Hace unos días finalizamos 2022, comenzando un 2023 muy ilusionante por parte de todo el equipo de jtsec, en el que no dudamos que habrá proyectos y retos muy interesantes. Echando la vista al año que ha terminado, hemos visto la increíble evolución que la metodología LINCE ha tenido y el más que significativo número de soluciones incluidos en el catálogo CPSTIC / CCN-STIC 105. Por ello, nos gustaría hacer un breve resumen de nuestra humilde contribución en este punto.
Número de productos incluidos en catálogo en 2022 y evaluados por jtsec
Un total de 22 productos han sido incluidos en el catálogo y previamente evaluados por jtsec, es una gran alegría por nuestra parte poder colaborar con compañías de la talla de Stormshield, Deciso V.B, Autek, Instituto CIES, Sidertia, Proofpoint, Check Point, Defense Balance, AWS, Dinosec o Huawei, entre otros, para la evaluación de sus productos.
Existen diferentes métodos de que un producto se incluya en el catálogo CSPTIC / CCN STIC-105:
Certificación Common Criteria : Este tipo de certificación es la más reconocida a nivel internacional. Los productos que previamente han obtenido dicha certificación y cumplen con los requisitos de seguridad de la taxonomía a la que aplique, son incluidos en el catálogo.
Certificación LINCE : Es una opción que se adapta a las necesidades para cumplir con los requisitos del mercado nacional. Una gran cantidad de los productos que hoy se encuentran en el catálogo han obtenido una certificación LINCE. Ésta se hace sobre una versión concreta y la evaluación se hace en la modalidad on premise.
Evaluación STIC: Se aplica a servicios desarrollados nativamente en la nube, por lo que no cuentan con una versión on premise que se pueda certificar. Este tipo de soluciones no pueden obtener certificación, pero sí cualificación para poder entrar en el catálogo. Este año han sido 7 las soluciones STIC en la nube cualificadas por jtsec. Todo un éxito teniendo en cuenta que el anexo G que aplica a “Servicios en la nube” se publicó hace menos de dos años.
STIC Complementaria: Se basa en ciertas pruebas adicionales que se deben realizar a algunos productos que han obtenido previamente la certificación Common Criteria para poder ser incluidos el catálogo CPSTIC / CCN STIC-105. De esta forma no se ha de realizar una evaluación completa, únicamente realizar algunos tests que requiera el propio catálogo.
Test de Penetración: Para las categorías dentro de la taxonomía “Productos y servicios de conformidad y gobernanza de la seguridad”, el acceso a la misma no requiere realizar una Declaración de Seguridad y superar una evaluación LINCE, pero sí superar unas pruebas de penetración para verificar que la herramienta cumple con unos mínimos de seguridad.
Catálogo CPSTIC / CCN STIC-105, la familia crece
Los retos afrontados por parte del catálogo han sido varios durante este 2022, por parte de jtsec contamos con algunos hitos destacables como son:
Primera solución incluida en el catálogo y evaluada por jtsec en la familia "Herramientas de videoidentificación”, ElectronicID VideoID High Solution, desarrollada por Electronic ID.
Primer producto incluido en la familia Gobernanza y Planificación de la Seguridad, ANA, desarrollado por el Centro Criptológico Nacional.
Primeros dos productos incluidos en la familia Formación y Concienciación de Ciberseguridad : PSAT – Proofpoint Security Awareness Training (Proofpoint) y Smartfense (Defense Balance).
Primer producto incluido en familia "Herramientas de videoconferencia” , PEXIP Infinity, desarrollado por PEXIP.
Además de estos hitos, este 2022 hemos cualificado soluciones en diferentes familias como son:
Pasarela segura de intercambio de datos
Dispositivos de Red Inalámbricos
Dispositivos para gestión de claves criptográficas
Gestión de identidades (IM)
Otras herramientas
EPP (Endpoint Protection and Platform)
EDR (Endpoint Detection and Response)
Cifrado y compartición segura de información
Sistemas de gestión de eventos de seguridad (SIEM)
Redes Privadas Virtuales - IPSEC
Linces apadrinados
En jtsec colaboramos con la conservación del Lince ibérico, por ello, por cada nuevo cliente que incluye un producto o servicio en el catálogo, adoptamos un lince ibérico de forma simbólica, contribuyendo con la ONG WWF. Este año estamos súper orgullosos de haber apadrinado a 11 linces ibéricos.
Conferencias sobre la metodología LINCE
Durante este año hemos tenido la oportunidad de participar en diferentes eventos y exponer nuestro punto de vista sobre diferentes temáticas relacionadas con la metodología LINCE y el catálogo CPSTIC / CCN STIC-105, de entre los que nos gustaría destacar:
XVI Jornadas CCNCERT, “España y CCN como referentes en la evaluación de ciberseguridad de soluciones en la nube”
XVI Jornadas CCNCERT, “Evolucionando la Evaluación Criptográfica”
16 ENISE, “¿Cómo incluir productos y servicios en el catálogo CPSTIC (CCN-STIC 105)?
Número de evaluaciones iniciadas en 2022 y previsiones para 2023
Un total de
59 procesos de evaluación hemos iniciado en 2022, un número bastante destacable que pone de manifiesto dos puntos de vista importantes: el primero de ellos es la preocupación de los fabricantes por desarrollar productos y servicios que cumplan unos estándares mínimos de ciberseguridad y, por otro, el interés de la Administración Pública por la adquisición de productos ciberseguros incluidos en el catálogo.
Todo ello, nos ofrece un horizonte en el que la empresa pública, privada y Administración Pública apuestan por adquirir productos y servicios ciberseguros.
