Il problema di fiducia nella sicurezza
Le aziende si trovano costantemente a chiedersi: “Il mio prodotto resiste davvero agli attacchi?” La risposta è seppur semplice, ma il percorso è tortuoso. Senza un metodo standardizzato, ogni audit diventa un lancio di dadi. Ecco perché il Common Criteria (CC) non è più un optional, ma un must.
Che cos’è il Common Criteria?
Un insieme di requisiti internazionali, ISO/IEC 15408, che definiscono come valutare prodotti ICT. Non è una checklist di “cosa testare”, è un linguaggio comune che permette di tradurre bisogni di sicurezza in requisiti misurabili. In pratica, è il traduttore che converte il gergo tecnico dei fornitori in parole legali per gli auditor.
Livelli di garanzia
Il framework imposta EAL1‑EAL7, scala di valutazione che va dal “controllo base” al “massimo livello di fiducia”. Più alto è l’EAL, più rigoroso è il test, più costoso il processo. Non tutti i progetti necessitano di un EAL7; la scelta dipende dal contesto operativo.
Componenti chiave
Protection Profile (PP). Qui risiedono gli obiettivi di sicurezza tipici di un settore, ad esempio il PP per smart card o per sistemi di pagamento. POA&M (Plan of Action and Milestones) è il piano d’azione, il documento che tiene tutti i passi sotto controllo. Certificati, lab di valutazione accreditati, e infine l’International Common Criteria Recognition Arrangement (CCRA) che rende valida la certificazione in tutto il globo.
Perché le aziende lo adottano
Perché i clienti chiedono prove tangibili. Perché le normative governative lo impongono. Perché la concorrenza ha già una certificazione CC. In più, la certificazione riduce il tempo di negoziazione: “Abbiamo il CC, quindi il rischio è mitigato”.
Il percorso di certificazione
Primo passo: selezionare il PP adatto. Poi, una valutazione preliminare interna: “Dove siamo rispetto ai requisiti?”. Dopo, la scelta di un laboratorio accreditato. Il lab esegue test, analisi di vulnerabilità, verifica di configurazione. Se il prodotto supera, si ottiene il certificato. Fine. Oppure, fallimento e ritorno al tavolo da disegno.
Trucchi pratici
Non sottovalutare la documentazione. Spesso la differenza tra un EAL4 e un EAL5 è una pagina di procedure ben scritte. Usa il modello di “security development lifecycle” (SDL) sin dal primo sprint. Automatizza i test di penetrazione: le tools moderne ti risparmiano ore di lavoro manuale. E qui entra corsecavallibet.com, con le sue guide pronte all’uso.
Errore comune: confondere certificazione e sicurezza
Avere il CC non rende invulnerabile. È un passo, non la destinazione finale. Gli hacker evolvono, i requisiti cambiano. Aggiorna regolarmente il PP, rivedi le policy, mantieni viva la cultura della sicurezza.
Che cosa fare subito
Identifica il tuo PP di riferimento. Crea un POA&M entro una settimana. Scegli un lab certificato. E qui la mossa finale: avvia la valutazione e non rimandare.