Evaluation Assurance Level (EALx)

Evaluation Assurance Level (EAL), bir ürünün veya sistemin güvenlik gereksinimlerinin ne kadar derinlikli ve sistematik şekilde değerlendirildiğini gösteren bir güvence seviyesidir. EAL, yalnızca “güvenlik testi yapıldı” demek değildir; ürünün tasarımından geliştirme sürecine, dokümantasyonundan test yöntemlerine kadar bütüncül bir değerlendirmenin yürütüldüğünü ifade eder.

EAL seviyesi yükseldikçe, incelemelerin kapsamı ve doğrulama derinliği artar. Bu nedenle EAL, “ürün güvenli mi?” sorusundan çok, bu güvenliğin hangi kanıtlarla ve hangi metodolojiyle doğrulandığını anlatan bir göstergedir.

EAL sertifikasyonu, bir ürünün belirli bir güvence seviyesinde değerlendirildiğinin ve bu değerlendirmenin uluslararası kabul görmüş yaklaşımlarla yapıldığının resmi olarak belgelendirilmesidir. Buradaki temel değer, güvenliğin yalnızca beyan edilmesi değil; bağımsız ve yapılandırılmış bir değerlendirme süreciyle doğrulanmasıdır.

Özellikle kritik iş süreçleri, kamu projeleri veya regüle sektörlerde EAL sertifikasyonu, teknik karar vericiler açısından güçlü bir güven göstergesi olarak konumlanır.

EAL seviyeleri, değerlendirmenin derinliğini ve sağlanan güvence seviyesini ifade eder. Seviye yükseldikçe; dokümantasyon incelemesi, tasarım doğrulaması, test kapsamı ve metodolojik disiplin artar.

EAL1–EAL2 daha temel doğrulama seviyelerini temsil ederken, EAL3–EAL4 tasarım ve geliştirme sürecinin daha detaylı değerlendirildiği seviyelerdir. EAL5–EAL7 ise çok yüksek güvenlik gerektiren, kritik ve hassas sistemler için daha kapsamlı doğrulama adımlarını içerir. Seviye arttıkça süre, maliyet ve teknik derinlik artar; buna karşılık sağlanan güvence de belirgin biçimde yükselir.

EALx ifadesi, standart EAL seviyelerine ek olarak ürüne özel güvenlik gereksinimlerinin de değerlendirildiğini gösterir. Buradaki “x”, standart değerlendirmenin kapsamının genişletildiğini ifade eder.

Bu yaklaşım, özellikle standart EAL seviyelerinin tek başına yeterli olmadığı ve projeye özel güvenlik beklentilerinin bulunduğu durumlarda tercih edilir. Özetle EALx, “standart değerlendirmenin üzerine ek doğrulamalar” anlamına gelir.

EAL sertifikasyonu, güvenliğin bir iddia değil; somut şekilde doğrulanmış bir çıktı olmasını sağlar. Özellikle yüksek riskli sistemlerde, güvenlik açıklarının canlı ortamda veya entegrasyon sonrası ortaya çıkması operasyonel ve hukuki olarak ciddi sonuçlar doğurabilir.

Sertifikasyon süreci; ürünün güvenlik hedeflerinin, geliştirme disiplininin ve doğrulama adımlarının belirli bir standarda göre yürütüldüğünü göstererek hem teknik riski azaltır hem de karar vericilere güvenli bir referans zemini sunar.

EAL sertifikası genellikle güvenlik fonksiyonu barındıran ürünler ve kritik sistem bileşenleri için alınır. Örneğin güvenlik duvarları, kriptografik modüller, işletim sistemleri, kimlik ve erişim bileşenleri, akıllı kartlar ve güvenli iletişim çözümleri bu kapsamda değerlendirilebilir.

Ayrıca kritik altyapılarda kullanılan yazılım ve donanımlar için de EAL değerlendirmesi talep edilebilir. Değerlendirme kapsamı, ürünün güvenlik hedeflerine ve kullanım senaryosuna göre netleştirilir.

EAL değerlendirmesi; güvenlik mimarisi, erişim kontrolleri, kriptografik mekanizmalar, hata yönetimi, güvenli yapılandırma ve güvenli güncelleme süreçleri gibi temel güvenlik alanlarını kapsayabilir.

Bununla birlikte yalnızca ürünün “ne yaptığı” değil, “nasıl geliştirildiği” de değerlendirilir. Dokümantasyon, geliştirme süreçleri, test planları ve doğrulama çıktıları belirli bir disiplin içinde incelenerek güvence seviyesi ortaya konur.

Common Criteria (CC), EAL değerlendirmelerinin dayandığı uluslararası standart çerçevesidir. CC, ürünlerin hangi prensiplerle ve hangi metodolojiyle değerlendirileceğini tanımlar.

EAL ise bu çerçeve içinde, değerlendirme sürecinin hangi güvence seviyesinde yürütüldüğünü gösterir. Kısacası CC “nasıl değerlendirileceğini”, EAL ise “ne seviyede değerlendirildiğini” ifade eder.

Hayır, aynı şey değildir. ISO 27001 bir yönetim sistemi standardıdır ve kurumun bilgi güvenliğini nasıl yönettiğine, süreçlerine ve kontrollerine odaklanır. EAL ise bir ürün veya sistemin güvenlik güvencesinin değerlendirilmesidir.

ISO 27001 “kurum güvenliği nasıl yönetiyor?” sorusuna cevap verirken, EAL “ürün/sistem güvenlik hedefleri hangi seviyede doğrulandı?” sorusunu yanıtlar. Bu iki yaklaşım çoğu kurumda birbirini tamamlar.

EAL sertifikası her senaryoda yasal olarak zorunlu değildir. Ancak kamu ihaleleri, savunma projeleri, kritik altyapı çalışmaları veya yüksek güvenlik beklentisi olan müşteri/iş ortaklıklarında sıklıkla bir ön koşul ya da güçlü bir değerlendirme kriteri olarak talep edilebilir.

Özellikle “ürünün güvenliği bağımsız olarak kanıtlanmalı” beklentisinin olduğu projelerde EAL sertifikasyonu, teknik uygunluk ve güvenilirlik açısından önemli bir referans sağlar.

Süreç genellikle kapsamın ve hedef güvence seviyesinin belirlenmesiyle başlar. Ardından ürünün güvenlik hedefleri netleştirilir; dokümantasyon, mimari ve tasarım artefaktları değerlendirilir. Devamında test planları ve doğrulama adımları yürütülür; bulgular kayıt altına alınır.

Değerlendirme, disiplinli bir raporlama ve doğrulama yaklaşımıyla ilerler. Amaç; hem güvenlik özelliklerinin hem de bu özellikleri destekleyen geliştirme ve test süreçlerinin tutarlılığını ve kanıtlanabilirliğini ortaya koymaktır.

Süre, hedeflenen EAL seviyesine ve ürünün karmaşıklığına göre değişir. Daha düşük seviyelerde süreç daha kısa planlanabilirken, yüksek seviyelerde dokümantasyon, doğrulama adımları ve test kapsamı arttığı için süreç belirgin şekilde uzar.

Bu nedenle gerçekçi bir zaman planı için ürün kapsamı, hedef seviye ve hazırlık olgunluğu başlangıçta netleştirilmeli; sertifikasyon hedefi proje takvimine doğru şekilde entegre edilmelidir.

Birçok kamu ve savunma projesinde EAL sertifikasyonu doğrudan istenebilir veya güçlü bir tercih kriteri olarak değerlendirilir. Bu tür projelerde güvenliğin “kanıtlanabilir” olması kritik bir beklentidir.

EAL, ürünün belirli bir metodolojiyle değerlendirildiğini gösterdiği için, tedarik ve kabul süreçlerinde güvenilir bir referans çerçevesi sağlar.

EAL değerlendirmesi hem yazılım hem de donanım için uygulanabilir. Değerlendirme, ürünün güvenlik fonksiyonlarını nasıl sağladığına ve bu fonksiyonların hangi kanıtlarla doğrulandığına odaklanır.

Bu nedenle değerlendirme kapsamı; ürünün mimarisi, güvenlik hedefleri ve kullanım senaryosuna göre şekillenir. Bazı ürünlerde yazılım ağırlıklı, bazılarında donanım ve yazılım birlikte ele alınabilir.

Evet, özellikle daha yüksek EAL seviyelerinde kaynak kod incelemesi değerlendirme sürecinin önemli bir parçası olabilir. Bu inceleme, güvenlik fonksiyonlarının gerçekten iddia edildiği şekilde uygulanıp uygulanmadığını doğrulamak açısından değerli bir kontroldür.

Kaynak kod incelemesinin kapsamı ve derinliği, hedeflenen güvence seviyesine ve ürünün güvenlik kritik bileşenlerine göre belirlenir.

EAL sertifikası, ürünün güvenliğinin belirli bir seviyede değerlendirildiğini göstererek pazarda güvenilirlik sağlar. Bu, özellikle kamu, savunma ve regüle sektörlerde ürünün tercih edilebilirliğini artırabilir.

Ayrıca kurum içinde güvenli geliştirme disiplinini güçlendirir, dokümantasyon ve test olgunluğunu artırır. Uzun vadede bu yaklaşım, daha az güvenlik açığı ve daha az “acil düzeltme” ihtiyacı anlamına gelir.

EAL, Common Criteria (CC) çerçevesinde uluslararası tanınırlığa sahip bir yaklaşımdır. Bu sayede ürünlerin farklı ülkelerde ve pazarlarda güvenlik açısından değerlendirilmesi ve kabul görmesi kolaylaşabilir.

Ancak sertifikanın hangi otorite/laboratuvar üzerinden alındığı ve hedef pazarın kabul mekanizmaları önemlidir. Bu nedenle hedef ülke/pazar beklentileri dikkate alınarak doğru sertifikasyon stratejisi belirlenmelidir.