Criterios comunes (Common Criteria) — certificación

Common Criteria (ISO/IEC 15408) es un marco internacional para la evaluación independiente de las características de seguridad de los productos de tecnología de la información. La evaluación se lleva a cabo en función de las afirmaciones que hace un producto en su documento de objetivos de seguridad y el resultado es un nivel de garantía de evaluación (EAL 1-7). Gracias al Acuerdo de Reconocimiento de Criterios Comunes (CCRA), los certificados son mutuamente reconocidos entre los países participantes.

• Fabricantes de tarjetas inteligentes, elementos seguros y HSM
• Fabricantes de dispositivos de seguridad de red (firewall, VPN)
• Desarrolladores de sistemas operativos y bases de datos.
• Fabricantes de productos TI en el ámbito de la contratación pública y de defensa
• Fabricantes de chips de identificación electrónica y pasaporte

Generalmente no es obligatorio; a menudo se requiere en la contratación pública y de defensa. En algunos sectores (por ejemplo, tarjetas de pago, identificación electrónica) es efectivamente obligatorio. La evaluación se lleva a cabo en un laboratorio acreditado y el certificado lo emite la autoridad del sistema nacional.

• Definición del objetivo de evaluación (TOE) y sus límites
• Seleccionar un perfil de protección (PP) o preparar un objetivo de seguridad (ST)
• Requisitos funcionales de seguridad (SFR): autenticación, control de acceso, soporte criptográfico, auditoría, protección de datos
• Requisitos de garantía de seguridad (SAR): desarrollo, documentos de orientación, soporte del ciclo de vida, pruebas, evaluación de vulnerabilidad
• Niveles de garantía de evaluación (EAL 1-7) y justificación de la elección
• Análisis de vulnerabilidad y pruebas de penetración (profundizando con el nivel)
• Evaluación en un laboratorio acreditado (ITSEF)
• Certificación por parte de la autoridad del sistema nacional
• Mantenimiento de certificados y evaluación de actualizaciones de productos.

1. 1Aplicación y descripción del productoSe determina la familia de productos, lista de modelos, especificaciones técnicas y mercado objetivo. La norma aplicable y la ruta de certificación quedan claras en este paso.
2. 2Revisión de expediente técnicoSe examinan los documentos de diseño, la lista de materiales, los certificados de componentes críticos y las instrucciones de uso.
3. 3Pruebas de productosSe realizan los ensayos que exige la norma correspondiente. El informe de prueba es la base fundamental para la decisión de certificación.
4. 4Auditoría de fábricaSi el esquema lo requiere, se verifica en sitio la continuidad de la fabricación y el control de producción en fábrica (FPC).
5. 5Expedición del Certificado y MarcadoUna vez verificada la conformidad, se emite el certificado; Se aplican las reglas de marcado del producto y embalaje.
6. 6Auditorías de seguimientoDependiendo del esquema, se realizan auditorías periódicas de fábrica y/o pruebas de seguimiento de muestras tomadas del mercado.

El período de validez varía según el esquema: algunos certificados de productos son indefinidos y dependen de auditorías periódicas de fábrica, mientras que algunos esquemas (por ejemplo, marcas de mercado de países) requieren una renovación anual o por envío. Cada cambio de diseño del producto requiere la revisión del certificado.

• La lista de modelos y variantes de productos.
• Dibujos técnicos, diagramas y lista de materiales.
• Certificados para componentes críticos.
• Las instrucciones de uso y una etiqueta de muestra.
• Informes de prueba existentes, si los hubiera
• Detalles del sitio de producción

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

• El número de modelos y variantes de la familia de productos.
• El alcance de la prueba que requiere la norma aplicable.
• Si se requiere una auditoría de fábrica
• El número de mercados objetivo y si cada uno requiere pruebas por separado.
• Si se pueden aceptar los informes de prueba existentes

La certificación del producto se realiza bajo ISO/IEC 17065; Las pruebas que forman la base de la certificación se llevan a cabo en laboratorios con acreditación ISO/IEC 17025. Los dos ámbitos están separados. El reconocimiento entre organismos de acreditación se proporciona a través de acuerdos IAF e ILAC.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

• IEC 62443Ciberseguridad en automatización industrial
• Cybersecurity AssessmentEvaluación de ciberseguridad
• ISO/IEC 27001Gestión de seguridad de la información
• ISO/IEC 27017Seguridad en la nube
• ISO/IEC 27018Datos personales en la nube
• ISO/IEC 27701Gestión de la información de privacidad
• ISO/IEC 42001Sistema de gestión de inteligencia artificial
• SOC 1Controles de informes financieros