Criterios comunes

¿Qué es la certificación de criterios comunes?

Criterios Comunes es el modelo que los gobiernos utilizan como esquema de certificación para los productos que eligen usar en agencias gubernamentales e infraestructura crítica. Muchas empresas también utilizan Criterios Comunes en su proceso de selección de software debido a la calidad que garantiza la Certificación de Criterios Comunes.

El Acuerdo de Reconocimiento de Criterios Comunes (CCRA) se define en Los Criterios Comunes para la Evaluación de la Seguridad de las Tecnologías de la Información y la Metodología Común para la Evaluación de la Seguridad de las Tecnologías de la Información (CEM). Estos son estándares muy genéricos y no garantizan la seguridad.

Sin embargo, una Certificación de Criterios Comunes puede garantizar que las afirmaciones de seguridad de un proveedor se evaluaron de forma independiente.

La certificación CC hace que los productos que han sido evaluados estén disponibles para un grupo más amplio de usuarios, asegura que el producto esté a la altura de las afirmaciones del proveedor y elimina la carga y el costo de evaluar software de los clientes de software.

Conceptos clave de criterios comunes

Estos son algunos conceptos que puede necesitar saber cuando está tratando de entender los Criterios Comunes:

• Objetivo de evaluación (TOE): Este es el producto o sistema que se está evaluando.
• Objetivo de seguridad (ST): Este documento define las propiedades de seguridad del producto que se está evaluando. Permite a los proveedores de software personalizar la evaluación según las capacidades específicas de su producto. También ayuda a los clientes potenciales a determinar qué características de seguridad del producto se han probado, para que puedan tomar decisiones más informadas.
• Perfil de protección (PP): Este es un documento que la comunidad de usuarios crea para identificar los requerimientos de seguridad para una clase específica de dispositivos de seguridad como firmas digitales o firewalls. Los proveedores pueden optar por fabricar productos que cumplan con uno o más PPs y luego evaluar sus productos en comparación con ellos. Los proveedores también pueden usar los PPs como modelo para crear sus propios Objetivos de Seguridad.
• Requerimientos Funcionales de Seguridad (SFRs): Éstas enumeran las funciones de seguridad únicas que proporciona un producto.
• Requerimientos de Aseguramiento de Seguridad (SARs): Estos se utilizan en el proceso de aseguramiento de calidad y describen los pasos a seguir para garantizar que un producto cumpla con sus estándares de seguridad declarados.
• Nivel de Aseguramiento de Evaluación (EAL): Esta es una calificación numérica que describe la profundidad y el rigor de la evaluación. Cada EAL corresponde a un conjunto de SARs. Common Criteria enumera siete niveles de EAL donde 1 es el nivel más básico de evaluación y 7 es el más estricto.

Cómo los productos obtienen la certificación CC

Estos son algunos pasos que una empresa debe seguir para obtener la certificación de criterios comunes:

1. La compañía debe completar una descripción de Security Target junto con cualquier documento de respaldo. Esto debe incluir una visión general del producto, sus características de seguridad y cualquier amenaza potencial para la seguridad.
2. La empresa debe encontrar un laboratorio con licencia independiente para evaluar su producto y determinar si cumple con los estándares de seguridad que la compañía ha definido para el producto.
3. Una vez que el producto pasa la evaluación, uno de los muchos Esquemas de creación de certificados emite la certificación.

Common Criteria es una norma internacional para la certificación de seguridad informática. Los proveedores de productos pueden obtener la certificación Common Criteria de sus productos para probar las afirmaciones de seguridad que hacen, y luego las empresas pueden comparar sus necesidades de seguridad con las afirmaciones probadas para encontrar software y sistemas que agregar a su infraestructura.

Más información

Para obtener más detalles sobre la certificación Common Criteria de Illumio y otras certificaciones de seguridad gubernamentales, visite nuestro Certificaciones y páginas de Gobierno.