La Estrategia de Cualificación Continua concierne principalmente a aquellos fabricantes y/o desarrolladores que ya cuenten con un producto en el Catálogo y cuya versión se haya quedado obsoleta al desarrollarse versiones posteriores y deseen que éstas formen parte del catálogo.
¿Qué es la Estrategia de Cualificación Continua y cómo afecta a los productos ya certificados?
Actualmente, los fabricantes se encuentran en continuo desarrollo y mejora de sus productos. Por ello, a la hora de obtener una certificación (proceso que puede durar varios meses), el producto ya cuenta con versiones posteriores a la certificada, creando así un desfase entre versiones que el fabricante está desarrollando y la versión que aparece en el catálogo.
Para solucionar este tipo de desajustes, CCN creó la Estrategia de Cualificación Continua, para mantener el catálogo CPSTIC, CCN-STIC 105 lo más actualizado posible, agilizando así la cualificación e inclusión de los productos en dicho catálogo. Este proceso consiste en evaluar las versiones de software, firmware o modelos de hardware no incluidos en la certificación inicial sin necesidad de llevar a cabo un proceso de evaluación completo.
Es un proceso de duración indefinida en el tiempo en el que se analizan nuevas versiones del producto. En el caso de que los cambios no afecten a la seguridad del producto, se escribe el Informe de Análisis Diferencial justificando que no es necesario hacer pruebas en la nueva versión del producto. Si los cambios afectan a la seguridad, se realiza una evaluación STIC complementaria sobre la funcionalidad de seguridad afectada.
Esto aplicaría a un gran número de fabricantes que crean diferentes versiones de un mismo producto cuyas diferencias son mínimas respecto al producto ya certificado.
¿Cuándo aplica la Cualificación Continua?
Existen varias razones de peso para que un fabricante desee aplicar la Cualificación Continua a su producto.
La cualificación continua aplicará en los siguientes casos que exponemos a continuación:
Caso de éxito de CrowdStrike, proceso de Cualificación Continua desde el punto de vista del fabricante.
CrowdStrike es una empresa estadounidense de tecnología de ciberseguridad con sede en Austin, Texas. Sus productos se basan en la protección de las áreas más críticas del riesgo empresarial -puntos finales y cargas de trabajo en la nube, identidad y datos- para mantener a los clientes por delante de los adversarios de hoy en día y detener las infracciones.
Actualmente cuenta con un producto incluido en el catálogo CPSTIC / CCN STIC – 105, el Falcon Sensor v.6.27.14102. Sin embargo, debido a la rápida evolución del producto, pronto quedó obsoleta dicha versión, por lo que decidieron aplicar la Cualificación Continua para incluir en el catálogo la última versión disponible, Falcon Sensor v.6.40
El proceso consistió en la realización de una Análisis de Impacto en los requisitos de seguridad (IAD Actualizado) con los cambios que se habían realizado entre ambas versiones y la comprobación de que la nueva versión no contenía modificaciones que afectasen al cumplimiento de los requisitos de seguridad incluidos en la certificación LINCE, por lo que no se tuvo que realizar ninguna prueba adicional para verificar la viabilidad de la nueva versión para entrar en el catálogo.
Desde jtsec damos la enhorabuena a CrowdStrike por la inclusión de la nueva versión de su producto Falcon Sensor y agradecemos su confianza en nosotros.
CrowdStrike es una empresa pionera a nivel nacional en la aplicación de la estrategia de cualificación continua, asegurando a sus clientes que podrán usar la última tecnología desarrollada por la empresa de manera segura.
❝Ofrecer a nuestros clientes la máxima seguridad en nuestros productos es clave para seguir generando confianza. Por eso decidimos incluir la última versión de nuestro producto estrella, el Falcon Sensor en el catálogo ciberseguridad de referencia para empresas y Administraciones Públicas. Gracias a jtsec, laboratorio que ya nos ayudó a obtener la certificación LINCE, este proceso ha sido bastante sencillo para CrowdStrikeAntonio Cortés, Public Sector Manager en CrowdStrike
¿Cómo puede jtsec ayudarle en la evaluación de sus productos de acuerdo con la Estrategia de Cualificación Continua?
En jtsec somos expertos en evaluaciones LINCE y Common Criteria, las dos metodologías aceptadas por el CCN para poder incluir productos en el Catálogo CPSTIC.El equipo de jtsec ofrece los siguientes servicios:
Si este es su caso y tiene cualquier duda, no dude en contactarnos, estaremos encantados de ayudarle.
