ADV_TDS.1) . 97
10.8.2 Evaluation of sub-activity (ADV_TDS.2) . 100
10.8.3 Evaluation of sub-activity (ADV_TDS.3) . 105
10.8.4 Evaluation of sub-activity (ADV_TDS.4) . 113
10.8.5 Evaluation of sub-activity (ADV_TDS.5) . 122
10.8.6 Evaluation of sub-activity (ADV_TDS.6) . 122
11 Class AGD: Guidance documents . 122
11.1 Introduction . 122
11.2 Application notes . 122
11.3 Operational user guidance (AGD_OPE) . 122
11.3.1 Evaluation of sub-activity (AGD_OPE.1) . 122
11.4 Preparative procedures (AGD_PRE) . 125
11.4.1 Evaluation of sub-activity (AGD_PRE.1) . 125
12 Class ALC: Life-cycle support . 127
12.1 Introduction . 127
12.2 CM capabilities (ALC_CMC) . 127
12.2.1 Evaluation of sub-activity (ALC_CMC.1) . 127
iv © ISO/IEC 2008 - All rights reserved

12.2.2 Evaluation of sub-activity (ALC_CMC.2) . 128
12.2.3 Evaluation of sub-activity (ALC_CMC.3) . 130
12.2.4 Evaluation of sub-activity (ALC_CMC.4) . 133
12.2.5 Evaluation of sub-activity (ALC_CMC.5) . 139
12.3 CM scope (ALC_CMS) . 145
12.3.1 Evaluation of sub-activity (ALC_CMS.1) . 145
12.3.2 Evaluation of sub-activity (ALC_CMS.2) . 146
12.3.3 Evaluation of sub-activity (ALC_CMS.3) . 147
12.3.4 Evaluation of sub-activity (ALC_CMS.4) . 148
12.3.5 Evaluation of sub-activity (ALC_CMS.5) . 149
12.4 Delivery (ALC_DEL) . 150
12.4.1 Evaluation of sub-activity (ALC_DEL.1) . 150
12.5 Development security (ALC_DVS) . 152
12.5.1 Evaluation of sub-activity (ALC_DVS.1) . 152
12.5.2 Evaluation of sub-activity (ALC_DVS.2) . 154
12.6 Flaw remediation (ALC_FLR) . 157
12.6.1 Evaluation of sub-activity (ALC_FLR.1) . 157
12.6.2 Evaluation of sub-activity (ALC_FLR.2) . 159
12.6.3 Evaluation of sub-activity (ALC_FLR.3) . 162
12.7 Life-cycle definition (ALC_LCD) . 167
12.7.1 Evaluation of sub-activity (ALC_LCD.1) . 167
12.7.2 Evaluation of sub-activity (ALC_LCD.2) . 168
12.8 Tools and techniques (ALC_TAT) . 170
12.8.1 Evaluation of sub-activity (ALC_TAT.1) . 170
12.8.2 Evaluation of sub-activity (ALC_TAT.2) . 171
12.8.3 Evaluation of sub-activity (ALC_TAT.3) . 174
13 Class ATE: Tests . 176
13.1 Introduction . 176
13.2 Application notes . 176
13.2.1 Understanding the expected behaviour of the TOE . 177
13.2.2 Testing vs. alternate approaches to verify the expected behaviour of functionality . 177
13.2.3 Verifying the adequacy of tests . 177
13.3 Coverage (ATE_COV) . 178
13.3.1 Evaluation of sub-activity (ATE_COV.1) . 178
13.3.2 Evaluation of sub-activity (ATE_COV.2) . 179
13.3.3 Evaluation of sub-activity (ATE_COV.3) . 180
13.4 Depth (ATE_DPT) . 180
13.4.1 Evaluation of sub-activity (ATE_DPT.1) . 180
13.4.2 Evaluation of sub-activity (ATE_DPT.2) . 182
13.4.3 Evaluation of sub-activity (ATE_DPT.3) . 184
13.4.4 Evaluation of sub-activity (ATE_DPT.4) . 186
13.5 Functional tests (ATE_FUN) . 187
13.5.1 Evaluation of sub-activity (ATE_FUN.1) . 187
13.5.2 Evaluation of sub-activity (ATE_FUN.2) . 189
13.6 Independent testing (ATE_IND) . 190
13.6.1 Evaluation of sub-activity (ATE_IND.1) . 190
13.6.2 Evaluation of sub-activity (ATE_IND.2) . 193
13.6.3 Evaluation of sub-activity (ATE_IND.3) . 198
14 Class AVA: Vulnerability assessment . 198
14.1 Introduction . 198
14.2 Vulnerability analysis (AVA_VAN) . 198
14.2.1 Evaluation of sub-activity (AVA_VAN.1) . 198
14.2.2 Evaluation of sub-activity (AVA_VAN.2) . 203
14.2.3 Evaluation of sub-activity (AVA_VAN.3) . 209
14.2.4 Evaluation of sub-activity (AVA_VAN.4) . 217
14.2.5 Evaluation of sub-activity (AVA_VAN.5) . 224
15 Class ACO: Composition . 224
15.1 Introduction . 224
© ISO/IEC 2008 - All rights reserved v

15.2 Application notes . 224
15.3 Composition rationale (ACO_COR) . 225
15.3.1 Evaluation of sub-activity (ACO_COR.1) . 225
15.4 Development evidence (ACO_DEV) . 231
15.4.1 Evaluation of sub-activity (ACO_DEV.1) . 231
15.4.2 Evaluation of sub-activity (ACO_DEV.2) . 232
15.4.3 Evaluation of sub-activity (ACO_DEV.3) . 234
15.5 Reliance of dependent component (ACO_REL) . 236
15.5.1 Evaluation of sub-activity (ACO_REL.1) . 236
15.5.2 Evaluation of sub-activity (ACO_REL.2) . 238
15.6 Composed TOE testing (ACO_CTT) . 241
15.6.1 Evaluation of sub-activity (ACO_CTT.1) . 241
15.6.2 Evaluation of sub-activity (ACO_CTT.2) . 243
15.7 Composition vulnerability analysis (ACO_VUL) . 246
15.7.1 Evaluation of sub-activity (ACO_VUL.1) . 246
15.7.2 Evaluation of sub-activity (ACO_VUL.2) . 249
15.7.3 Evaluation of sub-activity (ACO_VUL.3) . 252
Annex A (informative) General evaluation guidance . 257
A.1 Objectives . 257
A.2 Sampling . 257
A.3 Dependencies . 259
A.3.1 Dependencies between activities . 259
A.3.2 Dependencies between sub-activities . 259
A.3.3 Dependencies between actions . 259
A.4 Site Visits . 259
A.4.1 Introduction . 259
A.4.2 General Approach . 260
A.4.3 Orientation Guide for the Preparation of the Check List . 261
A.4.4 Example of a checklist . 262
A.5 Scheme Responsibilities . 264
Annex B (informative) Vulnerability Assessment (AVA) . 266
B.1 What is Vulnerability Analysis . 266
B.2 Evaluator construction of a Vulnerability Analysis . 266
B.2.1 Generic vulnerability guidance . 267
B.2.2 Identification of Potential Vulnerabilities . 274
B.3 When attack potential is used . 276
B.3.1 Developer . 276
B.3.2 Evaluator . 277
B.4 Calculating attack potential . 278
B.4.1 Application of attack potential . 278
B.4.2 Characterising attack potential . 278
B.5 Example calculation for direct attack . 284

vi © ISO/IEC 2008 - All rights reserved

Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are members of
ISO or IEC participate in the development of International Standards through technical committees
established by the respective organization to deal with particular fields of technical activity. ISO and IEC
technical committees collaborate in fields of mutual interest. Other international organizations, governmental
and non-governmental, in liaison with ISO and IEC, also take part in the work. In the field of information
technology, ISO and IEC have established a joint technical committee, ISO/IEC JTC 1.
International Standards are drafted in accordance with the rules given in the ISO/IEC Directives, Part 2.
The main task of the joint technical committee is to prepare International Standards. Draft International
Standards adopted by the joint technical committee are circulated to national bodies for voting. Publication as
an International Standard requires approval by at least 75 % of the national bodies casting a vote.
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent
rights. ISO and IEC shall not be held responsible for identifying any or all such patent rights.
ISO/IEC 18045 was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, IT Security techniques. The identical text of ISO/IEC 18045 is published by the Common
Criteria Project Sponsoring Organisations as Common Methodology for Information Technology Security
Evaluation. The common XML source for both publications can be found at http://www.oc.ccn.cni.es/xml.
This second edition cancels and replaces the first edition (ISO/IEC 18045:2005), which has been technically
revised.
Legal Notice
The governmental organizations listed below contributed to the development of this version of the Common
Methodology for Information Technology Security Evaluations. As the joint holders of the copyright in the
Common Methodology for Information Technology Security Evaluations, version 3.1 (called CEM 3.1), they
hereby grant non-exclusive license to ISO/IEC to use CEM 3.1 in the continued development/maintenance of
the ISO/IEC 18045 international standard. However, these governmental organizations retain the right to use,
copy, distribute, translate or modify CEM 3.1 as they see fit.
Australia/New Zealand: The Defence Signals Directorate and the Government Communications
Security Bureau respectively;
Canada:   Communications Security Establishment;
France:    Direction Centrale de la Sécurité des Systèmes d'Information;
Germany:   Bundesamt für Sicherheit in der Informationstechnik;
Japan:    Information Technology Promotion Agency;
Netherlands:   Netherlands National Communications Security Agency;
Spain:    Ministerio de Administraciones Públicas and Centro Criptológico Nacional;
United Kingdom:   Communications-Electronic Security Group;
United States:   The National Security Agency and the National Institute of Standards and
Technology.
© ISO/IEC 2008 - All rights reserved vii

Introduction
The target audience for this International Standard is primarily evaluators applying ISO/IEC 15408 and
certifiers confirming evaluator actions; evaluation sponsors, developers, PP/ST authors and other parties
interested in IT security are a secondary audience.
This International Standard recognises that not all questions concerning IT security evaluation will be
answered herein and that further interpretations will be needed. Individual schemes will determine how to
handle such interpretations, although these can be subject to mutual recognition agreements. A list of
methodology-related activities that can be handled by individual schemes can be found in Annex A.
viii © ISO/IEC 2008 - All rights reserved

INTERNATIONAL STANDARD ISO/IEC 18045:2008(E)

Information technology — Security techniques — Methodology
for IT security evaluation
1 Scope
This International Standard is a companion document to the evaluation criteria for IT security defined in
ISO/IEC 15408. It defines the minimum actions to be performed by an evaluator in order to conduct an
ISO/IEC 15408 evaluation, using the criteria and evaluation evidence defined in ISO/IEC 15408.
This International Standard does not define evaluator actions for certain high assurance ISO/IEC 15408
components, where there is as yet no generally agreed guidance.
2 Normative references
The following referenced documents are indispensable for the application of this document. For dated
references, only the edition cited applies. For undated references, the latest edition of the referenced
document (including any amendments) applies.
ISO/IEC 15408 (all parts), Information technology — Security techniques — Evaluation criteria for IT security
3 Terms and definitions
For the purposes of this document, the following terms and definitions apply.
NOTE Terms which are presented in bold-faced type are themselves defined in this clause.
3.1
action
evaluator action element of ISO/IEC 15408-3
NOTE These actions are either explicitly stated as evaluator actions or implicitly derived from developer actions (implied
evaluator actions) within ISO/IEC 15408-3 assurance components.
3.2
activity
application of an assurance class of ISO/IEC 15408-3
3.3
check
generate a verdict by a simple comparison
NOTE Evaluator expertise is not required. The statement that uses this verb describes what is mapped.
3.4
evaluation deliverable
any resource required from the sponsor or developer by the evaluator or evaluation authority to perform one
or more evaluation or evaluation oversight activities
3.5
evaluation evidence
tangible evaluation deliverable
© ISO/IEC 2008 - All rights reserved 1

3.6
evaluation technical report
report that documents the overall verdict and its justification, produced by the evaluator and submitted to an
evaluation authority
3.7
examine
generate a verdict by analysis using evaluator expertise
NOTE The statement that uses this verb identifies what is analysed and the properties for which it is analysed.
3.8
interpretation
clarification or amplification of an ISO/IEC 15408, ISO/IEC 18045 or scheme requirement
3.9
methodology
system of principles, procedures and processes applied to IT security evaluations
3.10
observation report
report written by the evaluator requesting a clarification or identifying a problem during the evaluation
3.11
overall verdict
pass or fail statement issued by an evaluator with respect to the result of an evaluation
3.12
oversight verdict
statement issued by an evaluation authority confirming or rejecting an overall verdict based on the results of
evaluation oversight activities
3.13
record
retain a written description of procedures, events, observations, insights and results in sufficient detail to
enable the work performed during the evaluation to be reconstructed at a later time
3.14
report
include evaluation results and supporting material in the evaluation technical report or an observation
report
3.15
scheme
set of rules, established by an evaluation authority, defining the evaluation environment, including criteria and
methodology required to conduct IT security evaluations
3.16
sub-activity
application of an assurance component of ISO/IEC 15408-3
NOTE Assurance families are not explicitly addressed in this International Standard because evaluations are conducted
on a single assurance component from an assurance family.
3.17
tracing
simple directional relation between two sets of entities, which shows which entities in the first set correspond
to which entities in the second
2 © ISO/IEC 2008 - All rights reserved

3.18
verdict
pass, fail or inconclusive statement issued by an evaluator with respect to an ISO/IEC 15408 evaluator action
element, assurance component, or class
NOTE Also see overall verdict.
3.19
work unit
most granular level of evaluation work
NOTE Each evaluation methodology action comprises one or more work units, which are grouped within the evaluation
methodology action by ISO/IEC 15408 content and presentation of evidence or developer action element. The work units
are presented in this International Standard in the same order as ISO/IEC 15408 elements from which they are derived.
Work units are identified in the left margin by a symbol such as ALC_TAT.1-2. In this symbol, the string ALC_TAT.1
indicates ISO/IEC 15408 component (i.e. this International Standard sub-activity), and the final digit (2) indicates that this
is the second work unit in the ALC_TAT.1 sub-activity.
4 Symbols and abbreviated terms
ETR Evaluation Technical Report
OR Observation Report
5 Overview
5.1 Organisation of this International Standard
Clause 6 defines the conventions used in this International Standard.
Clause 7 describes general evaluation tasks with no verdicts associated with them as they do not map to
ISO/IEC 15408 evaluator action elements.
Clause 8 addresses the work necessary for reaching an evaluation result on a PP.
Clauses 9 to 15 define the evaluation activities, organised by Assurance Classes.
Annex A covers the basic evaluation techniques used to provide technical evidence of evaluation results.
Annex B provides an explanation of the Vulnerability Analysis criteria and examples of their application
6 Document Conventions
6.1 Terminology
Unlike ISO/IEC 15408, where each element maintains the last digit of its identifying symbol for all components
within the family, this International Standard may introduce new work units when an ISO/IEC 15408 evaluator
action element changes from sub-activity to sub-activity; as a result, the last digit of the work unit's identifying
symbol may change although the work unit remains unchanged.
Any methodology-specific evaluation work required that is not derived directly from ISO/IEC 15408
requirements is termed task or sub-task.
6.2 Verb usage
The auxiliary verb shall is used only when the provided text is mandatory and therefore only within the work
units and sub-tasks. The work units and sub-tasks contain mandatory activities that the evaluator must perform
in order to assign verdicts.
© ISO/IEC 2008 - All rights reserved 3

Guidance text accompanying work units and sub-tasks gives further explanation on how to apply ISO/IEC
15408 words in an evaluation. The verb usage is in accordance with ISO definitions for these verbs. The
auxiliary verb should is used when the described method is strongly preferred. All other auxiliary verbs,
including may, are used where the described method(s) is allowed but is neither recommended nor strongly
preferred; it is merely explanation.
The verbs check, examine, report and record are used with a precise meaning within this part of this
International Standard and the Clause 3 should be referenced for their definitions.
6.3 General evaluation guidance
Material that has applicability to more than one sub-activity is collected in one place. Guidance whose
applicability is widespread (across activities and EALs) has been collected into Annex A. Guidance that
pertains to multiple sub-activities within a single activity has been provided in the introduction to that activity. If
guidance pertains to only a single sub-activity, it is presented within that sub-activity.
6.4 Relationship between ISO/IEC 15408 and ISO/IEC 18045 structures
There are direct relationships between ISO/IEC 15408 structure (i.e. class, family, component and element)
and the structure of this International Standard. Figure 1 illustrates the correspondence between ISO/IEC
15408 constructs of class, family and evaluator action elements and evaluation methodology activities,
...

NORME ISO/IEC
INTERNATIONALE 18045
Deuxième édition
2008-08-15
Technologies de l'information —
Techniques de sécurité —
Méthodologie pour l'évaluation de
sécurité TI
Information technology — Security techniques — Methodology for IT
security evaluation
Numéro de référence
© ISO/IEC 2008
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2008
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
© ISO/IEC 2008 – Tous droits réservés

Sommaire Page
Avant-propos .vii
Introduction .ix
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Symboles et abréviations .3
5 Présentation générale . 3
5.1 Organisation de la présente Norme internationale . 3
6 Conventions relatives aux documents . 3
6.1 Terminologie . . 3
6.2 Utilisation des verbes . 4
6.3 Recommandations générales d'évaluation . 4
6.4 Relation entre les structures de l'ISO/IEC 15408 et de l'ISO/IEC 18045 . 4
7 Processus d'évaluation et tâches associées . 5
7.1 Introduction . 5
7.2 Présentation générale du processus d'évaluation. 6
7.2.1 Objectifs . 6
7.2.2 Responsabilités des rôles. 6
7.2.3 Relations entre les rôles . . 6
7.2.4 Modèle général d'évaluation . 6
7.2.5 Verdicts de l'évaluateur . 7
7.3 Tâche d'entrée de l'évaluation. 9
7.3.1 Objectifs . 9
7.3.2 Notes d'application . 9
7.3.3 Sous-tâche de gestion des preuves d'évaluation . 10
7.4 Sous-activités d'évaluation . 10
7.5 Tâche de sortie de l'évaluation . 10
7.5.1 Objectifs . 10
7.5.2 Gestion des données de sortie de l'évaluation . 11
7.5.3 Notes d'application . 11
7.5.4 Rédaction de la sous-tâche RO . 11
7.5.5 Rédaction de la sous-tâche RTE .12
8 Classe APE: Évaluation du profil de protection .17
8.1 Introduction . 17
8.2 Notes d'application . . . 17
8.2.1 Réutilisation des résultats d'évaluation des PP certifiés . 17
8.3 Introduction du PP (APE_INT) . 18
8.3.1 Évaluation de la sous-activité (APE_INT.1) . 18
8.4 Revendications de conformité (APE_CCL) . 19
8.4.1 Évaluation de la sous-activité (APE_CCL.1) . 19
8.5 Définition du problème de sécurité (APE_SPD) . 26
8.5.1 Évaluation de la sous-activité (APE_SPD.1) . 26
8.6 Objectifs de sécurité (APE_OBJ) .28
8.6.1 Évaluation de la sous-activité (APE_OBJ.1) .28
8.6.2 Évaluation de la sous-activité (APE_OBJ.2) .28
8.7 Définition des composants étendus (APE_ECD) . 31
8.7.1 Évaluation de la sous-activité (APE_ECD.1) . 31
8.8 Exigences de sécurité (APE_REQ) . 35
8.8.1 Évaluation de la sous-activité (APE_REQ.1) . 35
8.8.2 Évaluation de la sous-activité (APE_REQ.2) .38
9 Classe ASE: Évaluation de la cible de sécurité .42
iii
© ISO/IEC 2008 – Tous droits réservés

9.1 Introduction . 42
9.2 Notes d'application . . . 42
9.2.1 Réutilisation des résultats d'évaluation des PP certifiés . 42
9.3 Introduction de la ST (ASE_INT) . 43
9.3.1 Évaluation de la sous-activité (ASE_INT.1) . 43
9.4 Revendications de conformité (ASE_CCL) .46
9.4.1 Évaluation de la sous-activité (ASE_CCL.1) .46
9.5 Définition du problème de sécurité (ASE_SPD) .54
9.5.1 Évaluation de la sous-activité (ASE_SPD.1) .54
9.6 Objectifs de sécurité (ASE_OBJ) . 55
9.6.1 Évaluation de la sous-activité (ASE_OBJ.1) . 55
9.6.2 Évaluation de la sous-activité (ASE_OBJ.2) . 55
9.7 Définitions des composants étendus (ASE_ECD) .58
9.7.1 Évaluation de la sous-activité (ASE_ECD.1).58
9.8 Exigences de sécurité (ASE_REQ) . 62
9.8.1 Évaluation de la sous-activité (ASE_REQ.1) . 62
9.8.2 Évaluation de la sous-activité (ASE_REQ.2) .65
9.9 Spécification récapitulative de la TOE (ASE_TSS) . 69
9.9.1 Évaluation de la sous-activité (ASE_TSS.1) . 69
9.9.2 Évaluation de la sous-activité (ASE_TSS.2) . 70
10 Classe ADV: Développement . .72
10.1 Introduction .72
10.2 Notes d'application . . .72
10.3 Architecture de sécurité (ADV_ARC) .73
10.3.1 Évaluation de la sous-activité (ADV_ARC.1) .73
10.4 Spécifications fonctionnelles (ADV_FSP) .77
10.4.1 Évaluation de la sous-activité (ADV_FSP.1) .77
10.4.2 Évaluation de la sous-activité (ADV_FSP.2) .81
10.4.3 Évaluation de la sous-activité (ADV_FSP.3) .85
10.4.4 Évaluation de la sous-activité (ADV_FSP.4) . 91
10.4.5 Évaluation de la sous-activité (ADV_FSP.5) .96
10.4.6 Évaluation de la sous-activité (ADV_FSP.6) .102
10.5 Représentation de l'implémentation (ADV_IMP).103
10.5.1 Évaluation de la sous-activité (ADV_IMP.1) .103
10.5.2 Évaluation de la sous-activité (ADV_IMP.2) .105
10.6 Éléments internes de la TSF (ADV_INT) .105
10.6.1 Évaluation de la sous-activité (ADV_INT.1) .105
10.6.2 Évaluation de la sous-activité (ADV_INT.2) .108
10.6.3 Évaluation de la sous-activité (ADV_INT.3) . 110
10.7 Modélisation des politiques de sécurité (ADV_SPM) . 110
10.7.1 Évaluation de la sous-activité (ADV_SPM.1) . 110
10.8 Conception de la TOE (ADV_TDS) . 110
10.8.1 Évaluation de la sous-activité (ADV_TDS.1). 110
10.8.2 Évaluation de la sous-activité (ADV_TDS.2) . 114
10.8.3 Évaluation de la sous-activité (ADV_TDS.3) . 119
10.8.4 Évaluation de la sous-activité (ADV_TDS.4) .129
10.8.5 Évaluation de la sous-activité (ADV_TDS.5) .139
10.8.6 Évaluation de la sous-activité (ADV_TDS.6) .139
11 Classe AGD: Guides (d'orientation) . 139
11.1 Introduction .139
11.2 Notes d'application . . .139
11.3 Guide opérationnel de l'utilisateur (AGD_OPE) .139
11.3.1 Évaluation de la sous-activité (AGD_OPE.1) .139
11.4 Guide préparatoire (AGD_PRE) . 142
11.4.1 Évaluation de la sous-activité (AGD_PRE.1) . 142
12 Classe ALC: Support au cycle de vie. 144
12.1 Introduction .144
iv
© ISO/IEC 2008 – Tous droits réservés

12.2 Capacités CM (ALC_CMC) . 145
12.2.1 Évaluation de la sous-activité (ALC_CMC.1) . 145
12.2.2 Évaluation de la sous-activité (ALC_CMC.2) .146
12.2.3 Évaluation de la sous-activité (ALC_CMC.3) . 147
12.2.4 Évaluation de la sous-activité (ALC_CMC.4) .151
12.2.5 Évaluation de la sous-activité (ALC_CMC.5) .157
12.3 Périmètre de la CM (ALC_CMS) .164
12.3.1 Évaluation de la sous-activité (ALC_CMS.1) .164
12.3.2 Évaluation de la sous-activité (ALC_CMS.2) .165
12.3.3 Évaluation de la sous-activité (ALC_CMS.3) .166
12.3.4 Évaluation de la sous-activité (ALC_CMS.4) . 167
12.3.5 Évaluation de la sous-activité (ALC_CMS.5) .168
12.4 Livraison (ALC_DEL) .169
12.4.1 Évaluation de la sous-activité (ALC_DEL.1) .169
12.5 Sécurité du développement (ALC_DVS) . 171
12.5.1 Évaluation de la sous-activité (ALC_DVS.1) . 171
12.5.2 Évaluation de la sous-activité (ALC_DVS.2) .173
12.6 Correction des failles (ALC_FLR) . 176
12.6.1 Évaluation de la sous-activité (ALC_FLR.1) . 176
12.6.2 Évaluation de la sous-activité (ALC_FLR.2) .178
12.6.3 Évaluation de la sous-activité (ALC_FLR.3) .182
12.7 Définition du cycle de vie (ALC_LCD) .188
12.7.1 Évaluation de la sous-activité (ALC_LCD.1) .188
12.7.2 Évaluation de la sous-activité (ALC_LCD.2) .189
12.8 Outils et techniques (ALC_TAT) . 191
12.8.1 Évaluation de la sous-activité (ALC_TAT.1) . 191
12.8.2 Évaluation de la sous-activité (ALC_TAT.2) . 193
12.8.3 Évaluation de la sous-activité (ALC_TAT.3) . 195
13 Classe ATE: Essais . 198
13.1 Introduction .198
13.2 Notes d'application . . .198
13.2.1 Compréhension du comportement attendu de la TOE .199
13.2.2 Réalisation d'essais par rapport à d'autres approches visant à vérifier le
comportement attendu des fonctionnalités .199
13.2.3 Vérification de l'adéquation des essais .200
13.3 Couverture (ATE_COV).200
13.3.1 Évaluation de la sous-activité (ATE_COV.1) .200
13.3.2 Évaluation de la sous-activité (ATE_COV.2) .201
13.3.3 Évaluation de la sous-activité (ATE_COV.3) .202
13.4 Profondeur (ATE_DPT) .202
13.4.1 Évaluation de la sous-activité (ATE_DPT.1) .202
13.4.2 Évaluation de la sous-activité (ATE_DPT.2) .205
13.4.3 Évaluation de la sous-activité (ATE_DPT.3) .208
13.4.4 Évaluation de la sous-activité (ATE_DPT.4) . 210
13.5 Essais fonctionnels (ATE_FUN) . 210
13.5.1 Évaluation de la sous-activité (ATE_FUN.1) . . 210
13.5.2 Évaluation de la sous-activité (ATE_FUN.2) .213
13.6 Essais indépendants (ATE_IND) . 214
13.6.1 Évaluation de la sous-activité (ATE_IND.1) . 214
13.6.2 Évaluation de la sous-activité (ATE_IND.2).218
13.6.3 Évaluation de la sous-activité (ATE_IND.3).223
14 Classe AVA: Estimation des vulnérabilités . 223
14.1 Introduction .223
14.2 Analyse des vulnérabilités (AVA_VAN) .224
14.2.1 Évaluation de la sous-activité (AVA_VAN.1) .224
14.2.2 Évaluation de la sous-activité (AVA_VAN.2) .229
14.2.3 Évaluation de la sous-activité (AVA_VAN.3) .236
v
© ISO/IEC 2008 – Tous droits réservés

14.2.4 Évaluation de la sous-activité (AVA_VAN.4) .244
14.2.5 Évaluation de la sous-activité (AVA_VAN.5) .252
15 Classe ACO: Composition . 252
15.1 Introduction .252
15.2 Notes d'application . . .252
15.3 Justification de la composition (ACO_COR) .253
15.3.1 Évaluation de la sous-activité (ACO_COR.1) .253
15.4 Preuve de développement (ACO_DEV) .259
15.4.1 Évaluation de la sous-activité (ACO_DEV.1) .259
15.4.2 Évaluation de la sous-activité (ACO_DEV.2) .261
15.4.3 Évaluation de la sous-activité (ACO_DEV.3) .263
15.5 Confiance dans les composants dépendants (ACO_REL) .265
15.5.1 Évaluation de la sous-activité (ACO_REL.1) .265
15.5.2 Évaluation de la sous-activité (ACO_REL.2) .267
15.6 Test de TOE composée (ACO_CTT) .270
15.6.1 Évaluation de la sous-activité (ACO_CTT.1) .270
15.6.2 Évaluation de la sous-activité (ACO_CTT.2) .272
15.7 Analyse de vulnérabilité de composition (ACO_VUL) . 276
15.7.1 Évaluation de la sous-activité (ACO_VUL.1) . 276
15.7.2 Évaluation de la sous-activité (ACO_VUL.2) .279
15.7.3 Évaluation de la sous-activité (ACO_VUL.3) .283
Annexe A (informative) Recommandations générales d'évaluation .287
Annexe B (informative) Évaluation de la vulnérabilité (AVA) . 296
vi
© ISO/IEC 2008 – Tous droits réservés

Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l'IEC participent au développement de Normes internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l'IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l'IEC participent également aux travaux. Dans le domaine des
technologies de l'information, l'ISO et l'IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1.
Les Normes internationales sont rédigées conformément aux règles données dans les Directives ISO/
IEC, Partie 2.
La tâche principale du comité technique mixte est d'élaborer les Normes internationales. Les projets de
Normes internationales adoptés par le comité technique mixte sont soumis aux organismes nationaux
pour vote. Leur publication comme Normes internationales requiert l'approbation de 75 % au moins
des organismes nationaux votants.
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l'IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence.
L'ISO/IEC 18045 a été élaborée par le comité technique mixte ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Techniques de sécurité des technologies de l'information. Le texte identique de
l'ISO/IEC 18045 est publié par les organisations commanditaires du projet Critères communs sous le
titre Common Methodology for Information Technology Security Evaluation (Méthodologie commune
pour l'évaluation de la sécurité des technologies de l'information). La source XML commune aux deux
publications peut être obtenue à l'adresse http://www.commoncriteriaportal.org/cc/.
Cette deuxième édition annule et remplace la première édition (ISO/IEC 18045:2005), qui a fait l'objet
d'une révision technique.
La présente version française de l'ISO ISO/IEC 18045:2008 correspond à la version anglaise publiée le
2008-08 et corrigée le 2014-01.
vii
© ISO/IEC 2008 – Tous droits réservés

Mentions légales
Les organismes gouvernementaux énumérés ci-dessous ont contribué à l'élaboration de la présente
version de la méthodologie commune pour l'évaluation de la sécurité des technologies de l'information.
En tant que cotitulaires des droits d'auteur de la Méthodologie commune pour l'évaluation de la sécurité
des technologies de l'information, version 3.1 (appelée CEM 3.1), ils accordent par la présente une
licence non exclusive à l'ISO/IEC pour l'utilisation de la CEM 3.1 dans le cadre du développement et de
la maintenance continus de la Norme internationale ISO/IEC 18045. Ces organismes gouvernementaux
conservent toutefois le droit d'utiliser, de copier, de distribuer, de traduire ou de modifier la CEM 3.1
comme ils l'entendent.
Australie/Nouvelle-Zélande: Defence Signals Directorate et Government Communications
Security Bureau, respectivement;
Canada: Centre de la sécurité des télécommunications Canada
(Communications Security Establishment);
France: Direction Centrale de la Sécurité des Systèmes d'Information;
Allemagne: Bundesamt für Sicherheit in der Informationstechnik;
Japon: Information Technology Promotion Agency;
Pays-Bas: Netherlands National Communications Security Agency;
Espagne: Ministerio de Administraciones Públicas and Centro
Criptológico Nacional;
Royaume-Uni: Communications-Electronic Security Group;
États-Unis: National Security Agency et National Institute of Standards and
Technology.
viii
© ISO/IEC 2008 – Tous droits réservés

Introduction
La présente Norme internationale est principalement destinée aux évaluateurs appliquant
l'ISO/IEC 15408 et aux certificateurs confirmant les actions des évaluateurs; les commanditaires de
l'évaluation, les développeurs, les auteurs de PP/ST et les autres parties intéressées par la sécurité
informatique peuvent constituer un public secondaire.
La présente Norme internationale reconnaît qu'elle ne répond pas à toutes les questions concernant
l'évaluation de la sécurité informatique et que des interprétations supplémentaires seront nécessaires.
Des schémas individuels détermineront la manière de traiter ces interprétations, bien que celles-
ci puissent faire l'objet d'accords de reconnaissance mutuelle. Une liste des activités relatives à la
méthodologie qui peuvent être traitées par des schémas individuels figure à l'Annexe A.
ix
© ISO/IEC 2008 – Tous droits réservés

NORME INTERNATIONALE ISO/IEC 18045:2008(F)
Technologies de l'information — Techniques de sécurité —
Méthodologie pour l'évaluation de sécurité TI
1 Domaine d'application
La présente Norme internationale est un document complémentaire de l'ISO/IEC 15408 «Critères
d'évaluation pour la sécurité TI». La présente Norme internationale définit les actions minimales à
réaliser par un évaluateur pour mener une évaluation selon l'ISO/IEC 15408 en utilisant les critères et
les preuves d'évaluation définies dans l'ISO/IEC 15408.
La présente Norme internationale ne définit pas les actions de l'évaluateur pour certaines exigences
d'assurance de haut niveau de l'ISO/IEC 15408 lorsqu'il n'existe pas encore de recommandations
généralement reconnues.
2 Références normatives
Les documents de référence suivants sont indispensables pour l'application du présent document. Pour
les références datées, seule l'édition citée s'applique. Pour les références non datées, la dernière édition
du document de référence s'applique (y compris les éventuels amendements).
ISO/IEC 15408 (toutes les parties), Technologies de l’information — Techniques de sécurité — Critères
d’évaluation pour la sécurité TI
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions suivants s'appliquent.
NOTE Les termes présentés en caractères gras sont eux-mêmes définis dans le présent paragraphe.
3.1
action
élément d'action de l'évaluateur de l'ISO/IEC 15408-3
Note 1 à l'article: Ces actions sont soit explicitement mentionnées comme des actions de l'évaluateur, soit
implicitement dérivées d'actions du développeur (actions implicites de l'évaluateur) dans le cadre des composants
d'assurance de l'ISO/IEC 15408-3.
3.2
activité
application d'une classe d'assurance de l'ISO/IEC 15408-3
3.3
vérifier
génération d'un verdict par une simple comparaison
Note 1 à l'article: L'expertise de l'évaluateur n'est pas requise. L'énoncé qui utilise ce verbe décrit ce qui est mis en
correspondance.
3.4
livrable d'évaluation
toute ressource requise du commanditaire ou du développeur par l'évaluateur ou l'autorité d'évaluation
afin de réaliser une ou plusieurs activités d'évaluation ou de supervision de l'évaluation
© ISO/IEC 2008 – Tous droits réservés

3.5
preuve d'évaluation
livrable d'évaluation matériel
3.6
rapport technique d'évaluation
rapport qui documente le verdict global et sa justification, généré par l'évaluateur et soumis à une
autorité d'évaluation
3.7
examiner
générer un verdict au moyen d'une analyse faisant appel à l'expertise de l'évaluateur
Note 1 à l'article: L'énoncé qui utilise ce verbe identifie les éléments analysés et les propriétés pour lesquelles
ceux-ci sont analysés.
3.8
interprétation
clarification ou amplification d'une exigence de l'ISO/IEC 15408, de l'ISO/IEC 18045 ou d'une exigence
relative à un schéma
3.9
méthodologie
système de principes, de procédures et de processus appliqué aux évaluations de sécurité TI
3.10
rapport d'observation
rapport rédigé par l'évaluateur afin de demander une clarification ou l'identification d'un problème
rencontré lors de l'évaluation
3.11
verdict global
déclaration de type réussite ou échec émise par un évaluateur concernant le résultat d'une évaluation
3.12
verdict de supervision
déclaration émise par une autorité d'évaluation afin de confirmer ou de rejeter le verdict global fondé
sur les résultats des activités de supervision de l'évaluation
3.13
consigner
conserver une description écrite des procédures, des événements, des observations, des indications et
des résultats, suffisamment détaillée pour permettre de reconstituer ultérieurement le travail effectué
au cours de l'évaluation
3.14
rapporter
inclure les résultats de l'évaluation et les éléments justificatifs dans le rapport technique d'évaluation
ou dans un rapport d'observation
3.15
schéma
ensemble de règles, établies par une autorité d'évaluation, définissant l'environnement d'évaluation, y
compris les critères et la méthodologie nécessaires pour mener des évaluations de la sécurité des TI
3.16
sous-activité
application d'un composant d'assurance de l'ISO/IEC 15408-3
Note 1 à l'article: Les familles d'assurance ne sont pas explicitement abordées dans la présente Norme
internationale car les évaluations sont menées sur un seul composant d'assurance d'une famille d'assurance.
© ISO/IEC 2008 – Tous droits réservés

3.17
traçabilité
simple relation directionnelle entre deux ensembles d'entités, qui montre quelles entités du premier
ensemble correspondent à quelles entités du second
3.18
verdict
déclaration de type réussite, échec ou non concluant émise par un évaluateur concernant un élément
d'action d'évaluateur, un composant d'assurance ou une classe d'évaluation selon l'ISO/IEC 15408
Note 1 à l'article: Voir également verdict global.
3.19
unité de travail
niveau le plus granulaire du travail d'évaluation
Note 1 à l'article: Chaque action de méthodologie d'évaluation comprend une ou plusieurs unités de travail, qui
sont regroupées au sein de l'action de méthodologie d'évaluation par le contenu et la présentation des preuves
de l'ISO/IEC 15408 ou l'élément d'action du développeur. Les unités de travail sont présentées dans la présente
Norme internationale dans le même ordre que les éléments de l'ISO/IEC 15408 dont elles sont dérivées. Les unités
de travail sont identifiées dans la marge gauche par un symbole tel que ALC_TAT.1-2. Dans ce symbole, la chaîne
ALC_TAT.1 indique l'élément de l'ISO/IEC 15408 (c'est-à-dire cette sous-activité de la Norme internationale), et le
dernier chiffre (2) indique qu'il s'agit de la deuxième unité de travail de la sous-activité ALC_TAT.1.
4 Symboles et abréviations
RO Rapport d'observation (Observation Report)
RTE Rapport technique d'évaluation (Évaluation Technical Report)
5 Présentation générale
5.1 Organisation de la présente Norme internationale
L'Article 6 définit les conventions utilisées dans la présente Norme internationale.
L'Article 7 décrit les tâches d'évaluation générales sans verdict associé car elles ne correspondent pas
aux éléments d'action de l'évaluateur de l'ISO/IEC 15408.
L'Article 8 aborde la quantité de travail nécessaire pour obtenir un résultat d'évaluation sur un PP.
Les Articles 9 à 15 définissent les activités d'évaluation, organisées par classes d'assurance.
L'Annexe A couvre les techniques d'évaluation de base utilisées pour fournir des preuves techniques de
résultats d'évaluation.
L'Annexe B fournit une explication des critères d'analyse de la vulnérabilité et des exemples de leur
application.
6 Conventions relatives aux documents
6.1 Terminologie
Contrairement à l'ISO/IEC 15408, où chaque élément conserve le dernier chiffre de son symbole
d'identification pour tous les composants de la famille, la présente Norme internationale peut introduire
de nouvelles unités de travail lorsqu'un élément d'action d'évaluateur de l'ISO/IEC 15408 change d'une
sous-activité à l'autre; par conséquent, le dernier chiffre du symbole d'identification de l'unité de travail
peut changer bien que l'unité de travail reste la même.
© ISO/IEC 2008 – Tous droits réservés

Tout travail d'évaluation spécifique à une méthodologie qui n'est pas déterminé directement à partir
des exigences de l'ISO/IEC 15408 est appelé tâche ou sous-tâche.
6.2 Utilisation des verbes
Tous les verbes relatifs aux unités de travail et aux sous-tâches sont précédés de la forme verbale «doit»
et par la présentation du verbe et de la forme verbale «doit» en caractères italiques gras. La forme
verbale «doit» est utilisée uniquement lorsque le texte fourni est obligatoire et donc uniquement da
...