The Common Criteria for Information Technology Security Evaluation (referred to as Common Criteria or CC) is an international standard (ISO/IEC 15408) for computer security certification. It is currently in version 3.1 revision 5. Common Criteria is a framework in which computer system users can specify their security functional and assurance requirements (SFRs and SARs respectively) in a Security Target (ST), and may be taken from Protection Profiles (PPs). Vendors can then implement or make claims about the security attributes of their products, and testing laboratories can evaluate the products to determine if they actually meet the claims. In other words, Common Criteria provides assurance that the process of specification, implementation and evaluation of a computer security product has been conducted in a rigorous and standard and repeatable manner at a level that is commensurate with the target environment for use. Common Criteriains a list of certified products, including operating systems, access control systems, databases, and key management systems. Key concepts Common Criteria evaluations are performed on computer security products and systems. Target of Evaluation (TOE
Los Criterios Comunes para la Evaluación de la Seguridad de la Tecnología de la Información (referidos como Criterios Comunes o CC) son una norma internacional (ISO/IEC 15408) para la certificación de seguridad informática. Actualmente se encuentra en la versión 3.1.5 de la revisión. Los Criterios Comunes son un marco en el que los usuarios de sistemas informáticos pueden especificar sus requisitos de funcionalidad y garantía de seguridad (SFRs y SARs respectivamente) en un Target de Seguridad (ST), y pueden ser tomados de los Profiles de Protección (PPs). Los proveedores pueden implementar o hacer reclamaciones sobre los atributos de seguridad de sus productos, y los laboratorios de pruebas pueden evaluar los productos para determinar si realmente cumplen las reclamaciones. En otras palabras, los Criterios Comunes proporcionan la garantía de que el proceso de especificación, implementación y evaluación de un producto de seguridad informática se ha llevado a cabo de manera rigurosa y repetible a un nivel que sea proporcional al entorno objetivo para su uso.