El CCN ha publicado en su página web la metodología de evaluación LINCE - Certificación Nacional Esencial de Seguridad.
El CCN indica lo siguiente en su página web:
❝LINCE está orientada a la evaluación y certificación de productos de seguridad TIC para su inclusión en el catálogo CPSTIC para niveles medio o bajo del ENS conforme a los establecido en las guías CCN-STIC-107 y CCN-STIC-141. También se puede emplear para la realización de Evaluaciones STIC complementarias conforme a lo especificado en las guías CCN-STIC-106 y CCN-STIC-140.
Esta metodología por tanto facilitará la inclusión en el catálogo que regula las adquisiciones de productos IT en la administración española.
Las principales características de la certificación LINCE son:
- Focalizada en el análisis de vulnerabilidades y pruebas de penetración.
- Analiza la conformidad del producto con sus requisitos fundamentales de seguridad.
- Acotada temporalmente tanto en esfuerzo (25 dias/hombre) como en duración (8 semanas)
- Reduce los esfuerzos a realizar por el fabricante con respecto a otras metodologías de evaluación como Common Criteria
- Aplicable cuando el nivel de amenaza es de tipo básico o medio
- La evaluación será realizada por laboratorios acreditados por el CCN.
El organismo de certificación ha publicado los siguientes documentos
-
CCN-LINCE-001: Definición
- Este documento incluye la definición de LINCE, así como la definición de los actores involucrados en el proceso de evaluación, así como las distintas etapas del proceso de evaluación.
-
CCN-LINCE-002: Metodología de Evaluación
- Este documento contiene la metodología de evaluación a seguir por parte de los laboratorios.
-
CCN-LINCE-003: Plantilla para la Declaración de Seguridad
- El objetivo de esta plantilla es facilitar a los desarrolladores la redacción de la declaración de seguridad requerida para la evaluación LINCE.
-
CCN-LINCE-004: Plantilla del Informe Técnico de Evaluación
- El objetivo de esta plantilla es que la validación de los informes emitidos por los laboratorios sea más eficaz por parte del OC (Organismo de certificación).
Esta metodología, creada por el organismo de certificación, está alineada con otras iniciativas similares en países europeos como CSPN en Francia y con los niveles de evaluación definidos en el Cybersecurity Act promovido por la comisión europea
Si necesita más información sobre como conseguir que su producto sea incluido en el catálogo de productos (CPSTIC) o de la certificación LINCE, no dude en contactarnos a través de la dirección de correo hello[en]jtsec.es.
También puede consultar la sección sobre nuestro servicio de evaluación LINCE para obtener más información
