Criterios comunes

¿Qué es la certificación Common Criteria?

Common Criteria es el modelo que los gobiernos emplean como esquema de certificación para los productos que eligen usar en agencias gubernamentales e infraestructura crítica. Muchas compañías también emplean Common Criteria en su proceso de selección de software debido a la calidad que garantiza la certificación Common Criteria.

El Acuerdo de Reconocimiento de Criterios Comunes (CCRA) se define en los Criterios Comunes para la Evaluación de la Seguridad de la Tecnología de la Información y la Metodología Común para la Evaluación de la Seguridad de la Tecnología de la Información (CEM). Estos son estándares muy genéricos y no garantizan la seguridad.

Sin embargo, una certificación de criterios comunes puede garantizar que las declaraciones de seguridad de un proveedor se evalúen de forma independiente.

La certificación CC hace que los productos que fueron evaluados estén disponibles para un grupo más amplio de usuarios, garantiza que el producto esté a la altura de las afirmaciones del proveedor y elimina la carga y el costo de evaluar el software de los clientes de software.

Conceptos clave de Common Criteria

Estos son algunos conceptos que puede necesitar saber cuando intenta comprender Common Criteria:

• Objetivo de evaluación (TOE): Este es el producto o sistema que se está evaluando.
• Objetivo de seguridad (ST): Este documento define las propiedades de seguridad del producto que se está evaluando. Permite a los proveedores de software personalizar la evaluación según las capacidades específicas de su producto. También ayuda a los clientes potenciales a determinar qué características de seguridad del producto se probaron, para que puedan tomar decisiones más informadas.
• Perfil de protección (PP): Este es un documento que la comunidad de usuarios crea para identificar los requisitos de seguridad para una clase específica de dispositivos de seguridad, como firmas digitales o firewalls. Los proveedores pueden optar por fabricar productos que cumplan con uno o más PP y luego evaluar sus productos con respecto a ellos. Los proveedores también pueden usar PP como modelo para crear sus propios objetivos de seguridad.
• Requisitos funcionales de seguridad (SFR): Estos enumeran las funciones de seguridad únicas proporcionadas por un producto.
• Requisitos de garantía de seguridad (SAR): Estos se emplean en el proceso de control de calidad y describen los pasos a seguir para garantizar que un producto cumpla con los estándares de seguridad declarados.
• Nivel de garantía de evaluación (EAL): Esta es una calificación numérica que describe la profundidad y el rigor de la evaluación. Cada EAL corresponde a un conjunto de SAR. Common Criteria enumera siete niveles de EAL donde 1 es el nivel más básico de evaluación y 7 es el más estricto.

Cómo los productos obtienen la certificación CC

Estos son algunos pasos que una compañía debe seguir para obtener la certificación Common Criteria:

1. La compañía debe completar una descripción del objetivo de seguridad junto con cualquier documento de respaldo. Esto debe incluir una descripción general del producto, sus características de seguridad y cualquier posible amenaza de seguridad.
2. La compañía debe encontrar un laboratorio con licencia independiente para evaluar su producto y determinar si cumple con los estándares de seguridad que la compañía definió para el producto.
3. Una vez que el producto pasa la evaluación, uno de los muchos esquemas de creación de certificados emite la certificación.

Common Criteria es un estándar internacional para la certificación de seguridad informática. Los proveedores de productos pueden obtener la certificación Common Criteria Certified de sus productos para demostrar las afirmaciones de seguridad que hacen, y luego las compañías pueden comparar sus necesidades de seguridad con las afirmaciones probadas para encontrar software y sistemas para agregar a su infraestructura.

Aprende más

Para obtener más detalles sobre la certificación Common Criteria de Illumio y otras certificaciones de seguridad gubernamentales, visite nuestras páginas de Certificaciones y Gobierno.