O TR7 obteve com sucesso a certificação Common Criteria EAL 4+ (Nível de Garantia de Avaliação 4 Aumentado) após rigorosa avaliação de segurança independente. Esta certificação valida a arquitetura de segurança e implementação do TR7 em relação aos mais altos padrões práticos para produtos comerciais.
O que isto significa para sua organização
Ao selecionar infraestrutura de segurança para implantações empresariais ou governamentais, como verificar se as alegações de segurança de um produto são realmente verdadeiras? Materiais de marketing e afirmações de fornecedores só vão até certo ponto. É aqui que a certificação independente se torna crítica.
Common Criteria (ISO/IEC 15408) é a estrutura internacionalmente reconhecida para avaliar produtos de segurança de TI. A certificação EAL 4+ do TR7 significa que nossos recursos de segurança foram verificados independentemente através de análise de código-fonte, revisão de documentação de design e testes de penetração abrangentes por laboratórios credenciados.
Para organizações que exigem garantia de segurança demonstrável—seja para conformidade, contratos governamentais ou políticas de segurança internas—EAL 4+ fornece as evidências necessárias.
Reconhecimento global em resumo
A certificação EAL 4+ fornece reconhecimento internacional através de acordos de reconhecimento mútuo, eliminando a necessidade de certificação país por país.
Reconhecimento mútuo completo sob o Acordo de Reconhecimento de Critérios Comuns
Portal Common CriteriaNível prático mais alto para produtos comerciais
Critérios de avaliação aceitos globalmente
Compreendendo os níveis EAL
Common Criteria define sete Níveis de Garantia de Avaliação (EAL 1-7), cada um representando rigor crescente na avaliação de segurança:
| Nível | Nome | Características principais | Uso típico |
|---|---|---|---|
| EAL 1 | Testado funcionalmente | Testes funcionais básicos | Produtos comerciais de baixo risco |
| EAL 2 | Testado estruturalmente | Análise estrutural, revisão de testes do desenvolvedor | Produtos comerciais padrão |
| EAL 3 | Testado metodicamente | Testes sistemáticos, gerenciamento de configuração | Ambientes de segurança moderada |
| EAL 4 | Projetado, testado e revisado metodicamente | Revisão de código-fonte, testes independentes | Produtos comerciais de alta segurança |
| EAL 4+ | Aumentado (TR7) | EAL 4 mais componentes de garantia adicionais | Governo e infraestrutura crítica |
| EAL 5-7 | Verificado semi-formalmente/formalmente | Provas matemáticas, métodos formais | Sistemas militares, de inteligência |
O que a avaliação EAL 4+ inclui
EAL 4+ vai significativamente além dos testes básicos. Aqui está o que o processo de avaliação envolve:
Análise de código-fonte
Laboratórios independentes revisam o código-fonte real, não apenas a documentação. Funções críticas de segurança são analisadas quanto à correção da implementação e vulnerabilidades potenciais.
Testes de penetração independentes
Avaliadores conduzem seus próprios testes de penetração com base em informações de vulnerabilidade publicamente disponíveis. Eles não dependem apenas dos resultados de testes fornecidos pelo fornecedor.
Revisão de documentação de design
A documentação completa da arquitetura de segurança é revisada, incluindo modelos de ameaças, aplicação de política de segurança e interfaces de módulos.
Gerenciamento de configuração
Os controles do ciclo de vida de desenvolvimento são verificados, incluindo controle de versão, processos de construção e mecanismos de entrega segura.
CCRA: Reconhecimento em 31 países
O Acordo de Reconhecimento de Critérios Comuns (CCRA) é o principal acordo internacional para reconhecimento mútuo de certificados de segurança de TI. Originalmente assinado em 1998 por Canadá, França, Alemanha, Reino Unido e Estados Unidos, o CCRA se expandiu para incluir 31 nações membros em todos os continentes.
Sob o CCRA, um produto certificado em um país membro é reconhecido em todos os outros países membros sem exigir avaliação adicional. Isso elimina o custo proibitivo e o tempo de obtenção de certificações separadas para cada mercado.
As nações membros do CCRA incluem mercados importantes: Estados Unidos, Canadá, Reino Unido, Alemanha, França, Austrália, Japão, Coreia do Sul, Índia, Singapura e muitos outros. Para organizações que operam internacionalmente, isso significa que a certificação do TR7 é válida onde quer que você implante.
SOG-IS MRA: Reconhecimento europeu completo até EAL 4+
Para implantações europeias, o Acordo de Reconhecimento Mútuo do Grupo de Altos Funcionários para Segurança de Sistemas de Informação (SOG-IS MRA) fornece uma camada adicional de reconhecimento. Ao contrário do CCRA, que fornece reconhecimento mútuo completo apenas até EAL 2 para novos certificados, o SOG-IS MRA fornece reconhecimento mútuo completo até EAL 4+.
Os signatários do SOG-IS MRA incluem França (ANSSI), Alemanha (BSI), Áustria, Espanha, Finlândia, Itália, Holanda, Noruega, Suécia e Reino Unido. Isso significa que a certificação EAL 4+ do TR7 é totalmente reconhecida nos ambientes de segurança mais exigentes da Europa.
Para organizações que necessitam produtos para instituições da UE, contratos governamentais europeus ou empresas sediadas na UE com políticas de segurança rigorosas, o reconhecimento SOG-IS MRA é frequentemente um requisito.
Onde o EAL 4+ importa mais
Governo e defesa
- Agências federais dos EUA (alinhamento FedRAMP)
- Implantações de nações membros da OTAN
- Requisitos de segurança de instituições da UE
- Proteção de infraestrutura crítica nacional
Serviços financeiros
- Conformidade regulatória bancária
- Infraestrutura de processamento de pagamentos
- Segurança de plataformas de negociação
- Proteção de dados de seguros
Saúde e ciências da vida
- Proteção de dados de pacientes (HIPAA)
- Conectividade de dispositivos médicos
- Segurança de dados de ensaios clínicos
- Proteção de propriedade intelectual farmacêutica
Alinhamento com estruturas de conformidade
A certificação EAL 4+ apoia e fortalece a conformidade com outras principais estruturas de segurança:
PCI DSS v4.0
O requisito 6.4.2 exige proteção WAF automatizada. Usar um WAF certificado EAL 4+ fornece evidência da eficácia dos controles de segurança durante auditorias QSA.
Framework de Cibersegurança NIST
A avaliação Common Criteria se alinha com a ênfase do NIST CSF no uso de produtos com propriedades de segurança verificadas na função de proteção.
ISO 27001
Produtos certificados EAL 4+ fornecem evidência documentada para controles do Anexo A relacionados à aquisição, desenvolvimento e manutenção de sistemas.
SOC 2
O uso de produtos de segurança certificados independentemente apoia os critérios comuns para segurança, demonstrando diligência devida na seleção de fornecedores.
Muitos fornecedores alegam que seus produtos são 'seguros' ou 'prontos para empresas', mas poucos passam pela rigorosa avaliação independente exigida para a certificação Common Criteria. EAL 4+ não é uma autoavaliação ou lista de verificação—requer meses de avaliação por laboratórios credenciados com acesso completo ao código-fonte e documentação de design. Ao avaliar fornecedores de segurança, pergunte: 'Seu produto é certificado Common Criteria e em que nível?'
Capacidades de segurança certificadas do TR7
A certificação EAL 4+ do TR7 cobre a plataforma ADC completa, incluindo:
Firewall de aplicação Web
Proteção OWASP Top 10 e segurança de API com capacidades de detecção e bloqueio verificadas independentemente.
Entrega de aplicação
Balanceamento de carga e gerenciamento de tráfego com controles de segurança certificados para manipulação de sessão e terminação SSL/TLS.
Gerenciamento de acesso
Mecanismos de autenticação, autorização e controle de acesso verificados em relação aos requisitos funcionais de segurança.
Monitoramento de segurança
Registro de auditoria, alertas e gerenciamento de eventos de segurança com proteção de integridade certificada.
Perguntas frequentes
A avaliação EAL 4+ normalmente leva de 12 a 18 meses desde o início até a certificação. Isso inclui preparação de documentação, testes em laboratório e revisão do esquema governamental. O cronograma rigoroso reflete a profundidade da análise necessária.
Os requisitos variam por país e agência. Em muitos casos, EAL 4 ou superior é necessário para produtos que lidam com informações classificadas ou sensíveis. Mesmo quando não é obrigatório, a certificação EAL 4+ é frequentemente um diferenciador nas avaliações de aquisição governamental.
O CCRA fornece reconhecimento mútuo entre 31 países, com reconhecimento obrigatório até EAL 2 para novos certificados. O SOG-IS MRA é um acordo europeu que fornece reconhecimento mútuo completo até EAL 4+ entre 17 nações membros. A certificação do TR7 é reconhecida sob ambos os acordos.
A certificação fornece garantia de que os recursos de segurança funcionam conforme documentado e foram testados contra padrões de ataque conhecidos. Não garante que um produto seja invulnerável—nenhum produto é. No entanto, demonstra que a segurança foi sistematicamente projetada, implementada e verificada por especialistas independentes.
As certificações Common Criteria são específicas da versão. O TR7 mantém a certificação através de um rigoroso processo de gerenciamento de mudanças, com atualizações relevantes à segurança avaliadas através de procedimentos de continuidade de garantia para assegurar conformidade contínua.
Conclusão
A certificação Common Criteria EAL 4+ do TR7 representa um investimento significativo em segurança demonstrável. Para organizações que exigem mais do que alegações de marketing—seja devido a requisitos regulatórios, contratos governamentais ou políticas de segurança internas—esta certificação fornece verificação independente de que a arquitetura de segurança e implementação do TR7 atendem aos mais altos padrões práticos.
Com reconhecimento em 31 países do CCRA e reconhecimento EAL 4+ completo sob o SOG-IS MRA na Europa, o TR7 fornece uma solução de segurança implantável globalmente apoiada por certificação internacionalmente reconhecida. Quando a garantia de segurança importa, escolha um fornecedor que possa prová-la.
Segurança certificada para sua empresa
Saiba como a plataforma ADC certificada EAL 4+ do TR7 pode atender aos requisitos de segurança e conformidade de sua organização. Nossa equipe pode fornecer documentação de certificação e discutir cenários de implantação específicos.
Entre em contato com nossa equipe