Welke uitspraak beschrijft het idee van compositie juist, dat wordt benadrukt in PSA Certified en SESIP, certificeringskaders voor de beveiliging van IoT-apparaten?

Antwoord: A. Wanneer een product wordt gebouwd op een gecertificeerde chip of root of trust, worden de resultaten van die evaluatie hergebruikt, en wordt de apparaatfabrikant vooral geëvalueerd op de delen die hij heeft toegevoegd

Er bestaan veel soorten IoT-apparaten, en elk apparaat afzonderlijk door een zware evaluatie zoals Common Criteria laten gaan, kost veel geld en tijd. PSA Certified (een kader van onder meer Arm, gestart in 2019) en SESIP, vastgelegd door GlobalPlatform (een evaluatiemethode die later ook de Europese norm EN 17927 werd), volgen een compositionele aanpak: elke laag, zoals de chip, de root of trust en het OS, wordt geëvalueerd, en hogere lagen bouwen hun evaluatie voort op die resultaten. Zo kunnen apparaatfabrikanten gecertificeerde onderdelen kiezen en zich concentreren op de evaluatie van wat ze zelf hebben toegevoegd. Certificering van lagere lagen garandeert echter niet de veiligheid van hogere lagen, dus moeten de hogere lagen worden geëvalueerd en moeten de gebruiksvoorwaarden van de onderdelen worden nageleefd.