Common Criteria Statistics 2023: una guida completa - Open Gate Italia

Proteggere il mondo digitale con le certificazioni Common Criteria

Nel complesso e cruciale panorama della sicurezza informatica, la protezione di dati, sistemi e infrastrutture è una priorità assoluta. Le certificazioni Common Criteria (CC) si affermano come standard internazionale di riferimento per valutare e garantire la sicurezza dei prodotti IT. Questo articolo offre una guida completa e accessibile ai principali dati del report “Common Criteria Statistics 2023”, spiegando l’importanza e il significato di queste certificazioni anche a chi non è esperto del settore.

Cosa sono le certificazioni Common Criteria?

Le certificazioni Common Criteria (CC) sono uno standard internazionale (ISO/IEC 15408) che definisce un quadro comune per la valutazione della sicurezza dei prodotti IT. Questo standard permette di confrontare le valutazioni di sicurezza eseguite in diversi paesi, garantendo un riconoscimento reciproco delle certificazioni. Il processo di certificazione prevede una valutazione indipendente da parte di laboratori accreditati, che verificano la conformità del prodotto a specifici requisiti di sicurezza.

I numeri chiave del 2023: un’analisi dettagliata

Il 2023 ha mostrato una notevole attività nel settore delle certificazioni CC. Ecco un’analisi dettagliata dei principali risultati:

• Numero di certificazioni: Nei primi nove mesi del 2023, sono stati certificati 310 prodotti a livello globale. La proiezione per fine anno stima circa 413 certificazioni, rendendolo uno degli anni più performanti degli ultimi cinque. Questo dato evidenzia una crescente attenzione alla sicurezza IT da parte di produttori e consumatori.

• Distribuzione geografica: i leader globali: Francia, Paesi Bassi e Stati Uniti si confermano i principali paesi certificatori, ciascuno con il 19% delle certificazioni totali. Questo significa che quasi il 60% delle certificazioni globali proviene da questi tre paesi, sottolineando il loro ruolo dominante nel panorama della sicurezza informatica. Questa concentrazione potrebbe essere attribuita a diversi fattori, tra cui la presenza di forti industrie tecnologiche e un maggiore investimento in sicurezza informatica da parte di governi e aziende.

• Livelli di Garanzia della Valutazione (EAL): un approfondimento: I livelli di garanzia (EAL, Evaluation Assurance Level) rappresentano una scala da 1 a 7 che misura il rigore e la profondità della valutazione di sicurezza di un prodotto. Ogni livello incrementale richiede una maggiore evidenza di robustezza e affidabilità. Nel 2023, i livelli EAL4 ed EAL5 sono stati i più utilizzati, rappresentando insieme circa il 40% delle certificazioni. Questo dato suggerisce un equilibrio tra la necessità di una sicurezza robusta e la fattibilità economica e temporale del processo di certificazione. (Vedi la sezione “Approfondimento sui Livelli di Garanzia della Valutazione (EAL)” per una descrizione dettagliata di ogni livello).

• Profili di Protezione (PP): standardizzazione e interoperabilità: Il 77% delle certificazioni ha incluso un “Profilo di Protezione” (PP), un documento che definisce i requisiti di sicurezza per una specifica tipologia di prodotto (es. firewall, smart card). L’uso dei PP semplifica il processo di certificazione e promuove l’interoperabilità tra prodotti di diversi fornitori. Questa elevata percentuale indica una forte adesione agli standard e una maggiore efficienza nel processo di valutazione. (Vedi la sezione “Dettagli sui Profili di Protezione (PP)” per maggiori informazioni).

• Categorie di prodotti: un focus sui settori chiave: Le principali categorie di prodotti certificati includono:
  • Dispositivi IC e Smart Card (34%): Chip integrati, smart card e sistemi correlati, utilizzati in applicazioni che richiedono un elevato livello di sicurezza, come transazioni finanziarie, identificazione personale e protezione di dati sensibili.Dispositivi di rete (15%): Router, firewall, switch e altri dispositivi che costituiscono l’infrastruttura di rete e che necessitano di una solida protezione contro le minacce informatiche.
  • Dispositivi multifunzione (12%): Stampanti, scanner e altri dispositivi multifunzione che integrano funzionalità di sicurezza per proteggere i dati e prevenire accessi non autorizzati.

Le sfide nella raccolta dati: migliorando l’accuratezza delle statistiche

Il report evidenzia le difficoltà incontrate nella raccolta e nell’analisi dei dati, tra cui la frequente modifica della struttura dei siti web dei certificatori e la mancanza di un elenco centralizzato di tutti i laboratori di valutazione. Nonostante queste sfide, il tool “CC Scraper”, sviluppato da jtsec, ha permesso di ottenere statistiche affidabili e aggiornate, dimostrando l’importanza di strumenti automatizzati per la raccolta di dati complessi.

Confronto con gli anni precedenti: una tendenza in crescita

Il 2023 si distingue per una crescita costante delle certificazioni rispetto agli anni precedenti, superando la performance del 2022. Questo trend positivo riflette una maggiore consapevolezza dell’importanza della sicurezza IT e un continuo impegno da parte del settore.

Cambiamenti futuri: l’evoluzione del panorama delle certificazioni

Il settore delle certificazioni CC è in continua evoluzione, con importanti novità all’orizzonte:

• Nuovo standard CCv3.1 R5: A partire dal 30 giugno 2024, le valutazioni dovranno essere conformi al nuovo standard CCv3.1 R5, che introduce miglioramenti e chiarimenti per rendere il processo di valutazione più efficiente e coerente.
• Sistema EUCC (European Union Cybersecurity Certification Scheme): L’UE introdurrà il sistema EUCC, che mira a creare un sistema unificato di certificazione della cybersecurity in tutta l’UE, sostituendo gradualmente i sistemi nazionali esistenti, incluso il CCRA in Europa. Questo porterà a una maggiore armonizzazione e riconoscimento reciproco delle certificazioni. (Vedi la sezione “Impatto del Nuovo Standard CCv3.1 R5 e del Sistema EUCC” per maggiori dettagli).

Perché le certificazioni Common Criteria sono importanti?

Le certificazioni Common Criteria offrono numerosi vantaggi:

• Garanzia di sicurezza: Assicurano che i prodotti IT rispettino standard di sicurezza internazionali, aumentando la fiducia degli utenti e riducendo i rischi di vulnerabilità.
• Riconoscimento internazionale: Le certificazioni CC sono riconosciute a livello globale, facilitando il commercio internazionale di prodotti IT sicuri.
• Conformità normativa: Molte normative e regolamenti richiedono la certificazione CC per specifici prodotti e settori.

Il 2023 rappresenta un anno di consolidamento e crescita per il settore delle certificazioni Common Criteria, con una significativa attività di certificazione e la preparazione a importanti cambiamenti normativi e tecnologici. Comprendere questi trend è fondamentale per chiunque operi nel settore della sicurezza IT, sottolineando l’importanza di standard elevati per proteggere un mondo sempre più digitale e interconnesso.

Fonte:

“2023 CC Statistics Report” di Josè Manuel Pulido (jtsec Applus)