- La Guía CCN-STIC-140 está disponible en el portal del CCN.
- El documento incluye como anexos los Requisitos Fundamentales de Seguridad (RFS) para el Esquema Nacional de Seguridad en su categoría alta, media y básica, así como nuevas familias de productos (virtualización, control de acceso a red y gestión de acceso privilegiado).
- El CPSTIC es un listado de productos STIC de referencia, supervisado por el Centro Criptológico Nacional, CCN, que pretende proporcionar un nivel mínimo de confianza al usuario final, incluyendo los “Productos Aprobados” que se consideran adecuados para el manejo de la información clasificada y los “Productos Cualificados de Seguridad TIC”, que cumplen con los requisitos de seguridad exigidos para el manejo de información sensible en el ENS.
El Centro Criptológico Nacional (CCN) ha actualizado su Guía CCN-STIC 140. Taxonomía de referencia para productos de Seguridad TIC, en la que se establece una clasificación de productos en torno a diversas categorías y familias como base para la ordenación de los Productos Cualificados incluidos en el Catálogo de Productos de Seguridad TIC (CPSTIC).
Como principal novedad, la Guía amplía su alcance para contener, como anexos, los Requisitos Fundamentales de Seguridad (RFS) de familias de productos y servicios que forman parte de la arquitectura de seguridad de un sistema con categoría media o básica en el Esquema Nacional de Seguridad (ENS). Además, ha actualizado la taxonomía con nuevas familias de productos: virtualización, control de acceso a red y gestión de acceso privilegiado (PAM).
Por último, el documento ha incluido una nueva categoría para productos aprobados bajo la denominación de “protección entornos tácticos”. En ella se encuentran las familias de productos cuyo propósito principal es la protección de la información y las comunicaciones en entornos tácticos o desplegados.
Se recuerda que, para la inclusión de un producto en el CPSTIC, el CCN tiene en cuenta una serie de criterios como, la clasificación de la información que puede manejar (Difusión Limitada, Confidencial, Reservado, Secreto), las características de seguridad del producto, la categoría del sistema de información en el que puede emplearse según lo definido en el Esquema Nacional de Seguridad (alta, media, básica), las certificaciones aportadas, el entorno donde se vaya a emplear, etc. En función de esta información, se determinarán las pruebas o evaluaciones que deberá superar el producto de seguridad TIC correspondiente.
CCN (29/07/2019)
