ISO/IEC 19896-1:2025
(Main)Information security, cybersecurity and privacy protection — Requirements for the competence of IT security conformance assessment body personnel — Part 1: Overview and concepts
Information security, cybersecurity and privacy protection — Requirements for the competence of IT security conformance assessment body personnel — Part 1: Overview and concepts
This document establishes an organized set of concepts and relationships to understand the competency requirements for information security conformance-testing and evaluation specialists, thereby establishing a basis for shared understanding of the concepts and principles central to the ISO/IEC 19896 series across its user communities.
Sécurité de l'information, cybersécurité et protection de la vie privée ― Exigences relatives aux compétences du personnel des organismes d'évaluation de la conformité de la sécurité TI — Partie 1: Vue d'ensemble et concepts
Le présent document établit un ensemble structuré de concepts et leurs relations pour comprendre les exigences de compétences des spécialistes des essais de conformité et de l'évaluation de la sécurité de l'information, établissant ainsi la base d'une compréhension partagée des concepts et des principes centraux de la série ISO/IEC 19896 à travers ses communautés d'utilisateurs.
General Information
Relations
Standards Content (Sample)
International
Standard
ISO/IEC 19896-1
Second edition
Information security, cybersecurity
2025-11
and privacy protection —
Requirements for the competence
of IT security conformance
assessment body personnel —
Part 1:
Overview and concepts
Sécurité de l'information, cybersécurité et protection de la vie
privée ― Exigences relatives aux compétences du personnel des
organismes d'évaluation de la conformité de la sécurité TI —
Partie 1: Vue d'ensemble et concepts
Reference number
© ISO/IEC 2025
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
© ISO/IEC 2025 – All rights reserved
ii
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Concepts . 3
5 Elements of competence . 4
5.1 Competences . . .4
5.2 Knowledge .4
5.3 Skills . .5
5.3.1 General .5
5.3.2 Testers and evaluators .5
5.3.3 Validators and reviewers .6
6 Competency levels . 6
6.1 General .6
6.2 Testers and evaluators .7
6.2.1 Competency level 1 . .7
6.2.2 Competency level 2 . .7
6.2.3 Competency level 3 . .7
6.3 Validators and reviewers .7
6.3.1 Competency level 1 . .7
6.3.2 Competency level 2 . .8
6.3.3 Competency Level 3 .8
7 Measurement of elements of competence . 8
7.1 Knowledge .8
7.2 Skills . .8
7.3 Recording elements of competence .9
Annex A (informative) Framework for describing competence requirements .10
Annex B (informative) Example records of experience and competence .11
Bibliography .12
© ISO/IEC 2025 – All rights reserved
iii
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical activity.
ISO and IEC technical committees collaborate in fields of mutual interest. Other international organizations,
governmental and non-governmental, in liaison with ISO and IEC, also take part in the work.
The procedures used to develop this document and those intended for its further maintenance are described
in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the different types
of document should be noted. This document was drafted in accordance with the editorial rules of the ISO/
IEC Directives, Part 2 (see www.iso.org/directives or www.iec.ch/members_experts/refdocs).
ISO and IEC draw attention to the possibility that the implementation of this document may involve the
use of (a) patent(s). ISO and IEC take no position concerning the evidence, validity or applicability of any
claimed patent rights in respect thereof. As of the date of publication of this document, ISO and IEC had not
received notice of (a) patent(s) which may be required to implement this document. However, implementers
are cautioned that this may not represent the latest information, which may be obtained from the patent
database available at www.iso.org/patents and https://patents.iec.ch. ISO and IEC shall not be held
responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and expressions
related to conformity assessment, as well as information about ISO's adherence to the World Trade
Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www.iso.org/iso/foreword.html.
In the IEC, see www.iec.ch/understanding-standards.
This document was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, Information security, cybersecurity and privacy protection, in collaboration with the
European Committee for Standardization (CEN) Technical Committee CEN/CLC/JTC 13, Cybersecurity and
data protection, in accordance with the Agreement on technical cooperation between ISO and CEN (Vienna
Agreement).
This second edition cancels and replaces the first edition (ISO/IEC 19896-1:2018), which has been technically
revised.
The main changes are as follows:
— the document has been restructured;
— subclauses related to experience, education and effectiveness have been deleted;
— technical changes have been introduced;
— competence concepts for the validators and the reviewers have been added;
— deleted elements of competence, experience, education and effectiveness except for knowledge and skills
according to comments from ISO/CASCO.
A list of all parts in the ISO/IEC 19896 series can be found on the ISO and IEC websites.
Any feedback or questions on this document should be directed to the user’s national standards
body. A complete listing of these bodies can be found at www.iso.org/members.html and
www.iec.ch/national-committees.
© ISO/IEC 2025 – All rights reserved
iv
Introduction
The objective of the ISO/IEC 19896 series is to provide the fundamental concepts related to the topic of
the competence of personnel responsible for performing information technology (IT) product security
evaluations and conformance testing as well as those personnel performing review and validations. The
ISO/IEC 19896 series provides the framework and the specialized requirements that specify the minimum
competence of personnel performing IT product security evaluations and conformance testing, reviews
and validation using International Standards. This document provides fundamental information to users of
ISO/IEC 19896-2 and ISO/IEC 19896-3.
In pursuit of this objective, the ISO/IEC 19896 series comprises the following:
a) the terms and definitions relating to the topic of competence in IT product security testers and
evaluators;
b) the fundamental concepts relating to competence in IT product security and conformance testing and
evaluation;
c) the minimum competence requirements for IT product security testers and evaluator to conduct IT
product testing/evaluation;
d) the terms and definitions relating to the topic of competence in IT product security validators and
reviewers;
e) the fundamental concepts relating to competence in IT product security validation and reviews; and
f) the minimum competence requirements for IT product security validators and reviewers to conduct IT
product validation/review.
The ISO/IEC 19896 series is of interest to:
g) information security conformance-testing and evaluation specialists;
h) information security review bodies for evaluation;
i) information security validation authorities for conformance-testing;
j) information security conformance-testing and evaluation laboratories;
k) vendors or technology providers whose IT products can be the subject to information security
conformance-testing or evaluations; and
l) organizations offering professional credentials or recognitions.
The ISO/IEC 19896 series is organized into parts to address the competence of testing and evaluation
personnel as follows.
This document provides an overview of the definitions, fundamental concepts and a general description of
the framework used to communicate the competence concepts for certain specialized areas. This document
aims to provide the fundamental knowledge necessary to use the framework presented in the other parts of
the ISO/IEC 19896 series.
ISO/IEC 19896-2 describes the minimum set of competence requirements at each competency level for
conformance testers and validators working with ISO/IEC 19790 and ISO/IEC 24759.
ISO/IEC 19896-3 describes the minimum set of competence requirements at each competency level for
information security evaluators and reviewers working with the ISO/IEC 15408 series and ISO/IEC 18045.
© ISO/IEC 2025 – All rights reserved
v
International Standard ISO/IEC 19896-1:2025(en)
Information security, cybersecurity and privacy protection —
Requirements for the competence of IT security conformance
assessment body personnel —
Part 1:
Overview and concepts
1 Scope
This document establishes an organized set of concepts and relationships to understand the competency
requirements for information security conformance-testing and evaluation specialists, thereby establishing
a basis for shared understanding of the concepts and principles central to the ISO/IEC 19896 series across
its user communities.
2 Normative references
There are no normative references in this document.
3 Terms and definitions
For the purposes of this document, the following terms and definitions apply.
ISO and IEC maintain terminology databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at https:// www .electropedia .org/
3.1
competence
ability to apply knowledge and skills to achieve intended results
[SOURCE: ISO/IEC 17024:2012, 3.6]
3.2
conformance-tester
tester
individual assigned to perform test activities in accordance with a given conformance testing standard and
associated testing methodology
Note 1 to entry: An example of such a standard is ISO/IEC 19790 and the testing methodology specified in
ISO/IEC 24759.
© ISO/IEC 2025 – All rights reserved
3.3
evaluation laboratory
testing laboratory
laboratory
organization with a management system providing evaluation or testing work in accordance with a defined
set of policies and procedures and utilizing a defined methodology for testing or evaluating the security
functionality of IT products
Note 1 to entry: These organizations are often given alternative names by various evaluation authorities. For example, IT
Security Evaluation Facility (ITSEF), Common Criteria Testing Laboratory (CCTL), Commercial Evaluation Facility (CLEF).
[SOURCE: ISO/IEC TS 23532-1:2021, 3.1, modified — testing laboratory and laboratory have been added as
preferred terms; definition has been modified to cover testing; Note 2 to entry has been removed.]
3.4
evaluation method
set of one or more evaluation activities for application in a specific context
[SOURCE: ISO/IEC 15408-1:2022, 3.42]
3.5
evaluation methodology
structured framework or system that organizes and applies various evaluation methods (3.4)
3.6
evaluator
individual assigned to perform evaluations in accordance with a given evaluation standard and associated
evaluation methodology (3.5)
Note 1 to entry: An example of evaluation standards is the ISO/IEC 15408 series. An example of an associated
evaluation methodology is given in ISO/IEC 18045.
3.7
knowledge
facts, information, truths, principles or understanding acquired through experience or education
EXAMPLE The ability to describe the various parts of an information assurance standard.
[SOURCE: ISO/IEC TS 17027:2014, 2.56, modified — an example has been added.]
3.8
review body
entity that reviews the evaluation results provided by an evaluation laboratory for conformance to
ISO/IEC 15408
Note 1 to entry: A review body is called an evaluation authority in ISO/IEC 15408 and ISO/IEC 18045.
3.9
review scheme
review system related to specified products, to which the same specified requirements, specific rules and
procedures apply
3.10
reviewer
individual assigned to perform review of evaluations in accordance with a given evaluation standard and
associated evaluation methodology (3.5) and make decisions based on this
Note 1 to entry: One example of such an individual could be a certifier who uses the evaluation results to perform a
certification.
© ISO/IEC 2025 – All rights reserved
3.11
skill
ability to perform a task or activity with a specific intended outcome acquired through education, training,
experience or other means
EXAMPLE The ability to identify and classify the risks associated with a project.
[SOURCE: ISO/IEC TS 17027:2014, 2.74, modified — an example has been added.]
3.12
validation authority
entity that validates the testing results provided by a testing laboratory (3.3) for conformance to
ISO/IEC 19790
Note 1 to entry: A validation authority can modify, add or delete requirements in ISO/IEC 24759.
Note 2 to entry: A validation authority can issue validation certificates for approved security functions or other
conformance tested results.
Note 3 to entry: A validation authority can specify the format of the security policy.
Note 4 to entry: A validation authority can use alternative security functions or standards in ISO/IEC 19790:2025,
Annexes C to G.
3.13
validation scheme
validation system related to specified products, to which the same specified requirements, specific rules
and procedures apply
3.14
validator
individual assigned to perform validation activities in accordance with a given conformance testing
standard and associated testing methodology
Note 1 to entry: An example of such a conformance testing standard is ISO/IEC 19790 and the testing methodology is
specified in ISO/IEC 24759.
4 Concepts
In order to support conformity in the evaluation or conformance-testing of IT security products, competence
is one factor in ensuring conformity in the evaluation or conformance-testing of IT security products.
Despite the provision of standardized conformance-testing or evaluation methods, a minimum competence
in performing the necessary activities is required to support achieving conformity and repeatability of the
results. This, in turn, supports the mutual recognition of IT product security assurance certifications and
validations.
The ISO/IEC 23532 series address the requirements for the competence of IT security testing and evaluatio
...
Norme
internationale
ISO/IEC 19896-1
Deuxième édition
Sécurité de l'information,
2025-11
cybersécurité et protection de la
vie privée ― Exigences relatives
aux compétences du personnel
des organismes d'évaluation de la
conformité de la sécurité TI —
Partie 1:
Vue d'ensemble et concepts
Information security, cybersecurity and privacy protection —
Requirements for the competence of IT security conformance
assessment body personnel —
Part 1: Overview and concepts
Numéro de référence
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2025
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
© ISO/IEC 2025 – Tous droits réservés
ii
Sommaire Page
Avant-propos .iv
Introduction .vi
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Concepts . 3
5 Éléments de compétence . 4
5.1 Compétences . . .4
5.2 Connaissances .4
5.3 Savoir-faire . .5
5.3.1 Généralités .5
5.3.2 Testeurs et évaluateurs .5
5.3.3 Validateurs et examinateurs .6
6 Niveaux de compétence . 6
6.1 Généralités .6
6.2 Testeurs et évaluateurs.7
6.2.1 Niveau de compétence 1 .7
6.2.2 Niveau de compétence 2 .7
6.2.3 Niveau de compétence 3 .7
6.3 Validateurs et examinateurs .7
6.3.1 Niveau de compétence 1 .7
6.3.2 Niveau de compétence 2 .8
6.3.3 Niveau de compétence 3 .8
7 Mesure des éléments de compétence . 8
7.1 Connaissances .8
7.2 Savoir-faire . .8
7.3 Enregistrement des éléments de compétence .9
Annexe A (informative) Cadre pour la description des exigences en matière de compétences .10
Annexe B (informative) Exemples de registres d'expérience et de compétences .12
Bibliographie .13
© ISO/IEC 2025 – Tous droits réservés
iii
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique internationale)
forment le système spécialisé de la normalisation mondiale. Les organismes nationaux membres de l'ISO ou
de l’IEC participent au développement de Normes internationales par l'intermédiaire des comités techniques
créés par l'organisation concernée afin de s'occuper des domaines particuliers de l'activité technique.
Les comités techniques de l'ISO et de l’IEC collaborent dans des domaines d'intérêt commun. D'autres
organisations internationales, gouvernementales et non gouvernementales, en liaison avec l'ISO et l’IEC,
participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a
été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir
www.iso.org/directives ou www.iec.ch/members_experts/refdocs).
L’ISO et l’IEC attirent l’attention sur le fait que la mise en application du présent document peut entraîner
l’utilisation d’un ou de plusieurs brevets. L’ISO et l’IEC ne prennent pas position quant à la preuve, à la
validité et à l’applicabilité de tout droit de brevet revendiqué à cet égard. À la date de publication du présent
document, L’ISO et l’IEC n'avaient pas reçu notification qu’un ou plusieurs brevets pouvaient être nécessaires
à sa mise en application. Toutefois, il y a lieu d’avertir les responsables de la mise en application du présent
document que des informations plus récentes sont susceptibles de figurer dans la base de données de
brevets, disponible à l'adresse www.iso.org/brevets et https://patents.iec.ch. L’ISO et l’IEC ne sauraient être
tenues pour responsables de ne pas avoir identifié tout ou partie de tels droits de propriété.
Les appellations commerciales éventuellement mentionnées dans le présent document sont données pour
information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions spécifiques
de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion de l'ISO aux
principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles techniques au commerce
(OTC), voir www.iso.org/iso/avant-propos. Pour l'IEC, voir www.iec.ch/understanding-standards.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée, en collaboration
avec le comité technique CEN/CLC/JTC 13, Cybersécurité et protection des données, du Comité européen de
normalisation (CEN), conformément à l'Accord de coopération technique entre l'ISO et le CEN (Accord de
Vienne).
Cette deuxième édition annule et remplace la première édition (ISO/IEC 19896-1:2018), qui a fait l'objet
d'une révision technique.
Les principales modifications sont les suivantes:
— le document a été restructuré;
— les paragraphes liés à l'expérience, à l'instruction et à l'efficacité ont été supprimés;
— des modifications techniques ont été introduites;
— des concepts de compétence pour les validateurs et les examinateurs ont été ajoutés;
— les éléments de compétence, d'expérience, d'instruction et d'efficacité ont été supprimés, conformément
aux commentaires de l'ISO/du CASCO, à l'exception des éléments de connaissances et de savoir-faire.
Une liste de toutes les parties de la série ISO/IEC 19896 se trouve sur les sites Web de l'ISO et de l'IEC.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes se
trouve à l’adresse www.iso.org/members.html et www.iec.ch/national-committees.
© ISO/IEC 2025 – Tous droits réservés
iv
© ISO/IEC 2025 – Tous droits réservés
v
Introduction
La série ISO/IEC 19896 a pour objectif de fournir les concepts fondamentaux concernant la compétence du
personnel chargé d'effectuer les évaluations en matière de sécurité des produits informatiques (TI) et les
essais de conformité ainsi que du personnel réalisant l'examen et les validations. La série ISO/IEC 19896
fournit le cadre et les exigences spécifiques qui définissent la compétence minimale du personnel effectuant
des évaluations en matière de sécurité des produits informatiques et les essais de conformité, les examens
et la validation sur la base de Normes internationales. Le présent document fournit des informations
fondamentales aux utilisateurs de l'ISO/IEC 19896-2 et l'ISO/IEC 19896-3.
Pour atteindre cet objectif, la série ISO/IEC 19896 comprend les éléments suivants:
a) les termes et définitions relatifs au thème de la compétence des testeurs et des évaluateurs en matière
de sécurité des produits TI;
b) les concepts fondamentaux relatifs à la compétence en matière de sécurité des produits TI, d'essais de
conformité et d'évaluation;
c) les exigences minimales de compétence pour les testeurs et les évaluateurs en matière de sécurité des
produits TI en vue de réaliser les essais/l'évaluation des produits TI;
d) les termes et définitions relatifs au thème de la compétence des validateurs et des examinateurs en
matière de sécurité des produits TI;
e) les concepts fondamentaux relatifs à la compétence en matière de validation et d'examens de la sécurité
des produits TI; et
f) les exigences minimales de compétence pour les validateurs et les examinateurs en matière de sécurité
des produits TI en vue de réaliser la validation/l'examen des produits TI.
La série ISO/IEC 19896 présente un intérêt pour:
g) les spécialistes des essais de conformité et de l'évaluation de la sécurité de l'information;
h) les organismes d'examen de la sécurité de l'information pour l'évaluation;
i) les autorités de validation de la sécurité de l'information pour les essais de conformité;
j) les laboratoires d'essais de conformité et d'évaluation de la sécurité de l'information;
k) les vendeurs ou fournisseurs de technologie dont les produits TI peuvent faire l'objet d'essais de
conformité ou d'évaluations de la sécurité de l'information; et
l) les organismes proposant des certifications ou des reconnaissances professionnelles.
La série ISO/IEC 19896 est organisée en différentes parties afin d'aborder la compétence du personnel des
essais et de l'évaluation comme suit.
Le présent document donne une vue d'ensemble des définitions, des concepts fondamentaux et une
description générale du cadre utilisé pour communiquer les concepts de compétence pour certains domaines
spécialisés. Le présent document vise à fournir les connaissances fondamentales nécessaires pour utiliser le
cadre présenté dans les autres parties de la série ISO/IEC 19896.
L'ISO/IEC 19896-2 décrit l'ensemble minimal des exigences de compétences à chaque niveau de compétence
pour les testeurs de conformité et les validateurs travaillant avec l'ISO/IEC 19790 et l'ISO/IEC 24759.
L'ISO/IEC 19896-3 décrit l'ensemble minimal des exigences de compétences à chaque niveau de compétence
pour les évaluateurs et examinateurs de la sécurité de l'information travaillant avec les séries ISO/IEC 15408
et ISO/IEC 18045.
© ISO/IEC 2025 – Tous droits réservés
vi
Norme internationale ISO/IEC 19896-1:2025(fr)
Sécurité de l'information, cybersécurité et protection de la vie
privée ― Exigences relatives aux compétences du personnel des
organismes d'évaluation de la conformité de la sécurité TI —
Partie 1:
Vue d'ensemble et concepts
1 Domaine d'application
Le présent document établit un ensemble structuré de concepts et leurs relations pour comprendre les
exigences de compétences des spécialistes des essais de conformité et de l'évaluation de la sécurité de
l'information, établissant ainsi la base d'une compréhension partagée des concepts et des principes centraux
de la série ISO/IEC 19896 à travers ses communautés d'utilisateurs.
2 Références normatives
Le présent document ne contient aucune référence normative.
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions suivants s’appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en normalisation,
consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse https:// www .electropedia .org/
3.1
compétence
aptitude à mettre en pratique des connaissances et des savoir-faire pour obtenir les résultats attendus
[SOURCE: ISO/IEC 17024:2012, 3.6]
3.2
testeur de conformité
testeur
personne chargée d'effectuer des activités d'essai conformément à une norme d'essai de conformité donnée
et à une méthodologie d'essai associée
Note 1 à l'article: L'ISO/IEC 19790 est un exemple d'une telle norme, avec la méthodologie d'essai spécifiée dans
l'ISO/IEC 24759.
© ISO/IEC 2025 – Tous droits réservés
3.3
laboratoire d'évaluation
laboratoire d'essais
laboratoire
organisme doté d'un système de management fournissant des travaux d'évaluation ou d'essai conformément
à un ensemble défini de politiques et de modes opératoires et utilisant une méthodologie définie pour
soumettre à l'essai ou évaluer la fonctionnalité de sécurité des produits TI
Note 1 à l'article: Ces organismes se voient souvent attribuer des noms alternatifs par les différentes autorités
d'évaluation. Par exemple, Centre d'Évaluation de la Sécurité des Technologies de l'Information (CESTI), Common
Criteria Testing Laboratory (CCTL), Commercial Évaluation Facility (CLEF).
[SOURCE: ISO/IEC TS 23532‑1:2021, 3.1, modifié — «laboratoire d'essais» et «laboratoire» ont été ajoutés
comme termes privilégiés; la définition a été modifiée pour couvrir les essais; la Note 2 à l'article a été
supprimée.]
3.4
méthode d'évaluation
ensemble d'une ou plusieurs activités d'évaluation à appliquer dans un contexte spécifique
[SOURCE: ISO/IEC 15408-1:2022, 3.42]
3.5
méthodologie d'évaluation
cadre ou système structuré qui organise et applique différentes méthodes d'évaluation (3.4)
3.6
évaluateur
personne chargée d'effectuer des évaluations conformément à une norme d'évaluation donnée et à une
méthodologie d'évaluation (3.5) associée
Note 1 à l'article: Un exemple de normes d'évaluation est la série ISO/IEC 15408. Un exemple de méthodologie
d'évaluation associée est présenté dans l'ISO/IEC 18045.
3.7
connaissances
faits, informations, vérités, principes ou compréhension acquis grâce à l'expérience ou à l'instruction
EXEMPLE L'aptitude à décrire les différentes parties d'une norme d'assurance de l'information.
[SOURCE: ISO/IEC TS 17027:2014, 2.56, modifiée — ajout d'un exemple.]
3.8
organisme d'examen
entité qui examine les résultats de l'évaluation fournis par un laboratoire d'évaluation pour vérifier la
conformité à l'ISO/IEC 15408
Note 1 à l'article: Un organisme d'examen est appelé «autorité d'évaluation» dans l'ISO/IEC 15408 et l'ISO/IEC 18045.
3.9
programme d'examen
système d'examen spécifique pour des produits déterminés, auxquels s'appliquent les mêmes exigences
spécifiées, des règles et des procédures spécifiques
3.10
examinateur
personne chargée d'effectuer des examens d'évaluations conformément à une norme d'évaluation donnée et
à une méthodologie d'évaluation (3.5) associée, et de prendre des décisions en conséquence
Note 1 à l'article: Il peut s'agir, par exemple, d'un certificateur qui utilise les résultats de l'évaluation pour effectuer
une certification.
© ISO/IEC 2025 – Tous droits réservés
3.11
savoir-faire
aptitude à réaliser une tâche ou une activité avec un résultat escompté spécifique, acquise par l'instruction,
la formation, l'expérience ou d'autres moyens
EXEMPLE La capacité d'identifier et de classer les risques associés à un projet.
[SOURCE: ISO/IEC TS 17027:2014, 2.74, modifiée — ajout d'un exemple.]
3.12
autorité de validation
entité qui valide les résultats des essais fournis par un laboratoire d'essais (3.3) pour vérifier la conformité à
l'ISO/IEC 19790
Note 1 à l'article: Une autorité de validation peut modifier, ajouter ou supprimer des exigences de l'ISO/IEC 24759.
Note 2 à l'article: Une autorité de validation peut délivrer des certificats de validation pour des fonctions de sécurité
approuvées ou d'autres résultats d'essais de conformité.
Note 3 à l'article: Une autorité de validation peut spécifier le format de la politique en matière de sécurité.
Note 4 à l'article: Une autorité de validation peut utiliser d'autres fonctions de sécurité ou d'autres normes disponibles
dans l'ISO/IEC 19790:2025, Annexes C à G.
3.13
programme de validation
système de validation spécifique pour des produits déterminés, auxquels s'appliquent les mêmes exigences
spécifiées, des règles et des procédures spécifiques
3.14
validateur
personne chargée d'effectuer des activités de validation conformément à une norme d'essai de conformité
donnée et à une méthodologie d'essai associée
Note 1 à l'article: L'ISO/IEC 19790 est un exemple d'une telle norme d'essais de conformité, et la méthodologie d'essai
est spécifiée dans l'ISO/IEC 24759.
4 Concepts
Un des facteurs permettant d'assurer la conformité de l'évaluation ou des essais de conformité des produits
de sécurité des TI est la compétence des personnes qui effectuent les travaux d'évaluation ou d'essai
de conformité. Malgré l'existence de méthodes d'essai de conformité ou d'évaluation normalisées, une
compétence minimale dans l'exécution des activités nécessaires est requise pour assurer la conformité et
la répétabilité des résultats. Cela permet de soutenir la reconnaissance mutuelle des certifications et des
validations de l'assurance de la sécurité des produits TI.
La série ISO/IEC 23532 traite des exigences relatives aux compétences des laboratoires d'essais et
d'évaluation de la sécurité TI, qui sont liées aux compétences des testeurs et évaluateurs qu'il est nécessaire
qu'un laboratoire remplisse. Ces exigences liées incluent: assurer la compétence de tout le personnel pouvant
influencer les activités du laboratoire d'essais ou d'évaluation;
Des exemples d'exigences comprennent:
— définir et documenter les exigences en matière de compétence pour chaque fonction impliquée dans les
activités du laboratoire d'essais ou d'évaluation;
— s'assurer que le personnel du laboratoire possède les compétences nécessaires pour réaliser les activités
dont il est responsable et qu'il comprend la signification des écarts constatés par rapport aux activités
du laboratoire d'essais ou d'évaluation et d'y réagir;
— disposer d'un processus documenté pour la surveillance continue du personnel impliqué dans les
activités de laboratoire d'essais ou d'évaluation; et
© ISO/IEC 2025 – Tous droits réservés
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.
Loading comments...