Las listas de productos TIC en España

Una forma de hacer destacar sobre la competencia y dar valor a un producto o sistema TIC, es demostrar la capacidad de este para manejar información de forma segura, que sea ciberseguro, y para ello lo más recomendable es que un tercero certifique el producto de acuerdo a los diferentes estándares de ciberseguridad.

En España, es el Centro Criptográfico Nacional (CCN) el organismo asignado expedir la aprobación de ciberseguridad en sus diferentes estándares. En el CCN podemos encontrar, entre otras, las siguientes partes integradas: el Organismo de Certificación (OC) y el Catálogo CPSTIC.

¿Qué es el Organismo de Certificación y qué funciones realiza?

Por un lado tenemos el Organismo de Certificación español, que tras el informe de evaluación de un laboratorio acreditado y otras pruebas, expide un certificado garantizando que un producto cumple los requisitos de seguridad de una norma (LINCE, Common Criteria, ISO15408/ISO18045, etc…) de acuerdo a unas especificaciones concretas de seguridad. Estas especificaciones de seguridad del producto o sistema vienen detalladas en la Declaración de Seguridad. La Declaración de Seguridad debe ser pública para permitir conocer al consumidor qué se ha probado exactamente y contra qué metodología. Hay tres tipos de certificación: Funcional, Criptológica y TEMPEST.

Este organismo publica todos los productos certificados en un Listado de productos certificados por el Organismo de Certificación español que se divide en 50 categorías.

Es importante tener en cuenta que existen otros muchos Organismos de Certificación distintos al español que realizan esta misma labor de certificar productos, existiendo acuerdos de reconocimiento mutuo de manera que, si un producto está certificado en España, puedes hacer valer su certificado en otros países, y viceversa. Para más información se puede consultar la lista de todos los productos certificados Common Criteria

La Declaración de Seguridad se encuentra publicada en el Listado de Productos Certificados, es obligatoria su publicación a excepción que sea un producto clasificado, pero si el producto se certifica fuera de España, debemos remitirnos a la web de Common Criteria.

Catálogo de productos CPSTIC

Por otro lado, tenemos al Catálogo CPSTIC, de más reciente creación y que publica un Listado de Productos de Seguridad TIC. La finalidad última del catálogo es que los responsables de compras no tengan que revisar las Declaraciones de Seguridad de cada producto para ver si un producto se adecua a sus necesidades, de manera que el equipo del CPSTIC se implica en la aprobación de las Declaraciones de Seguridad de los productos. Hay que tener en cuenta que, si un producto maneja información clasificada o va a ser adquirido y utilizado por los organismos públicos o empresas privadas que están bajo el Esquema Nacional de Seguridad ENS, necesita que esté incluido en el catálogo CPSTIC.

También el Catálogo CPSTIC realiza una labor de actualización y seguimiento de que los productos incluidos en el catálogo siguen manteniendo sus características de seguridad pese a las nuevas amenazas que aparecen.

El catálogo CPSTIC consta de dos listados:

- El Listado de Productos Cualificados: Recopila los productos que pueden ser usados para el manejo de información sensible bajo el Esquema Nacional de Seguridad (ENS). Los productos de esta lista con clasificación “ALTA”, podrán emplearse en sistemas clasificados como ENS de cualquier categoría, mientras que los productos con clasificación “MEDIA” no pueden ser empleados en sistemas clasificados como ENS categoría ALTA, pero si en MEDIA y BASICA.

En este listado, los productos también se clasifican en Categorías (las categorías de las listas del CPSTIC no están alineadas con las categorías del listado de productos certificados) y familias según las taxonomías de referencia que podemos encontrar en la Guía CCN-STIC 140.

Para cada categoría, Aquí puede encontrar el enlace a los Requisitos Fundamentales de Seguridad (RFS) publicados como anexos aquí.

A veces el certificado expedido para un producto puede no abarcar todas las RFS del anexo aplicable, por lo que el CCN puede exigir que un laboratorio acreditado realice justificaciones profundas o pruebas complementarias.

Puedes encontrar aquí la Lista de Productos Cualificados

- Listado de Productos Aprobados: si un producto maneja información clasificada nacional o de propiedad de otros países u organizaciones internacionales (como OTAN o Unión Europea) este listado es en donde debe aparecer publicado. La información clasificada puede ser de los siguientes tipos: Difusión Limitada, Confidencial, Reservado y Secreto. Los productos aprobados están agrupados en las categorías de: control de acceso, seguridad en la explotación, protección de las comunicaciones, monitoreo de seguridad, protección de la información y soportes de información, protección de equipos y servicios, comunicaciones tácticas seguras y TEMPEST. Puedes encontrar aquí la lista de Productos Aprobados

Tanto para entrar en el Catálogo de Productos Cualificados como para acceder Catálogo de Productos Aprobados es necesario que tu producto o sistema tenga una certificación de ciberseguridad (por ejemplo LINCE o Common Criteria). Desde jtsec recomendamos la certificación LINCE para productos de nivel TIC medio o bajo y la certificación Common Criteria para el nivel alto.

LINCE es una certificación “ligera” y práctica, apta para cualquier empresa, también para las pequeñas empresas que quieren dar difusión a sus primeros productos o filiales españolas de multinacionales. De hecho, jtsec es el primer laboratorio acreditado por ENAC y el CCN para evaluar la seguridad de productos TIC según la metodología LINCE.

Una vez que un producto entra en el catálogo, se requiere que presente en 6 meses (para el caso de Productos Cualificados) o inmediatamente (para el caso de Producto Aprobados) una Guía de Procedimiento de Empleo Seguro, que aparecerá publicada, junto al producto, en la web del cátalogo CPSTIC.

Productos certificados en el Catálogo de Seguridad CPSTIC