evaluation - 通用标准选项

Question

对国际通用标准有一些批评，如 [Under-attack]。 1

您认为使用 CC 开发 IT 产品的利弊是什么？

Answer 1

我是 BSI(德国)和 NIAPP(美国)计划的通用标准评估员。我有一些经验，但我认为我有足够的资格来回答这个问题。

优点:

使用 CC 进行开发的首要好处是能够与美国政府开展业务。每次我对某人说这句话时，我都会死在里面，因为我真的很喜欢安全作为首要原因。但唉...

其次，它极大地提高了设计文档的质量，因为 CC 的大部分内容都围绕着分析文档展开，而好的文档是必需的。找一个好的实验室，他们可能会为你做所有这些。

它会让您意识到您从未想过的安全问题，例如客户如何知道我运送给他们的产品确实来自我，而不是冒充我的人？

最后，遗憾的是，它将提高产品的技术安全性。获得一个好的实验室，您将获得非常强大的安全产品和认证。得到一个坏的，你就会带着证书离开。

缺点:

极其昂贵。除非你有足够的金库来吸收数十万美元的冲击，否则你不会被 CC 淘汰。但是，如果您打算与联邦政府合作，如果他们真的喜欢您的产品，您可以让他们支付您的费用。

非常耗时。我们的评估持续 9-16 个月，具体取决于产品的复杂程度和评估保证水平。给您一个想法，EAL 4 上的通用 linux 发行版可能需要一整年才能完成。

该证书仅适用于 精确您产品的版本号。进行更新，证书无效。 (不过，是否接受修补产品取决于国防部的征用人员，因此并非所有希望都破灭。

它的值(value)在联邦市场之外的任何地方几乎一文不值。

根据您选择的方案，您将面临某些类型的政治、资源缺乏和额外要求。最好的办法是找到一个能帮助你完成所有事情的好实验室。

请注意，我从开发人员的角度为您提供了优点和缺点。从技术上讲，在谈论标准的设置方式及其有效性时，有一组不同的优点和缺点。