BT Ürün Güvenliği – Ortak Kriterler Belgelendirmesi

Ortak Kriterler başvurusu, ürün için genel bir “güvenlidir” yazısı alma işlemi değildir. Ürünün tanımlanan kapsamı, güvenlik hedefi ve değerlendirme planı üzerinden yürür. Ürün geliştiricisi, sponsor ve laboratuvarın dosyadaki görevleri başvuru öncesinde belirlenmelidir.

Ürün değerlendirmesini yönetim sistemi belgesinden ayırın

TSE, ulusal Ortak Kriterler şemasını TS EN ISO/IEC 15408 ve TS EN ISO/IEC 18045 temelinde açıklar. Ağ güvenlik ürünleri, kriptografik cihazlar, akıllı kartlar, işletim sistemleri ve güvenlik yazılımları örnek kapsamlar arasındadır. TSE Ortak Kriterler, Bilgi

Kuruluşun bilgi güvenliği belgesi, değerlendirmeye girecek ürünün modeli ve güvenlik hedefi yerine geçmez. Hazırlıkta ürünün tam adı, sürümü, değerlendirilecek bileşenleri ve kullanım bağlamını yazın; pazarlama broşüründeki bütün özellikleri otomatik değerlendirme kapsamı kabul etmeyin.

Başvurudan önce lisanslı laboratuvarla planı oluşturun

Hizmet sayfasından bağlı BTBD-03-01-YYN-03 yayınına göre başvuran geliştirici veya sponsor, OKBS lisanslı laboratuvar seçmiş, değerlendirme sözleşmesini yapmış ve imzalı değerlendirme iş planı ile laboratuvar beyanını almış olmalıdır. Başvuru Bilgilendirme Yayını, 17.08.2020/3, 3.1, s.1–2

Bu sıra, başvuru portalından önce teknik ve sözleşmesel hazırlık bulunduğunu gösterir. Laboratuvarın güncel onay durumunu hizmet sayfasındaki listeden kontrol edin. İş planının teslimleri ile kendi geliştirme takviminizi eşleştirin; henüz hazır olmayan sürümü tamamlanmış gibi göstermeyin.

Teknik ve idari ekleri ayrı izleyin

Yayın, güvenlik hedefi dokümanı, değerlendirme iş planı, kabul/gizlilik sözleşmesi ve laboratuvar değerlendirme beyanını sayar. Yasal statü, imza yetkisi ve marka bilgileri de başvuru eklerindedir; başvuran ile üretici farklıysa aralarındaki sözleşme istenir. Başvuru Bilgilendirme Yayını, 3.1, s.2–5

Güvenlik hedefini satış sunumuna çevirmeyin. Hangi ürünün hangi iddiasının değerlendirileceğini anlaşılır tutun. Başvuru formundaki tüzel kişiyle teknik dosyadaki ürün sahibinin ilişkisini gösterin. Belge 2020 revizyonuyla hizmet sayfasında sunulmaktadır; eski tutarları güncel ücret kabul etmeyin.

İmza, süreç durumu ve tanınma kapsamını kontrol edin

Başvuru yayını yetkili ıslak imza veya e-imza onayı ister; e-imzasız elektronik ilk başvuruda imzalı basılı belgeler talep edilir. Güncel hizmet sayfası başvuru portalını ve uluslararası tanınma yayını ile ürün takip listesini gösterir. Başvuru Bilgilendirme Yayını, 3.1, s.2 TSE Ortak Kriterler, Dokümanlar ve Başvuru

Bir projenin değerlendirmede listelenmesiyle verilmiş ve kullanılabilir sertifikayı ayırın. Dış pazar için tanınma iddiasında hedef ülke ve istenen güvence kapsamını ayrıca kontrol edin. Temel seviye güvenlik değerlendirmesi farklı kriterle yürür; iki yolu eşdeğer sertifika diye sunmayın.

Laboratuvar adı kadar lisans kapsamını da kontrol edin

3 Haziran 2026 revizyonlu OKBS listesi, laboratuvarların geçici ve sürekli lisans tarihlerini ayrı gösterir. Listeyi yalnız bir isim rehberi olarak kullanmayın. 27 Mart 2025 tarihli lisanslama yayını, ISO/IEC 17025 akreditasyonunun Ortak Kriterler kapsamıyla TSE lisansını birlikte ele alır; laboratuvarın değerlendirme ve lisans genişletme kapsamı akreditasyon kapsamını aşamaz. OKBS onaylı laboratuvarlar listesi; Lisanslama yayını, sayfalar 1–4

Ürününüz için görüşürken hedeflenen değerlendirme seviyesi, ilgili teknoloji ve işi yapacak ekibin kapsamını birlikte konuşun. Bir kuruluşun genel bilişim test listesinde yer alması, bütün Ortak Kriterler ürünlerini ve seviyelerini değerlendirme yetkisi anlamına gelmez. Ayrıca laboratuvarın lisanslanma şartlarını ürün üreticisinin başvuru ekleri gibi dosyanıza aktarmayın.

İş planı yalnız başlangıç ve bitiş tarihinden oluşmaz

Değerlendirme İş Planları yayını, ürüne atanan değerlendiricinin teknolojiye ilişkin yetkinliğini ve ayrılan sürenin gerçekçiliğini kabul değerlendirmesine dahil eder. Planın aylık durum raporlarındaki ekip ve çalışmalarla tutarlı olması da beklenir. Bu nedenle ürünün hazır oluş tarihini, doküman teslimlerini ve test hazırlığını laboratuvarla birlikte planlayın. BTBD-03-01-YYN-06, 30.09.2020/0, sayfalar 1–2

Başvuru yayını; başlangıç toplantısı, testlerden önce ürün eğitim toplantısı, güvence seviyesine bağlı geliştirme ortamı ziyareti ve değerlendirme raporlarının incelenmesini açıklar. Ürün ekibinin sorulara yanıt vereceği kişileri ve hazır olmayan teslimleri planda görünür yapın. Henüz geliştirilmemiş bir işlevi bitmiş kanıt gibi sunmayın. Başvuru Bilgilendirme Yayını, sayfalar 6–8

Durum Raporları yayını devam eden değerlendirmesi bulunan laboratuvarın aylık raporunu düzenler; 2025 lisanslama metni de aylık proje durum tablosu ve toplantıyı ele alır. Bunlar ürün başvuru sahibinin kendi adına her ay dolduracağı ortak bir TSE formu değildir. İş planınızın laboratuvarın proje takibiyle nasıl eşleşeceğini belirleyin. Durum raporları yayını, sayfalar 1–2; Lisanslama yayını, sayfalar 6–7

Geliştirici desteği testin yürütülmesiyle aynı şey değildir

29 Mart 2021 tarihli Test Süreçleri yayınına göre geliştirici, test planı hazırlanmadan önce teçhizatın kullanımını açıklayan doküman ve destek sağlayabilir. Ancak test uygulanırken fiziksel, uzaktan, yazılı veya sözlü müdahalede bulunamaz. Üretici teçhizatı kullanılması onaylandığında da testleri değerlendirici bizzat yürütür; bu şartlara uyulmazsa testlerin tekrarı gündeme gelir. BTBD-03-01-YYN-08, sayfalar 1–2

Pratik olarak test günü gelmeden kullanım kılavuzunu ve gereken ön bilgileri tamamlamak yararlıdır. Satış demosunda üreticinin yönettiği başarılı bir senaryoyu bağımsız test sonucuyla aynı saymayın. Ürün ekibi ve laboratuvar, hazırlık desteğinin ne zaman sona erdiğini ve test sırasında kimin hangi rolü üstleneceğini önceden bilmelidir.

Beş yıllık idari süre, kesintisiz teknik güvence demek değildir

17 Ağustos 2020/3 başvuru yayını ilk düzenlemede idari geçerliliği 60 ay, teknik geçerliliği 20 ay olarak ayırır. Ara değerlendirmeler ile bakım işlemini de farklı süreçler olarak anlatır. Dolayısıyla yalnız “beş yıl geçerli” ifadesiyle ürünün bütün teknik takiplerinin bittiği sonucuna varılamaz. Başvuru Bilgilendirme Yayını, sayfalar 10–15

Kaynakta takvim tutarsızlığı var: Aynı yayın ikinci ara değerlendirmeyi belge tarihinden sonraki 37–43. aylar arasında açıklarken, ardından yenilenen teknik geçerliliği yine “b+40” olarak yazıyor. Askıdan dönüş bölümünde de geçmişte kalan süre ifadeleri bulunuyor. Bu rehber bunları tahminle 60 aya çevirmiyor. Ürününüzün geçerli sertifikası, güncel program metni ve OKBS'nin yazılı takvimini birlikte esas alın; bu PDF'den otomatik bir yenileme takvimi üretmeyin. Başvuru Bilgilendirme Yayını, sayfalar 12–14

Uluslararası tanınmayı sürüm ve kapsamla birlikte değerlendirin

TSE'nin 29 Temmuz 2015 tarihli tanınma yayını, ürün sürümünü, güvenlik hedefini, belgelendirme raporunu ve kullanım koşullarını birlikte kontrol etmeyi açıklar. Belge hangi ülkede verilmişse oradaki geçerlilik durumunun kontrolü de önemlidir. Aynı yayındaki 2003 anlaşmasına ilişkin EAL4 açıklamasını, bugünkü tüm EAL1–7 belgelerinin her ülkede aynı şekilde tanındığına dönüştürmeyin. Uluslararası Ortak Kriterler Belgelerinin Tanınması Yayını, sayfalar 1–3

Listeleme tercihi de yalnız tanıtım konusu değildir: yayın, gerekli bilgilerin yayımlanmasının reddedildiği durumda uluslararası Ortak Kriterler logosunun kullanılamamasını açıklar. Müşterinin şartıyla gerçek belgeyi karşılaştırırken ürünün adı yanında sürümünü, kapsamını, statüsünü ve sunulan raporları kontrol edin. Eski belgenin kopyasını yeni sürümün belgesi gibi göstermeyin. Tanınma yayını, 3.4–3.5, sayfa 2