ISO/FDIS 17574
(Main)Electronic fee collection — Requirements for security protection profiles
Electronic fee collection — Requirements for security protection profiles
ISO/TS 17574:2017 provides guidelines for preparation and evaluation of security requirements specifications, referred to as Protection Profiles (PP) in ISO/IEC 15408 (all parts) and in ISO/IEC TR 15446. By Protection Profile (PP), it means a set of security requirements for a category of products or systems that meet specific needs. A typical example would be a PP for On-Board Equipment (OBE) to be used in an EFC system. However, the guidelines in this document are superseded if a Protection Profile already exists for the subsystem in consideration.
Perception de télépéage — Exigences relatives aux profils de protection de sécurité
Ce document spécifie les exigences relatives à la perception de télépéage pour la préparation et l'évaluation des spécifications des exigences de sécurité, appelées profils de protection (PP) dans la série ISO/IEC 15408 et dans l’ISO/IEC TR 15446.
General Information
- Status
- Not Published
- Technical Committee
- ISO/TC 204 - Intelligent transport systems
- Drafting Committee
- ISO/TC 204/WG 5 - Fee and toll collection
- Current Stage
- 5000 - FDIS registered for formal approval
- Start Date
- 02-Feb-2026
- Completion Date
- 30-Jan-2026
Relations
- Effective Date
- 12-Feb-2026
- Effective Date
- 18-Nov-2023
- Effective Date
- 04-Nov-2023
Overview
ISO/FDIS 17574: Electronic Fee Collection - Requirements for Security Protection Profiles is an international standard developed by ISO/TC 204, focused on intelligent transport systems. This standard provides comprehensive guidelines for the preparation and evaluation of security requirements specifications, known as Protection Profiles (PP), for electronic fee collection (EFC) systems. Protection Profiles are critical sets of security requirements tailored to specific categories of products or systems within EFC implementations, ensuring that the security needs of these components are thoroughly addressed.
ISO/FDIS 17574 aligns with the concepts and methodologies described in ISO/IEC 15408 (Common Criteria for IT security evaluation) and ISO/IEC TR 15446. The standard is applicable to all stakeholders involved in the design, development, deployment, and evaluation of EFC systems, helping them to mitigate risks of fraud, data theft, and unauthorized access in toll collection environments.
Key Topics
ISO/FDIS 17574 covers several essential aspects to support robust security in electronic fee collection:
Preparation of Protection Profiles (PP):
- Methods for analyzing the security environment and identifying the target of evaluation (TOE)
- Steps required to document security requirements based on system threats and operational needs
Structure and Content of PPs:
- Guidance on including context, threat analysis, security objectives, technical and operational requirements, and a rationale for design decisions
Conformance Requirements:
- How to ensure alignment with ISO/IEC 15408 and make effective conformance claims
- Guidance on when to use existing PPs and when to prepare new ones
Roles and Responsibilities:
- Distinguishing between the roles of system operators, suppliers, and third-party evaluators
- Defining how PPs inform the design and evaluation of EFC components
Threat and Risk Analysis:
- Methods for identifying and evaluating security threats to EFC systems, such as fraud, unauthorized access, and data manipulation
Applications
The practical value of ISO/FDIS 17574 lies in its support for secure EFC system development and operation across road tolling and intelligent transportation systems:
EFC Equipment Security:
PPs can be created for on-board equipment (OBE), roadside equipment (RSE), and integrated circuit cards (ICC), ensuring the highest security standards throughout the toll collection process.System Standardization:
Provides a consistent methodology for stakeholders to develop, evaluate, and register security requirements across different nations and operators, supporting interoperability and mutual recognition.Risk Management:
Helps system operators identify potential vulnerabilities and apply effective mitigation strategies from the earliest design stages through ongoing operations.Regulatory Compliance:
Assists governments and regulatory authorities in setting and enforcing security requirements for EFC systems, helping align national and international policy.Evaluative Assurance:
Supports third-party evaluations and certifications, offering confidence to users and operators that EFC systems adhere to internationally recognized security benchmarks.
Related Standards
Organizations developing or evaluating EFC security solutions should also consider the following related international standards:
ISO/IEC 15408 (all parts):
Information security - Criteria for the evaluation of IT security (Common Criteria), forming the foundational methodology for preparing Protection Profiles.ISO/IEC TR 15446:
Guidance for the production of Protection Profiles and Security Targets.ISO 17573-2:
Electronic fee collection - System architecture for vehicle-related tolling - Vocabulary, which forms the basis for terms and definitions used throughout ISO/FDIS 17574.Other Security Standards:
National or regional regulatory requirements for data privacy and cybersecurity in transport systems may also be relevant.
ISO/FDIS 17574 serves as a critical tool for developing secure, trustworthy, and interoperable EFC systems, supporting stakeholders globally in achieving high levels of assurance and compliance in toll collection infrastructure.
Buy Documents
ISO/FDIS 17574 - Electronic fee collection — Requirements for security protection profiles/23/2025
ISO/FDIS 17574 - Perception de télépéage — Exigences relatives aux profils de protection de sécurité/2/2025
Get Certified
Connect with accredited certification bodies for this standard
BSI Group
BSI (British Standards Institution) is the business standards company that helps organizations make excellence a habit.
Great Wall Tianjin Quality Assurance Center
Established 1993, first batch to receive national accreditation with IAF recognition.
Hong Kong Quality Assurance Agency (HKQAA)
Hong Kong's leading certification body.
Sponsored listings
Frequently Asked Questions
ISO/FDIS 17574 is a draft published by the International Organization for Standardization (ISO). Its full title is "Electronic fee collection — Requirements for security protection profiles". This standard covers: ISO/TS 17574:2017 provides guidelines for preparation and evaluation of security requirements specifications, referred to as Protection Profiles (PP) in ISO/IEC 15408 (all parts) and in ISO/IEC TR 15446. By Protection Profile (PP), it means a set of security requirements for a category of products or systems that meet specific needs. A typical example would be a PP for On-Board Equipment (OBE) to be used in an EFC system. However, the guidelines in this document are superseded if a Protection Profile already exists for the subsystem in consideration.
ISO/TS 17574:2017 provides guidelines for preparation and evaluation of security requirements specifications, referred to as Protection Profiles (PP) in ISO/IEC 15408 (all parts) and in ISO/IEC TR 15446. By Protection Profile (PP), it means a set of security requirements for a category of products or systems that meet specific needs. A typical example would be a PP for On-Board Equipment (OBE) to be used in an EFC system. However, the guidelines in this document are superseded if a Protection Profile already exists for the subsystem in consideration.
ISO/FDIS 17574 is classified under the following ICS (International Classification for Standards) categories: 03.220.20 - Road transport; 35.240.60 - IT applications in transport. The ICS classification helps identify the subject area and facilitates finding related standards.
ISO/FDIS 17574 has the following relationships with other standards: It is inter standard links to prEN ISO 17574, ISO/TS 22317:2021, ISO/TS 17574:2017. Understanding these relationships helps ensure you are using the most current and applicable version of the standard.
ISO/FDIS 17574 is available in PDF format for immediate download after purchase. The document can be added to your cart and obtained through the secure checkout process. Digital delivery ensures instant access to the complete standard document.
Standards Content (Sample)
DRAFT
International
Standard
ISO/DIS 17574
ISO/TC 204
Electronic fee collection —
Secretariat: ANSI
Guidelines for security protection
Voting begins on:
profiles
2025-07-18
Perception de télépéage — Lignes directrices concernant les
Voting terminates on:
profils de protection de la sécurité
2025-10-10
ICS: 35.240.60; 03.220.20
THIS DOCUMENT IS A DRAFT CIRCULATED
FOR COMMENTS AND APPROVAL. IT
IS THEREFORE SUBJECT TO CHANGE
AND MAY NOT BE REFERRED TO AS AN
INTERNATIONAL STANDARD UNTIL
PUBLISHED AS SUCH.
This document is circulated as received from the committee secretariat.
IN ADDITION TO THEIR EVALUATION AS
BEING ACCEPTABLE FOR INDUSTRIAL,
TECHNOLOGICAL, COMMERCIAL AND
USER PURPOSES, DRAFT INTERNATIONAL
STANDARDS MAY ON OCCASION HAVE TO
ISO/CEN PARALLEL PROCESSING
BE CONSIDERED IN THE LIGHT OF THEIR
POTENTIAL TO BECOME STANDARDS TO
WHICH REFERENCE MAY BE MADE IN
NATIONAL REGULATIONS.
RECIPIENTS OF THIS DRAFT ARE INVITED
TO SUBMIT, WITH THEIR COMMENTS,
NOTIFICATION OF ANY RELEVANT PATENT
RIGHTS OF WHICH THEY ARE AWARE AND TO
PROVIDE SUPPORTING DOCUMENTATION.
Reference number
ISO/DIS 17574:2025(en)
DRAFT
ISO/DIS 17574:2025(en)
International
Standard
ISO/DIS 17574
ISO/TC 204
Electronic fee collection —
Secretariat: ANSI
Guidelines for security protection
Voting begins on:
profiles
Perception de télépéage — Lignes directrices concernant les
Voting terminates on:
profils de protection de la sécurité
ICS: 35.240.60; 03.220.20
THIS DOCUMENT IS A DRAFT CIRCULATED
FOR COMMENTS AND APPROVAL. IT
IS THEREFORE SUBJECT TO CHANGE
AND MAY NOT BE REFERRED TO AS AN
INTERNATIONAL STANDARD UNTIL
PUBLISHED AS SUCH.
This document is circulated as received from the committee secretariat.
IN ADDITION TO THEIR EVALUATION AS
BEING ACCEPTABLE FOR INDUSTRIAL,
© ISO 2025
TECHNOLOGICAL, COMMERCIAL AND
USER PURPOSES, DRAFT INTERNATIONAL
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
STANDARDS MAY ON OCCASION HAVE TO
ISO/CEN PARALLEL PROCESSING
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
BE CONSIDERED IN THE LIGHT OF THEIR
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
POTENTIAL TO BECOME STANDARDS TO
WHICH REFERENCE MAY BE MADE IN
or ISO’s member body in the country of the requester.
NATIONAL REGULATIONS.
ISO copyright office
RECIPIENTS OF THIS DRAFT ARE INVITED
CP 401 • Ch. de Blandonnet 8
TO SUBMIT, WITH THEIR COMMENTS,
CH-1214 Vernier, Geneva
NOTIFICATION OF ANY RELEVANT PATENT
Phone: +41 22 749 01 11
RIGHTS OF WHICH THEY ARE AWARE AND TO
PROVIDE SUPPORTING DOCUMENTATION.
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland Reference number
ISO/DIS 17574:2025(en)
ii
ISO/DIS 17574:2025(en)
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 2
4 Abbreviated terms . 2
5 EFC security architecture and protection profile processes . 3
5.1 General .3
5.2 EFC security architecture . .3
5.3 Protection profile preparatory steps .4
5.4 Relationship between actors .5
6 Outlines of Protection Profile . 7
6.1 Structure .7
6.2 Context .8
Annex A (informative) Procedures for preparing documents . 9
Annex B (informative) Example of threat analysis evaluation method .42
Annex C (informative) Relevant security standards in the context of the EFC . 47
Annex D (informative) Common Criteria Recognition Arrangement (CCRA) .48
Bibliography .49
iii
ISO/DIS 17574:2025(en)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out through
ISO technical committees. Each member body interested in a subject for which a technical committee
has been established has the right to be represented on that committee. International organizations,
governmental and non-governmental, in liaison with ISO, also take part in the work. ISO collaborates closely
with the International Electrotechnical Commission (IEC) on all matters of electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are described
in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for the different types
of ISO documents should be noted. This document was drafted in accordance with the editorial rules of the
ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent
rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of any patent
rights identified during the development of the document will be in the Introduction and/or on the ISO list of
patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the meaning of ISO specific terms and expressions related to conformity assessment,
as well as information about ISO's adherence to the World Trade Organization (WTO) principles in the
Technical Barriers to Trade (TBT) see the following URL: www.iso.org/iso/foreword.html.
The committee responsible for this document is ISO/TC 204, Intelligent transport systems.
This first edition cancels and replaces the third edition of ISO/TS 17574, which has been technically revised.
The main changes are as follows:
— Clause 3 has been updated and ISO 17573-2 has been made the primary source for terms and definitions,
— requirements updated as to reflect the latest version of the ISO/IEC 15408 series.
iv
ISO/DIS 17574:2025(en)
Introduction
Electronic fee collection (EFC) systems are subject to several ways of fraud both by users and operators but
also from people outside the system. These security threats have to be met by different types of security
measures including specified security requirements.
It is recommended that EFC operators use the guidelines provided by this document to prepare their own
EFC protection profile (PP), as security requirements should be described from the operator's point of view.
It should be noted that the guidelines provided in this document are intended to be read in conjunction with
the underlying international standards ISO/IEC 15408 (all parts). Most of the content of this document is an
example shown in Annex A on how to prepare the security requirements for EFC equipment, in this case, a
DSRC-based OBE with an integrated circuit(s) card (ICC) loaded with crucial data needed for the EFC. The
example refers to a Japanese national EFC system and should only be regarded as an example.
After an EFC/PP is prepared, it can be internationally registered by the organization that prepared the EFC/
PP so that other operators or countries that want to develop their EFC system security services can refer to
an already registered EFC/PP.
This EFC-related document on security service framework and EFC/PP is based on ISO/IEC 15408 (all parts).
ISO/IEC 15408 (all parts) includes a set of requirements for the security functions and assurance of IT-
relevant products and systems. Operators, organizations or authorities defining their own EFC/PP can use
these requirements. This will be similar to the different PPs registered by several financial institutions, e.g.
for payment instruments like IC cards (ICCs).
The products and systems that were developed in accordance with ISO/IEC 15408 (all parts) can be publicly
assured by the authentication of the government or designated private evaluation agencies.
v
DRAFT International Standard ISO/DIS 17574:2025(en)
Electronic fee collection — Guidelines for security protection
profiles
1 Scope
This document provides guidelines for preparation and evaluation of security requirements specifications,
referred to as Protection Profiles (PP) in ISO/IEC 15408 (all parts) and in ISO/IEC TR 15446.
By Protection Profile (PP), it means a set of security requirements for a category of products or systems that
meet specific needs. A typical example would be a PP for on-board equipment (OBE) to be used in an EFC
system. However, the guidelines in this document are superseded if a Protection Profile already exists for
the subsystem in consideration.
The target of evaluation (TOE) for EFC is limited to EFC specific roles and interfaces as shown in Figure 1.
Since the existing financial security standards and criteria are applicable to other external roles and
interfaces, they are assumed to be outside the scope of TOE for EFC.
Figure 1 — Scope of TOE for EFC
The security evaluation is performed by assessing the security-related properties of roles, entities and
interfaces defined in security targets (STs), as opposed to assessing complete processes which often are
distributed over more entities and interfaces than those covered by the TOE of this document.
NOTE Assessing security issues for complete processes is a complimentary approach, which may well be
beneficial to apply when evaluating the security of a system.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content constitutes
requirements of this document. For dated references, only the edition cited applies. For undated references,
the latest edition of the referenced document (including any amendments) applies.
ISO/DIS 17574:2025(en)
ISO/IEC 15408-1, Information security — cybersecurity and privacy protection — Evaluation criteria for IT
security — Part 1: Introduction and general model
ISO/IEC 15408-2, Information security — cybersecurity and privacy protection — Evaluation criteria for IT
security — Part 2: Security functional components
ISO/IEC 15408-3, Information security — cybersecurity and privacy protection — Evaluation criteria for IT
security — Part 3: Security assurance components
ISO/IEC 15408-4, Information security — cybersecurity and privacy protection — Evaluation criteria for IT
security — Part 4: Framework for the specification of evaluation methods and activities
ISO/IEC 15408-5, Information security — cybersecurity and privacy protection — Evaluation criteria for IT
security — Part 5: Pre-defined packages of security requirements
—1)
ISO 17573-2, , Electronic fee collection — System architecture for vehicle related tolling — Part 2: Vocabulary
3 Terms and definitions
—2)
For the purposes of this document, the terms and definitions given in ISO 17573-2:— apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— IEC Electropedia: available at https:// www .electropedia .org/
— ISO Online browsing platform: available at https:// www .iso .org/ obp
4 Abbreviated terms
CC common criteria
CCRA common criteria recognition arrangement
CN cellular networks
DSRC dedicated short-range communication
EAL evaluation assurance level
EFC electronic fee collection
GNSS global navigation satellite systems
HMI human-machine interface
I/F Interface
ICC integrated circuit(s) card
IT information technology
OBE on-board equipment
PP protection profile
RSE roadside equipment
1) Stage at the time of publication: ISO/DIS 17573-2:2025
2) Stage at the time of publication: ISO/DIS 17573-2:2025
ISO/DIS 17574:2025(en)
SAM secure application module
SFP security function policy
SFR security functional requirement
ST security target
TOE target of evaluation
TSF target of evaluation security functions
5 EFC security architecture and protection profile processes
5.1 General
This clause gives an overview of the context and use of this document in terms of the EFC security
architecture and protection profile processes.
This document is intended to be read in conjunction with the underlying standards ISO/IEC 15408 (all parts)
and ISO/IEC TR 15446. Although a reader unfamiliar with the standards could read the first part of the
document to have an overview on how to prepare a Protection Profile for EFC equipment, the annexes,
particularly A.4 and A.5, require that the reader be familiar with ISO/IEC 15408 (all parts). The document
uses an OBE with an integrated circuit(s) card (ICC) as an example to describe both the structure of the PP,
as well as the proposed content.
In Annex A, the guideline for preparing EFC/PP is described by using an OBE as an example of EFC products.
The communication link (between the OBE and the RSE) is based on DSRC.
Annex B gives an example of how a threat analysis can be done, while Annex C provides an overview of
the relevant security standards in the context of the EFC, which provides the background of EFC roles and
interfaces.
5.2 EFC security architecture
Figure 2 shows how this document fits in the overall picture of EFC security architecture. The shaded boxes
are the aspects mostly related to the preparation of PPs for EFC systems.
ISO/DIS 17574:2025(en)
Figure 2 — Overall view of security architecture
5.3 Protection profile preparatory steps
The main purpose of a PP is to analyse the security environment of a subject and then to specify the
requirements meeting the threats that are the output of the security environment analysis. The subject
studied is called the target of evaluation (TOE). In this document, an OBE with an ICC is used as an example
of the TOE.
The preparatory work of EFC/PP consists of the steps shown in Figure 3, according to the contents described
in Clause 6.
ISO/DIS 17574:2025(en)
Figure 3 — Process of preparing a Protection Profile for EFC equipment
A PP may be registered publicly by the entity preparing the PP to make it known and available to other
parties that may use the same PP for their own EFC systems.
5.4 Relationship between actors
By security target (ST), it means a set of security requirements and specifications to be used as the basis
for evaluation of an identified TOE. While the PP could be looked upon as the EFC toll service providers’
requirements, the ST could be looked upon as the documentation of a supplier as for the compliance with
and fulfilment of the PP for the TOE, e.g. an OBE.
Figure 4 shows a simplified picture and example of the relationships between toll service provider, the
EFC equipment supplier and an evaluator. For an international registry organization, i.e. Common Criteria
Recognition Arrangement (CCRA) and current registered PPs, refer to Annex D.
ISO/DIS 17574:2025(en)
Figure 4 — Relationships between operators, suppliers and evaluators
The ST is similar to the PP, except that it contains additional implementation-specific information detailing
how the security requirements are realized in a particular product or system. Hence, the ST includes the
following parts not found in a PP:
— a TOE summary specification that presents the TOE-specific security functions and assurance measures;
— an optional PP part that explains PPs with which the ST is claimed to be conformant (if any);
— a rationale containing additional evidence establishing that the TOE summary specifications ensure
satisfaction of the implementation-independent requirements and that claims about PP conformance
are satisfied;
— actual security functions of EFC products will be designed based on this ST (see example in Figure 5).
ISO/DIS 17574:2025(en)
Figure 5 — Example of design based on a PP
6 Outlines of Protection Profile
6.1 Structure
The content of a Protection Profile for a part or interface of an EFC system is shown in Figure 6, which shall
be in accordance with ISO/IEC 15408-1, clause 10 and annex B.
Figure 6 — Contents of a Protection Profile
ISO/DIS 17574:2025(en)
6.2 Context
Guidelines for preparing PP are as follows:
a) Overview (see A.1)
b) Target of evaluation (TOE, see A.2)
The scope of the TOE shall be specified.
c) Conformance
The conformance claims of PPs shall be specified.
d) Security environment (see A.3)
Development, operation and control methods of the TOE are described to clarify the working/operation
requirements. Regarding these requirements, IT assets, for which the TOE must be protected, and the
security threats to which the TOE is exposed, shall be specified.
e) Security objectives (see A.4)
Security policies for threats to the TOE are determined. The policies are divided into technical, operational
and control policy.
Security objectives should be consistent with the operational aim or product purpose of the TOE.
Operational/control policy is defined as personnel and physical objectives applicable to the status, in which
the TOE is used or operated. The operational/control policy includes control and operational rules for
operators.
f) Security requirements (see A.5)
In accordance with the security objectives defined in A.4, concrete security requirements for security
threats stated in A.3 are specified. The security requirements consist of functional requirements (technical
requirements) and assurance requirements for security quality.
Functional requirements are provided, selecting necessary requirements from ISO/IEC 15408-2 and
determining parameters, which shall be in accordance with ISO/IEC 15408-2, from clause 6 to clause 18.
Regarding assurance requirements, assurance requirements specified in ISO/IEC 15408-3are adopted
by determining evaluation levels for assurance requirements, which shall be in accordance with
ISO/IEC 15408-3, from clause 5 to clause 15.
The evaluation method and activities are included in the security requirements, which shall be in accordance
with ISO/IEC 15408-4, clause 5 and 6.
The evaluation assurance levels are included in the security requirements, which shall be in accordance
with ISO/IEC 15408-5, clause 4.
g) Rationale of justification/effectiveness (see A.6)
The content of PP is checked when necessary and covers security requirements for the TOE. The checked
items are as follows:
1) all security environments needed are covered;
2) security objectives should completely meet the security environments;
3) security requirements should implement security objectives.
ISO/DIS 17574:2025(en)
Annex A
(informative)
Procedures for preparing documents
A.1 Overview
A.1.1 General
A general outline of the document for Protection Profile (PP) is described.
It should be noted that this clause is informative. Most of the content is an example of how to prepare the
security requirements for EFC equipment, in this case, an OBE with an ICC loaded with crucial data needed
for the electronic fee collection.
A.1.2 Identification information
Identification information for the document is as follows:
a) document title;
b) version/release number;
c) preparation date;
d) prepared by.
EXAMPLE Identification information:
1) document title: EFC OBE Security Protection Profile;
2) reference/version number: 1.0;
3) preparation date: 2002-10-20;
4) prepared by: ABC Association.
A.1.3 Target of evaluation (TOE) description
TOE is identified as follows:
a) product;
b) version/release number;
c) developer.
EXAMPLE TOE description:
1) product: EFC OBE;
2) version/release number: 1.0;
3) developer: ABC Co., Ltd.
A.1.4 In accordance with ISO/IEC 15408 (all parts)
The prepared “Protection Profile” in accordance with ISO/IEC 15408 (all parts) is stated explicitly.
ISO/DIS 17574:2025(en)
The version and preparation data of referenced ISO/IEC 15408 (all parts) are also stated.
EXAMPLE ISO/IEC 15408 (all parts) conformance statement according to:
— ISO/IEC 15408-1 Fourth Edition
— ISO/IEC 15408-2 Fourth Edition
— ISO/IEC 15408-3 Fourth Edition
— ISO/IEC 15408-4 First Edition
— ISO/IEC 15408-5 First Edition
A.1.5 Outline of TOE
A.1.5.1 Type of TOE
EXAMPLE
1.4.1 Type of TOE
EFC OBE
A.1.5.2 TOE functional outline
For users of security “Protection Profile”, a type of device described in “Protection Profile” is described
explicitly to help them determine the application.
EXAMPLE
1.4.2 TOE functional outline (OBE for EFC system)
The functional outline is as follows.
a) EFC function:
1) mutual authentication with ICC;
2) transcription (caching) of ICC data to OBE;
3) encryption of radio communication with RSE;
4) assurance of message integrity;
5) mutual authentication with RSE;
6) storage of secured information (encryption key) used in OBE during EFC transaction.
b) Set-up function:
1) authentication of set-up card;
2) caching of vehicle information from ICC to OBE.
c) HMI function:
1) report of EFC billing results to users;
2) guidance of EFC lane.
ISO/DIS 17574:2025(en)
A.1.5.3 Evaluation Assurance Level (EAL)
Evaluation Assurance Levels for objectives are selected. Each EAL defines a package consisting of assurance
components and determines the degree of assurance requirements on security systems. The justification for
the selected EAL is stated.
EXAMPLE
A.1.5.3 EFC OBE (EAL is 5)
OBE functions as equipment for e-Commerce in EFC transactions. The security systems of EFC OBE are vulnerable to
attack under the control of individual users. Therefore, a high assurance level (EAL) is required for EFC OBE.
A.2 Target of evaluation (TOE)
A.2.1 TOE objectives and methodology
A.2.1.1 TOE use objectives
The following example indicates objectives for TOE use and the type of environment in which it is used.
EXAMPLE EFC members (users) use the EFC system at tollgates by inserting the ICC with EFC member contract
information for settlement. Vehicle information such as an automobile inspection certification is stored in OBE
beforehand. For storing vehicle information, a personalization card for initialization is used. The OBE (TOE), which
reads/writes data to ICCs for set-ups/settlements and transmits/receives data to roadside equipment for toll collection
transactions, protects interface and internal data from external threats.
A.2.1.2 TOE use methodology
a) User preparations:
steps to be taken by user before use of TOE.
b) Operator’s preparation:
necessary hardware/software and control systems are described when operator operates TOE.
c) Operational procedures:
procedures for operation and maintenance are described.
d) Use procedures:
procedures for users are described.
e) Limitations of use:
limitations of use such as time zones and geographical zones are described.
EXAMPLE
a) User’s preparations:
Users request an operator to install an OBE and set up vehicle information such as automobile inspection certification
to OBE. In addition, users receive the ICC with EFC member contract information.
b) Operator preparations:
Operators issue set-up information in response to user’s requests.
c) Operation procedures:
ISO/DIS 17574:2025(en)
When a user is passing through tollgates, the toll is billed to the ICCs for settlement with EFC member contract
information, which is inserted in the installed OBE with vehicle information. When a legitimate ICC for settlement
is inserted in the OBE with correct vehicle information, the toll fee is calculated in the communication zone of RSE at
tollgates.
For a change or update of EFC member contract information, such as vehicle information, set-up cards and ICC are
updated (re-issued/re-registered).
d) Use procedures:
A user uses the ICCs with EFC member contract information at tollgates within the EFC system according to the EFC
member contract or OBE manuals.
e) Limitations of use:
In general, OBE is available at any time of day, as long as EFC lanes are open at tollgates.
A.2.2 TOE functions
A.2.2.1 Functions provided by TOE
Functions, which are provided by the TOE, are described. All functions for data transactions, which shall be
protected, are listed.
EXAMPLE
a) EFC transactions:
1) EFC communication control function;
2) non-secure data record function;
3) HMI input/output control function;
4) ICC insert status detect function;
5) OBE self-check function.
b) Security module:
1) data storage or protection function;
2) user access control function;
3) authentication function (DSRC, ICC);
4) encryption/decryption function;
5) ICC interface function;
6) EFC transaction interface function;
7) set-up card read function.
A.2.2.2 Functions not provided by TOE
When the TOE function is a part of the functions of an entire system, the scope of the TOE in the whole
system should be shown as in Figure A.1 which shows an example where the OBE is the scope of the TOE. For
reference, Figure A.2 showing the overall security policy scope should be included.
ISO/DIS 17574:2025(en)
Figure A.1 — Example where the TOE is shown in its context
Figure A.2 — Overall security policy scope
A.2.2.3 Missing functions
When functions, which usually should be provided by the TOE in this section, are not included in the TOE,
the function contents and reasoning for exclusion should be described.
ISO/DIS 17574:2025(en)
A.2.3 TOE structure
A.2.3.1 Hardware structure
The structure with related hardware units on TOE operation is described. The scope of TOE in the structure
should be shown as in the example in Figure A.3. Also, the overall EFC system model of the EFC Security
Framework should be shown as in Figure A.4.
EXAMPLE
Figure A.3 — Example of TOE hardware structure
ISO/DIS 17574:2025(en)
Figure A.4 — EFC system model of the EFC Security Framework
A.2.3.2 Software structure
The structure with related software in the operation of the TOE is described. In the structure, the scope of
the TOE in the structure should be stated. Especially, when the operation of the TOE depends on operating
system (OS) and data control programs, the distribution of functions should be described.
A.2.3.3 Rationale
It should be verified that the described items are consistent.
a) Absence of inconsistent provision items.
b) Absence of undefined or unclear sections of provided contents in this subclause.
ISO/DIS 17574:2025(en)
A.3 Conformance
A.3.1 Conformance claim and conformance statement of TOE
A.3.1.1 General
Regarding conformance related to the PP, two kinds of relationships are defined. One is the relationship
between the PP and the based common criteria (CC), the other relationship is between a ST and PP and the
PP. Regarding these relationships, both conformance claim and conformance statement are to be described.
A.3.1.2 Conformance claim
Conformance claim is related to the relationship between the PP and the based CC.
a) Edition of the relevant parts of the CC is defined.
If all security functional requirements (SFRs) are based only upon functional requirement in ISO/IEC 15408-2
and -3, “conformant” is selected otherwise “extended” is to be selected.
EXAMPLE conforms with ISO/IEC 15408
b) Conformance to the CC Part2 is defined.
EXAMPLE “CC part2 conformant and extended”
c) Conformance to the CC Part3 is defined.
EXAMPLE “CC part3 conformant and extended”
d) conformance claim rationale
Reason and logical basis of the choice of conformance claim is to be described.
A.3.1.3 Conformance statements
The conformance statement describes the way other PPs or STs shall conform to the PP. The conformance
statement shall be one of the three types of conformance as followings,
— Demonstrable,
— Strict,
— Exact
Example Conformance manner is “Strict”
A.4 Security environment
A.4.1.1 General
Security requirements to determine security objectives for the TOE operation are provided.
A.4.1.2 Operational environments
The methodology of the use of the TOE such as the operational environment, operational time, operational
site, use procedure and location of use is described.
a) Operational procedures
ISO/DIS 17574:2025(en)
Regarding the operational procedures of the TOE, the operation of an integrated EFC system including the
related vehicles and ICC for payment are described.
b) Operational time
The operational time zone of the TOE is described.
EXAMPLE The operational time is any time that EFC vehicles use on EFC toll roads.
c) Operational sites
Operational sites of the TOE are described.
d) Operational overview
The procedures from the purchase (obtain) to the disposal of the TOE by users are described including
installation of the TOE, set-up of the TOE and operation at toll roads.
EXAMPLE 1 Users purchase EFC OBE at OBE dealers (car dealers, car shops). An OBE is installed in a vehicle. In
addition, the on-board information needed for the EFC operation such as vehicle information is stored as on-board
information.
EXAMPLE 2 After an EFC member contract is established, users get an ICC, which is issued by credit card companies.
EXAMPLE 3 Users will be able to use the EFC system by inserting an ICC in an OBE installed in a vehicle. The
vehicles, which can use EFC systems, are called EFC vehicles.
EXAMPLE 4 Users use toll roads with the ICC inserted in an OBE in an EFC vehicle and pass through the tollgates
without stopping.
Users can voluntarily dispose of unnecessary OBE.
e) Use sites
Sites, where users can use TOE, are described.
EXAMPLE Toll roads, along which EFC RSE are installed.
f) Limits and requirements in use such as available numbers of TOE are described.
EXAMPLE 1 The number of OBE installed per vehicle is limited to one.
EXAMPLE 2 OBE is fixed (built-in) in a vehicle.
EXAMPLE 3 OBE can be used any time of day as long as EFC lanes are open for operation.
A.4.1.3 Physical control
Physical control related to the operation of the TOE is described.
a) Installation sites and control
Installation sites and physical control of the TOE are described.
EXAMPLE 1 OBE is fixed (built-in) in a vehicle.
b) User unit
For use of the TOE, the physical control requirements of ICC for payments, which users possess, are described.
EXAMPLE 2 Users are responsible for their ICC.
ISO/DIS 17574:2025(en)
A.4.1.4 Personnel requirements
The personnel requirements for the responsibility and confidence of the TOE operations are described. In
addition, the requirements for potential uses, motivations, methods and expertise of attacks are provided.
a) TOE-related agents
The following items regarding the manufacturers, operators and users of TOE are stated.
1) Type
2) Role
3) Authorization
4) Reliance
5) Risk of illicit use
6) Expertise
7) Trail
EXAMPLE 1 Personnel requirements:
Type: Manufacturer of OBE.
Role: Manufacturing and shipping based on standard specification of EFC OBE.
Authorization: None.
Reliance: No responsibility for security control.
Risk of illicit use: There are risks of illicit use since the responsibility for security control is absent.
Expertise: No need of expertise for security.
Trail: Negative list check is implemented while EFC vehicles are passing through tollgates.
b) Attackers
The following items are described for illicit user requirements against which countermeasures are
taken by the TOE.
1) Type
2) Purpose of illicit use
3) Motivation
4) Means
5) Expertise
EXAMPLE 2 Attackers:
Type: Illicit third party among EFC users.
Purpose of illicit use: OBE data forgery, manipulation, obtaining of personal information. Forgery and illicit
modification of OBE medium.
Motivation: To reduce toll fees or avoid toll fee claims by illicit use of information. Sale of forged OBE.
ISO/DIS 17574:2025(en)
Means: Forgery of vehicle information on OBE. Forgery of I/F data between OBE and ICC to counterfeit
someone’s card. Forgery of EFC OBE by analysing OBE internally.
Expertise: Comprehend the internal transaction by analysing EFC OBE internally.
A.4.1.5 Connectivity/operational environments
The environment for TOE connectivity and operation is provided. Only the structure, which is provided in
this subclause, shall be TOE.
a) Connectivity
Transactions for RSE at tollgates and ICC needed for the operation of the TOE are described.
EXAMPLE
— OBE exchanges information via radio communication (5,8 GHz) with RSE at tollgates.
— OBE reads ICC data (card number, EFC member contract information) before the vehicle passes through a tollgate.
When a vehicle passes through a tollgate, OBE sends applicable ICC internal data to RSE to transmit billing and
transaction record data.
b) Operational requirements
Hardware/software requirements (central processing unit, implementation speed, required memory, input/
output devices) needed for operation of the TOE are described.
A.4.1.6 Rationale
It is verified that the described items are consistent.
a) Absence of inconsistent provision items.
b) Absence of undefined or unclear sections of provided contents in this subclause.
A.4.2 Security threats
A.4.2.1 Determination of target resources for protection
a) Selection of target resources for protection
Target resources for protection, to be protected by the TOE, are determined. Resources, which negatively
impact services of the TOE by falsification, alteration and loss, are targeted for protection. Regarding
determined individual targeted resources for protection, the lifecycle such as generation, transaction,
storage and disposal are clearly described. If there are indirect resources for a TOE transaction, the indirect
resources are determined as well.
EXAMPLE 1
1) Target protection resources to be protected by the TOE:
— EFC member contract information: ICC internal data (i.e. ICC number);
— vehicle information: OBE internal data such as vehicle classification codes;
— tollgate information: exit/enter information, barrier information and transaction record information;
— information stated above, transmitted by radio communication through OBE between roadside units at
tollgates and ICC;
— toll information: storage in ICC such as billing information.
ISO/DIS 17574:2025(en)
2) Target resources for protection such as lifecycle:
— OBE installation in a vehicle;
— transcription of vehicle information into OBE;
— OBE operation at toll roads;
— OBE disposal.
b) Evaluation of target resources for protection
The values of determined target resources for protection are evaluated. The evaluation is divided into three
levels as follows:
Level 1: security problems are having an impact on the entire system for the TOE, e.g. the system might
be malfunctioning or down.
Level 2: security problems drastically compromise the value of the system for the TOE, e.g. the social
responsibility for the systems is impaired; however, restoration of systems is attainable.
Level 3: security problems hinder the operation of the TOE, e.g. operation of the system is temporarily
interrupted, resulting in serious impact on the users.
EXAMPLE 2
Evaluation of target resources for protection:
Level 1: None (no target resource for protection, which impacts systems such as destroying EFC systems);
Level 2: EFC member contract information;
Level 3: Vehicle information, tollgate information, toll information.
A.4.2.2 Identification of security threats
Potential threats are identified by level of determined target resources for protection. Concrete analysis of
target resources for protection is implemented in terms of who (what), where, when, how (counterfeiting,
tapping, destruction), means (available resources, interface, expertise), threats (falsification, exposure,
service interruption) and reasons.
a) Who (what):
who (what) generates threats is stated.
b) Target resource:
target resource for threats (billing data, personal information) is stated.
c) Contents of threats:
major threats are as follows:
1) lack of confidentiality;
2) lack of protection;
3) lack of availability;
4) lack of responsibility;
5) lack of integrity;
ISO/DIS 17574:2025(en)
6) lack of reliability.
d) Means:
means generating attacks are stated.
e) Methodology:
methodology of attacks is stated.
f) Motivation:
motivation of attacks is stated.
g) Opportunity:
opportunity of attacks is stated.
h) Weak points:
security weaknesses are stated.
The threat analysis shall be conducted at each stage of TOE’s lifecycle, shown in Figure A.5.
Figure A.5 — TOE’s lifecycle
Threat analysis for lifecycle of target data for protection at stage 3 of the TOE (i.e. “OBE in operation”) is
shown in Table A.1.
Table A.1 — Threat analysis for OBE at stage 3(OBE in operation) — Example
Informa- Threat
tion for
Who Where When Methodology, means Threats Why
protection
EFC
member Forge ICC or I/F
Forgery and altering of Avoid toll
contract OBE While inserting ICC data to falsify some-
ICC internal data fee claim
informa- one’s card
tion
Vehicle Forgery and
Anytime/while Forgery of vehicle Reduce
informa- OBE manipulation of OBE
Illicit
passing tollgates codes of OBE toll fee
tion internal data
third
party
Tollgate Obtain
Eavesdropping
Tapping of radio
informa- personal
of radio
communication data
tion informa-
communication
Tollgate Communication
tion
Communication data
lanes (billing)
Replay the
Toll fee
manipulation
Reduce or
eavesdropped
informa-
avoid toll
Replay attack
data
tion
fee
A.4.2.3 Rationale
It is verified that the described items are consistent.
a) Absence of inconsistent provision items.
b) Absence of undefined or unclear sections of provided contents in this subclause.
ISO/DIS 17574:2025(en)
A.4.3 Security policy of operational entity
A.4.3.1 General
Security items for operational entities for the TOE are provided in accordance with the rules and policies.
The document names describing concrete rules are described.
A.4.3.2 Identification of security policies of operational entities
a) Use policy of target resource for protection
Use policy (to whom, what capability, when, where) of target resource for protection is provided.
b) Maintenance policy (update, disposal) of target resource for protection
c) Operational rules and applicable laws for security
i.e. security policy based on “Law for prohibiting illicit access” is provided.
d) System and responsibility/duty for security policy
The security control/promotion system, responsibility and role are provided.
A.4.3.3 Rationale
Among security policy items of each operational entity, it is checked that there is no contradiction in the
provision contents with the methodology and results being described.
a) Absence of inconsistent provision items.
b) Absence of undefined or unclear sections of provided contents in this subclause.
A.5 Security objectives
A.5.1 General
Regarding security threats listed in A.3.2, security objectives are determined from both aspects of technical
objectives, which are provided by EFC systems or the operational environment of the EFC system, and
operation control objectives.
A.5.2 Technical security objectives
Technical security objectives provide security objectives, which are implemented by security functions such
as encryption of data and control of access authentication.
a) For determination of security objectives, technical security objectives against threats are clearly
described.
b) Security objectives are determined from the aspect of “control”, “prevention”, “detection” and “recovery”.
Control: the generation of security threats is controlled.
EXAMPLE 1 Billing resource information such as EFC contract information is stored so securely in ICC and SAM
installed in OBE for caching that it is protected from tampering.
Prevention: prevent security destruction when security threat is generated.
EXAMPLE 2 D
...
PROJET
Norme
internationale
ISO/DIS 17574
ISO/TC 204
Perception de télépéage — Lignes
Secrétariat: ANSI
directrices concernant les profils de
Début de vote:
protection de la sécurité
2025-07-18
Electronic fee collection — Guidelines for security protection
Vote clos le:
profiles
2025-10-10
ICS: 35.240.60; 03.220.20
CE DOCUMENT EST UN PROJET DIFFUSÉ
POUR OBSERVATIONS ET APPROBATION. IL
EST DONC SUSCEPTIBLE DE MODIFICATION
ET NE PEUT ÊTRE CITÉ COMME NORME
INTERNATIONALE AVANT SA PUBLICATION EN
TANT QUE TELLE.
Le présent document est distribué tel qu’il est parvenu du secrétariat
du comité. OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES
FINS INDUSTRIELLES, TECHNOLOGIQUES ET
COMMERCIALES, AINSI QUE DU POINT DE VUE
DES UTILISATEURS, LES PROJETS DE NORMES
INTERNATIONALES DOIVENT PARFOIS ÊTRE
TRAITEMENT PARALLÈLE ISO/CEN
CONSIDÉRÉS DU POINT DE VUE DE LEUR
POSSIBILITÉ DE DEVENIR DES NORMES
POUVANT SERVIR DE RÉFÉRENCE DANS LA
RÉGLEMENTATION NATIONALE.
LES DESTINATAIRES DU PRÉSENT PROJET
SONT INVITÉS À PRÉSENTER, AVEC LEURS
OBSERVATIONS, NOTIFICATION DES DROITS
DE PROPRIÉTÉ DONT ILS AURAIENT
ÉVENTUELLEMENT CONNAISSANCE
ET À FOURNIR UNE DOCUMENTATION
EXPLICATIVE.
Numéro de référence
ISO/DIS 17574:2025(fr)
PROJET DE NORME INTERNATIONALE
ISO/DIS 17574:2025(fr)
ISO/DIS 17574:2025(fr)
Date: 2025-05-23
Secrétariat: ANSI
Perception de télépéage — Lignes directrices concernant les profils de protection de la
sécurité
Electronic fee collection — Guidelines for security protection profiles
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2025
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
ISO/DIS 17574:2025(fr)
Sommaire Page
Avant-propos . iv
Introduction . v
1 Domaine d'application . 1
2 Références normatives . 2
3 Termes et définitions . 2
4 Termes abrégés . 2
5 Processus relatifs à l'architecture de sécurité et au profil de protection d'un EFC . 3
5.1 Généralités . 3
5.2 Architecture de sécurité d'un EFC . 3
5.3 Étapes préparatoires du profil de protection . 4
5.4 Relation entre les acteurs . 5
6 Présentation d'un profil de protection . 7
6.1 Structure . 7
6.2 Contexte . 8
Annexe A (informative) Procédures d'élaboration des documents . 10
Annexe B (informative) Exemple de méthode d'évaluation pour l'analyse des menaces . 51
Annexe C (informative) Normes de sécurité pertinentes dans le contexte de l'EFC . 57
Annexe D (informative) Accord de reconnaissance des critères communs (CCRA) . 58
Bibliographie . 60
iii
ISO/DIS 17574:2025(fr)
Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes
nationaux de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est en
général confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude a le droit
de faire partie du comité technique créé à cet effet. Les organisations internationales, gouvernementales
et non gouvernementales, en liaison avec l'ISO participent également aux travaux. L'ISO collabore
étroitement avec la Commission électrotechnique internationale (IEC) en ce qui concerne la
normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable de
ne pas avoir identifié de tels droits de brevets. Les détails concernant les références aux droits de
propriété intellectuelle ou autres droits analogues identifiés lors de l'élaboration du document sont
indiqués dans l'Introduction et/ou dans la liste des déclarations de brevets reçues par l'ISO (voir
www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la signification des termes et expressions spécifiques de l'ISO liés à l'évaluation
de la conformité, ou pour toute information au sujet de l'adhésion de l'ISO aux principes de l'organisation
mondiale OMC) concernant les obstacles techniques au commerce (OTC), voir le lien suivant:
www.iso.org/iso/foreword.html.
Le comité responsable de ce document est l'ISO/TC 204, Systèmes intelligents de transport.
Cette première édition annule et remplace la troisième édition de l'ISO/TS 17574, qui a fait l'objet d'une
révision technique.
Les principales modifications sont les suivantes :
— l'Article 3 a été mis à jour et l'ISO 17573-2 constitue la source principale pour les termes et
définitions;
— les exigences ont été mises à jour pour refléter la dernière version de la série ISO/IEC 15408.
iv
ISO/DIS 17574:2025(fr)
Introduction
Les systèmes de perception de télépéage (EFC) sont exposés à plusieurs formes de fraude, tant par les
utilisateurs que par les exploitants, mais également par des personnes extérieures au système. Il convient
de traiter ces menaces de sécurité à l'aide de différents types de mesures de sécurité, notamment par les
exigences de sécurité spécifiées.
Il est recommandé que les exploitants de systèmes EFC utilisent les lignes directrices fournies dans le
présent document pour établir leur propre profil de protection (PP) pour leur système EFC, car il convient
de décrire les exigences de sécurité du point de vue de l'exploitant.
Il convient de noter que les lignes directrices fournies dans le présent document sont destinées à être
lues conjointement avec les normes internationales sous-jacentes, c'est-à-dire la série ISO/IEC 15408
(toutes les parties). L'essentiel du contenu du présent document est présenté à l'Annexe A dans un
exemple décrivant la manière de préparer les exigences de sécurité pour des équipements EFC, dans le
cas présent, un équipement embarqué (OBE) reposant sur une communication dédiée à courte portée
(DSRC) et doté d'une carte de circuits intégrés (ICC) contenant les données essentielles pour l'EFC.
L'exemple se rapporte à un système EFC national japonais, et il convient de le considérer uniquement
comme un exemple.
Après la phase de préparation, l'EFC/le PP peut être enregistré à l'échelle internationale par l'organisme
qui l'a préparé, afin que d'autres exploitants ou pays qui souhaitent développer des services de sécurité
pour leur système EFC puissent se référer à un EFC/PP déjà enregistré.
Le présent document relatif au cadre de service de sécurité et à l'EFC/au PP d'un système EFC est fondé
sur l'ISO/IEC 15408 (toutes les parties). L'ISO/IEC 15408 (toutes les parties) contient un ensemble
d'exigences relatives aux fonctions de sécurité et à l'assurance des produits et systèmes pertinents pour
les technologies de l'information. Les exploitants, les organismes ou les autorités qui définissent leur
propre EFC/PP peuvent s'appuyer sur ces exigences. Le même principe s'applique pour les différents PP
enregistrés par plusieurs institutions financières, par exemple pour les instruments de paiement tels que
les cartes à circuits intégrés (ICC).
Les produits et systèmes qui ont été développés conformément à l'ISO/IEC 15408 (toutes les parties)
peuvent être assurés publiquement par l'authentification d'organismes d'évaluation publics ou privés
désignés.
v
Projet de Norme internationale ISO/DIS 17574:2025(fr)
Perception de télépéage — Lignes directrices concernant les
profils de protection de la sécurité
1 Domaine d'application
Le présent document fournit des lignes directrices pour la préparation et l'évaluation des spécifications
relatives aux exigences de sécurité, appelées «profils de protection» (PP) dans l'ISO/IEC 15408 (toutes
les parties) et dans l'ISO/IEC TR 15446.
Un profil de protection (PP) désigne un ensemble d'exigences de sécurité pour une catégorie de produits
ou de systèmes qui répondent à des besoins spécifiques. Un exemple type serait un PP pour les
équipements embarqués (OBE) destinés à être utilisés dans un système EFC. Cependant, les lignes
directrices du présent document sont ignorées s'il existe déjà un profil de protection pour le sous-
système considéré.
La cible d'évaluation (TOE) d'un EFC est limitée aux rôles et interfaces spécifiques à l'EFC, comme cela
est représenté à la Figure 1. Étant donné qu'ils s'appliquent à d'autres rôles et interfaces externes, les
normes et les critères de sécurité financière existants ne relèvent pas du domaine d'application de la TOE
pour les systèmes EFC.
Figure 1 — Domaine d'application de la TOE pour les systèmes EFC
L'évaluation de la sécurité est effectuée en évaluant les propriétés relatives à la sécurité des rôles, des
entités et des interfaces définies dans les cibles de sécurité (ST), plutôt qu'en évaluant des processus
complets qui sont souvent répartis sur un plus grand nombre d'entités et d'interfaces que celles qui sont
couvertes par la TOE du présent document.
NOTE L'évaluation des problèmes de sécurité pour les processus complets est une approche complémentaire qui
peut être utile pour l'évaluation de la sécurité d'un système.
ISO/DIS 17574:2025(fr)
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO/IEC 15408-1, Technologies de l'information — Techniques de sécurité — Critères d'évaluation pour la
sécurité TI — Partie 1: Introduction et modèle général
ISO/IEC 15408-2, Technologies de l'information — Techniques de sécurité — Critères d'évaluation pour la
sécurité TI — Partie 2: Composants fonctionnels de sécurité
ISO/IEC 15408-3, Technologies de l'information — Techniques de sécurité — Critères d'évaluation pour la
sécurité TI — Partie 3: Composants d'assurance de sécurité
ISO/IEC 15408-4, Technologies de l'information — Techniques de sécurité — Critères d'évaluation pour la
sécurité TI — Partie 4: Cadre prévu pour la spécification des méthodes d'évaluation et des activités connexes
ISO/IEC 15408-5, Technologies de l'information — Techniques de sécurité — Critères d'évaluation pour la
sécurité TI — Partie 5: Paquets prédéfinis d'exigences de sécurité
—1
ISO 17573-2, Perception de télépéage — Architecture de systèmes pour le péage lié aux véhicules —
Partie 2: Vocabulaire
3 Termes et définitions
—2
Pour les besoins du présent document, les termes et définitions de l'ISO 17573-2:— s'appliquent.
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— IEC Electropedia : disponible à l'adresse https://www.electropedia.org/
— ISO Online browsing platform : disponible à l'adresse https://www.iso.org/obp
4 Termes abrégés
CC critères communs
CCRA accord de reconnaissance des critères communs [common criteria recognition arrangement]
CN réseaux cellulaires [cellular networks]
DSRC communications dédiées à courte portée [dedicated short-range communication]
EAL niveau d'assurance d'évaluation [evaluation assurance level]
EFC perception de télépéage [electronic fee collection]
GNSS système mondial de navigation par satellite [global navigation satellite system]
IHM interface homme-machine
Stade au moment de la publication: ISO/DIS 17573-2:2025
Stade au moment de la publication: ISO/DIS 17573-2:2025
ISO/DIS 17574:2025(fr)
I/F interface
ICC carte à circuit(s) intégré(s) [integrated circuit(s) card]
TI technologies de l'information
OBE équipement embarqué [on-board equipment]
PP profil de protection
RSE équipement en bord de route [roadside equipment]
SAM module d'application sécurisé [secure application module]
SFP politique de fonction de sécurité [security function policy]
SFR exigence fonctionnelle de sécurité [security functional requirement]
ST cible de sécurité [security target]
TOE cible d'évaluation [target of evaluation]
TSF fonction de sécurité de la cible d'évaluation [target of evaluation security function]
5 Processus relatifs à l'architecture de sécurité et au profil de protection d'un
EFC
5.1 Généralités
Le présent article donne une vue d'ensemble du contexte et de l'utilisation du présent document en ce
qui concerne les processus relatifs à l'architecture de sécurité et au profil de protection d'un EFC.
Le présent document est destiné à être lu conjointement avec les normes sous-jacentes ISO/IEC 15408
(toutes les parties) et ISO/IEC TR 15446. Un lecteur qui n'est pas familier de ces normes peut lire la
première partie du présent document pour obtenir une vue d'ensemble de la manière d'établir un profil
de protection pour des équipements EFC. Cependant, les annexes, et en particulier les Articles A.4 et A.5,
exigent du lecteur qu'il soit familiarisé avec l'ISO/IEC 15408 (toutes les parties). Le présent document
utilise l'exemple d'un équipement embarqué doté d'une carte à circuit(s) intégré(s) (ICC) pour décrire à
la fois la structure du PP et le contenu proposé.
L'Annexe A fournit des lignes directrices pour la préparation d'un EFC/PP en utilisant un équipement
embarqué comme exemple de produits EFC. La liaison de communication (entre l'équipement embarqué
et l'équipement en bord de route) est fondée sur une DSRC.
L'Annexe B donne un exemple de la manière dont peut être réalisée une analyse des menaces, tandis que
l'Annexe C donne une vue d'ensemble des normes de sécurité pertinentes dans le contexte de l'EFC, qui
établit le contexte des rôles et des interfaces de l'EFC.
5.2 Architecture de sécurité d'un EFC
La Figure 2 montre comment le présent document se positionne dans la vue globale de l'architecture de
sécurité d'un EFC. Les zones ombrées représentent les aspects principalement liés à la préparation des
PP pour les systèmes EFC.
ISO/DIS 17574:2025(fr)
Figure 2 — Vue d'ensemble de l'architecture de sécurité
5.3 Étapes préparatoires du profil de protection
L'objectif principal d'un PP est d'analyser l'environnement de sécurité d'un sujet, puis de spécifier les
exigences pour traiter les menaces, qui représentent les données de sortie de l'analyse de
l'environnement de sécurité. Le sujet étudié est appelé «cible d'évaluation» (TOE). Dans le présent
document, un équipement embarqué doté d'une ICC est utilisé comme exemple de TOE.
Le travail de préparation d'un EFC/PP comprend les étapes représentées à la Figure 3, selon le contenu
décrit à l'Article 6.
ISO/DIS 17574:2025(fr)
Figure 3 — Processus de préparation d'un profil de protection pour les équipements EFC
Un PP peut être enregistré publiquement par l'entité qui prépare le PP afin de le faire connaître et de le
mettre à la disposition d'autres parties qui peuvent utiliser le même PP pour leurs propres systèmes EFC.
5.4 Relation entre les acteurs
Une cible de sécurité (ST) désigne un ensemble d'exigences et de spécifications de sécurité destinées à
être utilisées pour l'évaluation d'une TOE identifiée. Alors que le PP peut être considéré comme le reflet
des exigences des fournisseurs de services de péage EFC, la ST peut être considérée comme un moyen
pour un fournisseur de documenter la conformité et l'exécution du PP pour la TOE, par exemple un
équipement embarqué.
La Figure 4 représente une image simplifiée et un exemple des relations entre le fournisseur de service
de péage, le fournisseur d'équipements EFC et un évaluateur. Pour l'accord de reconnaissance des
critères communs (CCRA) international et pour les PP actuellement enregistrés, voir l'Annexe D.
ISO/DIS 17574:2025(fr)
Figure 4 — Relations entre exploitants, fournisseurs et évaluateurs
La ST est similaire au PP, à ceci près qu'elle contient des informations spécifiques à la mise en œuvre qui
précisent la manière dont les exigences de sécurité sont réalisées dans un produit ou un système donné.
Par conséquent, la ST comprend les parties suivantes qui ne se trouvent pas dans un PP:
— une spécification récapitulative de la TOE qui présente les fonctions de sécurité et les mesures
d'assurance spécifiques à la TOE;
— une partie PP facultative qui explique les PP auxquels la ST revendique la conformité (le cas échéant);
— une justification contenant des éléments de preuve supplémentaires attestant que les spécifications
récapitulatives de la TOE permettent de satisfaire aux exigences indépendantes de la mise en œuvre
et garantissent le respect des revendications de conformité du PP;
— les fonctions de sécurité réelles des produits EFC sont conçues à partir de cette ST (voir l'exemple à
la Figure 5).
ISO/DIS 17574:2025(fr)
Figure 5 — Exemple de conception fondée sur un PP
6 Présentation d'un profil de protection
6.1 Structure
Le contenu d'un profil de protection d'une partie ou d'une interface d'un système EFC est représenté à la
Figure 6, qui doit être conforme à l'ISO/IEC 15408-1, Article 10 et Annexe B.
Figure 6 — Contenu d'un profil de protection
ISO/DIS 17574:2025(fr)
6.2 Contexte
Les lignes directrices pour la préparation du PP sont les suivantes.
a) Vue d'ensemble (voir l'Article A.1)
b) Cible d'évaluation (voir l'Article A.2)
Le domaine d'application de la TOE doit être spécifié.
c) Conformité
Les revendications de conformité des PP doivent être spécifiées.
d) Environnement de sécurité (voir l'Article A.3)
Les méthodes d'élaboration, d'exploitation et de contrôle de la TOE sont décrites pour clarifier les
exigences de fonctionnement/d'exploitation. En ce qui concerne ces exigences, les actifs de technologie
de l'information qui nécessitent une protection de la TOE doivent être spécifiés, de même que les menaces
de sécurité auxquelles la TOE est exposée.
e) Objectifs de sécurité (voir l'Article A.4)
Les politiques de sécurité relatives aux menaces auxquelles est exposée la TOE sont déterminées. Les
politiques sont classées en politiques techniques, d'exploitation et de contrôle.
Il convient que les objectifs de sécurité soient cohérents avec l'objectif opérationnel ou la finalité du
produit de la TOE.
La politique d'exploitation/de contrôle se rapporte au personnel et aux objectifs physiques applicables à
l'état dans lequel la TOE est utilisée ou exploitée. La politique d'exploitation/de contrôle comprend des
règles de contrôle et d'exploitation pour les exploitants.
f) Exigences de sécurité (voir l'Article A.5)
Conformément aux objectifs de sécurité définis à l'Article A.4, des exigences de sécurité concrètes sont
spécifiées pour les menaces de sécurité énoncées à l'Article A.3. Les exigences de sécurité comprennent
les exigences fonctionnelles (exigences techniques) et les exigences d'assurance relatives à la qualité de
la sécurité.
Les exigences fonctionnelles sont spécifiées, en choisissant les exigences nécessaires parmi celles de
l'ISO/IEC 15408-2 et en déterminant les paramètres, lesquels doivent être conformes à l'ISO/IEC 15408-
2, Articles 6 à 18.
En ce qui concerne les exigences d'assurance, les exigences d'assurance spécifiées dans l'ISO/IEC 15408-
3 sont adoptées en déterminant les niveaux d'évaluation des exigences d'assurance, lesquels doivent être
conformes à l'ISO/IEC 15408-3, Articles 5 à 15.
La méthode et les activités d'évaluation sont incluses dans les exigences de sécurité, qui doivent être
conformes à l'ISO/IEC 15408-4, Articles 5 et 6.
Les niveaux d'assurance d'évaluation sont inclus dans les exigences de sécurité qui doivent être
conformes à l'ISO/IEC 15408-5, Article 4.
g) Fondement logique de la justification/de l'efficacité (voir l'Article A.6)
Le contenu du PP est vérifié lorsque cela est nécessaire et couvre les exigences de sécurité de la TOE. Les
points suivants sont vérifiés:
1) tous les environnements de sécurité nécessaires sont couverts;
ISO/DIS 17574:2025(fr)
2) il convient que les objectifs de sécurité couvrent entièrement les environnements de sécurité;
3) il convient que les exigences de sécurité mettent en œuvre les objectifs de sécurité.
ISO/DIS 17574:2025(fr)
Annexe A
(informative)
Procédures d'élaboration des documents
A.1 Vue d'ensemble
A.1.1 Généralités
Le présent article fournit une présentation générale du document relatif au profil de protection (PP).
Il convient de noter que le présent article est informatif. L'essentiel du contenu présenté est un exemple
décrivant la manière de préparer les exigences de sécurité pour des équipements EFC, dans le cas présent,
un équipement embarqué (OBE) doté d'une carte de ICC) contenant les données essentielles pour la
perception de télépéage.
A.1.2 Informations d'identification
Les informations d'identification du document sont les suivantes:
a) titre du document;
b) numéro de version/publication;
c) date d'élaboration;
d) auteur.
EXEMPLE Informations d'identification:
1) titre du document: Profil de protection de sécurité de l'équipement embarqué d'un système EFC;
2) numéro de version/publication: 1.0;
3) date d'élaboration: 20/10/2002;
4) auteur: Association ABC.
A.1.3 Description de la cible d'évaluation (TOE)
La TOE est identifiée comme suit:
a) produit;
b) numéro de version/publication;
c) développeur.
EXEMPLE Description de la TOE:
1) produit: équipement embarqué d'un système EFC;
2) numéro de version/publication: 1.0;
ISO/DIS 17574:2025(fr)
3) développeur: ABC Co., Ltd.
A.1.4 Conformément à l'ISO/IEC 15408 (toutes les parties)
Le «profil de protection» préparé conformément à l'ISO/IEC 15408 (toutes les parties) est explicitement
spécifié.
Les données de version et de préparation de l'ISO/IEC 15408 (toutes les parties) référencées sont
également indiquées.
EXEMPLE Déclaration de conformité à l'ISO/IEC 15408 (toutes les parties) selon:
— l'ISO/IEC 15408-1 Quatrième édition;
— l'ISO/IEC 15408-2 Quatrième édition;
— l'ISO/IEC 15408-3 Quatrième édition;
— l'ISO/IEC 15408-4 Première édition;
— l'ISO/IEC 15408-5 Première édition.
A.1.5 Présentation de la TOE
A.1.5.1 Type de TOE
EXEMPLE
1.4.1 Type de TOE
Équipement embarqué d'un système EFC
A.1.5.2 Présentation fonctionnelle de la TOE
Pour les utilisateurs d'un «profil de protection» de sécurité, un type de dispositif décrit dans le «profil de
protection» est décrit explicitement afin de les aider à déterminer l'application.
EXEMPLE
1.4.2 Présentation fonctionnelle de la TOE (équipement embarqué pour un système EFC)
La présentation fonctionnelle est la suivante.
a) Fonction de l'EFC:
1) authentification mutuelle avec l'ICC;
2) transcription (mise en cache) des données de l'ICC vers l'équipement embarqué;
3) chiffrement de la radiocommunication avec l'équipement en bord de route;
4) assurance de l'intégrité du message;
5) authentification mutuelle avec l'équipement en bord de route;
6) stockage des informations sécurisées (clé de chiffrement) utilisées dans l'équipement embarqué lors d'une
transaction EFC.
ISO/DIS 17574:2025(fr)
b) Fonction de configuration:
1) authentification de la carte de configuration;
2) mise en cache des informations du véhicule entre l'ICC et l'équipement embarqué.
c) Fonction de l'IHM:
1) compte rendu des résultats de la facturation EFC aux utilisateurs;
2) orientation de la voie EFC.
A.1.5.3 Niveau d'assurance d'évaluation (EAL)
Les niveaux d'assurance de l'évaluation pour les objectifs sont choisis. Chaque EAL définit un paquetage
comprenant des composants d'assurance et détermine le degré d'exigences d'assurance sur les systèmes
de sécurité. La justification de l'EAL choisi est indiquée.
EXEMPLE
A.1.5.3 Équipement embarqué d'un système EFC (L'EAL est de 5)
L'équipement embarqué fonctionne à la manière d'un équipement de commerce électronique dans les transactions
EFC. Les systèmes de sécurité de l'équipement embarqué d'un système EFC sont vulnérables aux attaques sous le
contrôle d'utilisateurs individuels. Par conséquent, un niveau d'assurance élevé (EAL) est exigé pour l'équipement
embarqué d'un système EFC.
A.2 Cible d'évaluation (TOE)
A.2.1 Objectifs et méthodologie de la TOE
A.2.1.1 Objectifs d'utilisation de la TOE
L'exemple suivant indique les objectifs d'utilisation de la TOE et le type d'environnement dans lequel elle
est utilisée.
EXEMPLE Les adhérents au système EFC (utilisateurs) utilisent le système EFC aux péages en insérant l'ICC avec
les informations du contrat d'adhésion EFC pour procéder au règlement. Les informations du véhicule, telles qu'une
certification d'inspection automobile, sont stockées au préalable dans l'équipement embarqué. Pour le stockage des
informations du véhicule, une carte de personnalisation est utilisée à des fins d'initialisation. L'équipement
embarqué (la TOE), qui lit/écrit les données sur les ICC pour les configurations/règlements et transmet/reçoit les
données à l'équipement en bord de route pour les transactions de perception de péage, protège l'interface et les
données internes contre les menaces externes.
A.2.1.2 Méthode d'utilisation de la TOE
a) Préparation de l'utilisateur:
étapes à suivre par l'utilisateur avant d'utiliser la TOE.
b) Préparation de l'exploitant:
le matériel/logiciel et les systèmes de commande nécessaires sont décrits lorsque l'exploitant fait
fonctionner la TOE.
c) Procédures d'exploitation:
ISO/DIS 17574:2025(fr)
les procédures d'exploitation et de maintenance sont décrites.
d) Procédures d'utilisation:
les procédures à l'attention des utilisateurs sont décrites.
e) Limites d'utilisation:
les limites d'utilisation, telles que les fuseaux horaires et les zones géographiques, sont décrites.
EXEMPLE
a) Préparation de l'utilisateur:
les utilisateurs demandent à un exploitant d'installer un équipement embarqué et de configurer les informations
du véhicule, telles qu'une certification d'inspection automobile, dans l'équipement embarqué. En outre, les
utilisateurs reçoivent l'ICC contenant les informations du contrat d'adhésion EFC.
b) Préparation de l'exploitant:
les exploitants émettent les informations de configuration en réponse aux demandes de l'utilisateur.
c) Procédures d'exploitation:
lorsqu'un utilisateur franchit des péages, le péage est facturé aux ICC à des fins de règlement au moyen des
informations du contrat d'adhésion EFC, qui sont insérées dans l'équipement embarqué installé avec les
informations du véhicule. Lorsqu'une ICC de règlement légitime est insérée dans l'équipement embarqué avec des
informations de véhicule correctes, la redevance de péage est calculée dans la zone de communication de
l'équipement en bord de route au niveau des péages.
Pour une modification ou une mise à jour des informations du contrat d'adhésion EFC, telles que les informations
du véhicule, les cartes de configuration et l'ICC sont mises à jour (réémises/réenregistrées).
d) Procédures d'utilisation:
au niveau des péages, un utilisateur utilise dans le système EFC les ICC contenant les informations du contrat
d'adhésion EFC, conformément au contrat d'adhésion EFC ou aux manuels de l'équipement embarqué.
e) Limites d'utilisation:
en général, l'équipement embarqué est disponible à tout moment de la journée, à condition que les voies EFC soient
ouvertes aux péages.
A.2.2 Fonctions de la TOE
A.2.2.1 Fonctions fournies par la TOE
Les fonctions fournies par la TOE sont décrites. Toutes les fonctions relatives aux transactions de données
qui doivent être protégées sont énumérées.
EXEMPLE
a) Transactions EFC:
1) fonction de commande de la communication EFC;
ISO/DIS 17574:2025(fr)
2) fonction d'enregistrement de données non sécurisée;
3) fonction de commande des entrées/sorties de l'IHM;
4) fonction de détection d'état d'insertion de l'ICC;
5) fonction d'autocontrôle de l'équipement embarqué.
b) Module de sécurité:
1) fonction de stockage ou de protection des données;
2) fonction de contrôle d'accès de l'utilisateur;
3) fonction d'authentification (DSRC, ICC);
4) fonction de chiffrement/déchiffrement;
5) fonction d'interface de l'ICC;
6) fonction d'interface des transactions EFC;
7) fonction de lecture de la carte de configuration.
A.2.2.2 Fonctions non fournies par la TOE
Lorsque la fonction TOE fait partie des fonctions d'un système entier, il convient d'indiquer le domaine
d'application de la TOE dans l'ensemble du système, comme cela est représenté à la Figure A.1 qui montre
un exemple dans lequel l'équipement embarqué représente le domaine d'application de la TOE. À titre de
référence, il convient d'inclure la Figure A.2 qui montre le domaine d'application global de la politique de
sécurité.
Figure A.1 — Exemple de représentation de la TOE dans son contexte
ISO/DIS 17574:2025(fr)
Figure A.2 — Domaine d'application global de la politique de sécurité
A.2.2.3 Fonctions manquantes
Lorsque les fonctions, qu'il convient que la TOE fournisse dans cette section, ne sont pas incluses dans le
TOE, il convient de décrire le contenu de la fonction et la justification de son exclusion.
A.2.3 Structure de la TOE
A.2.3.1 Structure matérielle
La structure est décrite avec les unités matérielles associées au fonctionnement de la TOE. Il convient
d'indiquer le domaine d'application de la TOE dans la structure comme cela est représenté à la Figure A.3.
Il convient également d'indiquer le modèle de système EFC global du cadre de sécurité EFC comme cela
est représenté à la Figure A.4.
EXEMPLE
Figure A.3 — Exemple de structure matérielle de la TOE
ISO/DIS 17574:2025(fr)
Figure A.4 — Modèle de système EFC du cadre de sécurité EFC
A.2.3.2 Structure logicielle
La structure est décrite avec le logiciel associé au fonctionnement de la TOE. Dans la structure, il convient
d'indiquer le domaine d'application de la TOE dans la structure. En particulier, lorsque le fonctionnement
de la TOE dépend du système d'exploitation (OS) et des programmes de contrôle des données, il convient
de décrire la répartition des fonctions.
A.2.3.3 Fondement logique
Il convient de vérifier que les éléments décrits sont cohérents.
a) Absence d'éléments incohérents parmi les éléments fournis.
b) Absence de sections non définies ou ambigües dans le contenu fourni dans le présent paragraphe.
A.3 Conformité
A.3.1 Revendication de conformité et déclaration de conformité de la TOE
ISO/DIS 17574:2025(fr)
A.3.1.1 Généralités
En ce qui concerne la conformité liée au PP, deux types de relations sont définis. La première est la
relation entre le PP et les critères communs (CC) utilisés comme base, la seconde est la relation entre une
ST et le PP. La revendication de conformité et la déclaration de conformité doivent toutes deux être
décrites au regard de ces relations.
A.3.1.2 Revendication de conformité
La revendication de conformité est liée à la relation entre le PP et les CC utilisés comme base.
a) L'édition des parties pertinentes des CC est définie.
Si toutes les exigences fonctionnelles de sécurité (SFR) sont fondées uniquement sur les exigences
fonctionnelles de l'ISO/IEC 15408-2 et -3, le terme «conforme» doit être sélectionné; sinon, le terme
«élargi» doit être choisi.
EXEMPLE Conforme à l'ISO/IEC 15408
b) La conformité à la Partie 2 des CC est définie.
EXEMPLE «Conforme à la Partie 2 des CC et élargi»
c) La conformité à la Partie 3 des CC est définie.
EXEMPLE «Conforme à la Partie 3 des CC et élargi»
d) Fondement logique de la revendication de conformité
La raison et la base logique du choix de la revendication de conformité doivent être décrites.
A.3.1.3 Déclarations de conformité
La déclaration de conformité décrit la manière dont les autres PP ou ST doivent se conformer au PP. La
déclaration de conformité doit correspondre à l'un des trois types de conformité suivants:
— démontrable;
— strict;
— exact.
EXEMPLE Le mode de conformité est «Strict».
A.4 Environnement de sécurité
A.4.1.1 Généralités
Les exigences de sécurité qui s'appliquent pour déterminer les objectifs de sécurité du fonctionnement
de la TOE sont fournies.
A.4.1.2 Environnements d'exploitation
La méthodologie d'utilisation de la TOE est décrite, par exemple l'environnement d'exploitation, le temps
d'exploitation, le site d'exploitation, la procédure d'utilisation et le lieu d'utilisation.
a) Procédures d'exploitation
ISO/DIS 17574:2025(fr)
En ce qui concerne les procédures d'exploitation de la TOE, le fonctionnement d'un système EFC intégré
est décrit, y compris les véhicules associés et l'ICC utilisée pour le paiement.
b) Temps d'exploitation
Le fuseau horaire d'exploitation de la TOE est décrit.
EXEMPLE Le temps d'exploitation désigne toute durée consommée par les véhicules EFC sur les routes à péage
EFC.
c) Sites d'exploitation
Les sites d'exploitation de la TOE sont décrits.
d) Vue d'ensemble de l'exploitation
Les procédures allant de l'achat (obtention) jusqu'à la cession de la TOE par les utilisateurs sont décrites,
notamment l'installation de la TOE, la configuration de la TOE et l'exploitation sur les routes à péage.
EXEMPLE 1 Les utilisateurs achètent un équipement embarqué EFC auprès de revendeurs d'équipements
embarqués (concessionnaires automobiles, garages). Un équipement embarqué est installé dans un véhicule. En
outre, les informations embarquées nécessaires au fonctionnement du système EFC, telles que les informations
relatives aux véhicules, sont stockées sous forme d'informations embarquées.
EXEMPLE 2 Après l'établissement d'un contrat d'adhésion EFC, les utilisateurs obtiennent une ICC qui est délivrée
par des sociétés de cartes de crédit.
EXEMPLE 3 Les utilisateurs seront en mesure d'utiliser le système EFC en insérant une ICC dans un équipement
embarqué installé dans un véhicule. Les véhicules qui peuvent utiliser des systèmes EFC sont appelés véhicules EFC.
EXEMPLE 4 Les utilisateurs utilisent des routes à péage avec l'ICC insérée dans un équipement embarqué d'un
véhicule EFC et franchissent les péages sans s'arrêter.
Les utilisateurs peuvent volontairement choisir de se séparer d'un équipement embarqué inutile.
e) Sites d'utilisation
Les sites où les utilisateurs peuvent utiliser la TOE sont décrits.
EXEMPLE Routes à péage le long desquelles l'équipement EFC en bord de route est installé.
f) Les limites et les exigences d'utilisation, telles que les nombres de TOE disponibles, sont décrites.
EXEMPLE 1 Le nombre d'équipements embarqués installés par véhicule est limité à un.
EXEMPLE 2 L'équipement embarqué est fixé (intégré) dans un véhicule.
EXEMPLE 3 L'équipement embarqué peut être utilisé à tout moment de la journée aussi longtemps que les voies
EFC sont ouvertes à l'exploitation.
A.4.1.3 Contrôle physique
Le contrôle physique associé au fonctionnement de la TOE est décrit.
a) Sites d'installation et contrôle
Les sites d'installation et le contrôle physique de la TOE sont décrits.
EXEMPLE 1 L'équipement embarqué est fixé (intégré) dans un véhicule.
ISO/DIS 17574:2025(fr)
b) Unité utilisateur
Pour l'utilisation de la TOE, les exigences de contrôle physique sont décrites pour l'ICC utilisée à des fins
de paiement que possèdent les utilisateurs.
EXEMPLE 2 Les utilisateurs sont responsables de leur ICC.
A.4.1.4 Exigences relatives au personnel
Les exigences relatives au personnel sont décrites en ce qui concerne la responsabilité du fonctionnement
de la TOE et la confiance dans ce fonctionnement. En outre, les exigences relatives aux utilisations
potentielles, aux motivations, aux méthodes et à l'expertise des attaques sont établies.
a) Agents liés à la TOE
Les aspects suivants concernant les fabricants, les exploitants et les utilisateurs de la TOE sont
indiqués.
1) Type
2) Rôle
3) Autorisation
4) Dépendance
5) Risque d'utilisation illicite
6) Expertise
7) Piste
EXEMPLE 1 Exigences relatives au personnel:
Type: Fabricant d'équipement embarqué.
Rôle: Fabrication et expédition conformément à la spécification normalisée de
l'équipement embarqué EFC.
Autorisation: Aucune.
Dépendance: Aucune responsabilité en matière de contrôle de sécurité.
Risque Il existe des risques d'utilisation illicite, car il n'y a aucune responsabilité en matière
d'utilisation de contrôle de sécurité.
illicite:
Expertise: Aucun besoin d'expertise en sécurité.
Piste: Une vérification fondée sur des listes négatives est mise en œuvre au moment où les
véhicules EFC franchissent les péages.
b) Attaquants
Les aspects suivants sont décrits pour les exigences relatives aux utilisateurs illicites pour lesquelles
la TOE adopte des contre-mesures.
1) Type
ISO/DIS 17574:2025(fr)
2) Finalité de l'utilisation illicite
3) Motivation
4) Moyens
5) Expertise
EXEMPLE 2 Attaquants:
Type: Un tiers illicite parmi les utilisateurs de l'EFC.
Finalité de Falsification des données de l'équipement embarqué, manipulation, obtention
l'utilisation illicite: d'informations à caractère personnel. Falsification et modification illicite du
support de l'équipement embarqué.
Motivation: Réduire les frais de péage ou éviter les demandes de redevance par une utilisation
illicite des informations. Vente d'équipements embarqués falsifiés.
Moyens: Falsification des informations du véhicule stockées dans l'équipement embarqué.
Falsification des données d'interface entre l'équipement embarqué et l'ICC pour
contrefaire la carte d'une personne. Falsification de l'équipement embarqué EFC par
une analyse interne de l'équipement embarqué.
Expertise: Comprendre la transaction interne par l'analyse interne de l'équipement embarqué
EFC.
A.4.1.5 Environnements de connectivité/de fonctionnement
L'environnement de connectivité et de fonctionnement de la TOE est fourni. Seule la structure spécifiée
dans le présent paragraphe doit être la TOE.
a) Connectivité
La description porte sur les transactions de l'équipement en bord de route aux péages et de l'ICC qui sont
nécessaires au fonctionnement de la TOE.
EXEMPLE
— L'équipement embarqué échange des informations par radiocommunication (5,8 GHz) avec l'équipement en
bord de route aux péages.
— L'équipement embarqué lit les données de l'ICC (numéro de carte, informations du contrat d'adhésion EFC)
avant que le véhicule ne franchisse un péage. Lorsqu'un véhicule franchit un péage, l'équipement embarqué
envoie les données internes applicables de l'ICC à l'équipement en bord de route pour transmettre les données
de facturation et d'enregistrement de transaction.
b) Exigences opérationnelles
Les exigences matérielles/logicielles (unité centrale de traitement, vitesse de mise en œuvre, mémoire
requise, périphériques d'entrée/sortie) nécessaires au fonctionnement de la TOE sont décrites.
A.4.1.6 Fondement logique
La cohérence des éléments décrits est vérifiée.
a) Absence d'éléments incohérents parmi les éléments fournis.
b) Absence de sections non définies ou ambigües dans le contenu fourni dans le présent paragraphe.
ISO/DIS 17574:2025(fr)
A.4.2 Menaces de sécurité
A.4.2.1 Détermination des ressources cibles à protéger
a) Choix des ressources cibles à protéger
Les ressources cibles à protéger par la TOE sont déterminées. La protection cible les ressources dont la
falsification, la modification et la perte affectent négativement les services de la TOE. En ce qui concerne
les ressources cibles individuelles à protéger, le cycle de vie est clairement décrit, notamment la
génération, la transaction, le stockage et l'élimination. S'il existe des ressources indirectes pour une
transaction TOE, les ressources i
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.
Loading comments...