- La Guía CCN-STIC 140 está disponible en la parte pública del portal del CCN-CERT.
- El objetivo de este documento es establecer una taxonomía para la clasificación de productos de Seguridad TIC en torno a diversas categorías y familias, identificando su ámbito y alcance con el objeto de servir como base para la clasificación de productos incluidos en el apartado de Productos Cualificados del CPSTIC, de referencia en el sector público.
- Entre las actualizaciones, se encuentran también los anexos sobre EDR (Endpoint Detection and Response), las redes privadas virtuales, las copias de seguridad, las herramientas de gestión de dispositivos móviles y el anexo de las comunicaciones seguras en estos dispositivos.
El CCN ha sustituido la Guía CCN-STIC 140. Taxonomía de referencia para productos de Seguridad TIC, con el fin de actualizar la clasificación de productos en torno a diversas categorías y familias, como base para la ordenación de los Productos Cualificados incluidos en el Catálogo de Productos de Seguridad TIC (CPSTIC). El CPSTIC ofrece un listado de productos STIC de referencia, supervisado por el Centro Criptológico Nacional, CCN, con el que se pretende ofrecer un nivel mínimo de confianza al usuario final que compra dichos productos. Este catálogo incluye los Productos Aprobados para manejar información nacional clasificada y los Productos Cualificados de Seguridad TIC.
La guía cuenta con la actualización de varios anexos, disponibles también en la parte pública, sobre los siguientes temas: Endpoint Detection and Response (B2 RFS-EDR); redes privadas virtuales (D8 RFS-VPN). Además, se han publicado nuevos anexos, como el de las herramientas de gestión de dispositivos móviles –MDM-(B8 RFS-MDM); el anexo de herramientas para comunicaciones móviles seguras (D9 RFS-V1); y el de copias de seguridad (F5 RFS).
Para incluir un producto en el catálogo, el CCN tiene en cuenta una serie de criterios como la clasificación de la información que puede manejar (Difusión Limitada, Confidencial, Reservado, Secreto), las características de seguridad del producto, la categoría del sistema de información en el que puede emplearse −según lo definido en el Esquema Nacional de Seguridad (alta, media, básica)−, las certificaciones aportadas o el entorno donde se vaya a emplear, entre otras cuestiones. En función de esta información, se determinan las pruebas o evaluaciones que deberá superar el producto de seguridad TIC correspondiente.
La guía recoge seis categorías (Control de Acceso, Seguridad en la Explotación, Monitorización de la Seguridad, Protección de las Comunicaciones, Protección de las Información y Soportes de Información, Protección de equipos y servicios) y 36 familias, como sistemas operativos, herramientas anti-spam, tarjetas inteligentes, dispositivos biométricos o sistemas Honeypot.
CCN-CERT (13/07/2018)
Guía CCN-STIC 140. Taxonomía de referencia para productos de Seguridad TIC
