Projet

Ordonnance «%ASFF_YYYY_ID»

Les exigences techniques découlent des objectifs et exigences des Common Criteria, des exigences de la présente ordonnance et du MASVS (OWASP).

2.2 Planification des activités

Les différentes phases doivent être planifiées et convenues par l’organisme de certification en accord avec le requérant.

2.3 Examen des artefacts de sécurité pertinents

Tous les artefacts de sécurité déployés par l’application (par ex. procédures, modèles, instruments et rapports de test utilisés durant le développement de l’application) doivent être soumis à un examen théorique.

Le tableau 1 « Exigences de sécurité » dresse la liste des principaux artefacts de sécurité à examiner, sur la base de prescriptions et standards actuels pour les applications mobiles. Quatre niveaux d’évaluation sont définis.

Abréviation Description

BE Examen de base. L’élément est contrôlé par simple lecture. L’objectif est de saisir le

texte dans les grandes lignes et de le comprendre. Questions que devrait se poser l’examinateur : que dit le texte ? Quelles informations puis-je tirer de ce dernier ?

CE Examen critique. L’élément est contrôlé moyennant une lecture critique. L’objectif

est d’apprécier le fonctionnement du texte et d’analyser, interpréter et évaluer ce dernier. Questions que devrait se poser l’examinateur : comment fonctionne le texte ? Comment l’argumentation est-elle construite ? Sur quelles hypothèses le texte reposet-il ? Que signifie-il ?

SE Examen par échantillonnage. L’élément est composé de plusieurs documents ou

paragraphes, dont certains sont contrôlés à l’aide d’une procédure d’échantillonnage systématique. L’étendue de la vérification pour les éléments sélectionnés correspond à celle de l’examen critique. Les critères de sélection reposent sur le principe suivant : la priorité est donnée aux documents ayant une incidence majeure sur la sécurité.

NE Aucun examen. L’élément n’est pas contrôlé.

Tableau 1 : Exigences de sécurité

Le tableau 2 « Objectifs de sécurité » définit les objectifs et contrôles de sécurité obligatoires pour les applications mobiles selon le MASVS (OWASP) et les Common Criteria. Lesdits objectifs servent de base pour les audits et doivent être examinés dans leur intégralité.

Domaine Exigence principale PP⁶ MASVS (OWASP)