Es un orgullo para jtsec poder anunciar la publicación en el BOE de la certificación Common Criteria otorgada a opencloud factory por su producto openNAC enterprise.
Ha sido un año de intenso trabajo desde que comenzamos a participar en este proyecto hasta su finalización, durante el mes de mayo de este mismo año.
OpenNAC Enterprise es un NAC (Network Access Control) de nueva generación con capacidad para poder gestionar de manera segura el acceso a las redes corporativas y así poder obtener el control total sobre la red. Disponible como Virtual Appliance, permite su puesta en marcha en grandes redes corporativas con diversos centros de datos y oficinas remotas. OpenNAC Enterprise utiliza múltiple métodos de descubrimiento de dispositivos (802.1x, Traps, Agente..); el Sensor (sonda) admite la visibilidad de activos sin 802.1X y logra una inspección profunda de paquetes fuera de banda.
La solución proporciona soporte multi-vendor para infraestructura de red, basado en múltiples métodos de autenticación y enforcement a través de la segmentación (VLAN), microsegmentación etc. Puede integrarse con múltiples LDAPs y Directorios Activos. Es una solución completamente modular en función de la necesidad de las organizaciones
La solución de OpenNAC en su versión 1.2 ha logrado superar el nivel de evaluación EAL2, habiéndose declarado la siguiente funcionalidad, que ha sido evaluada por Epoche & Espri, laboratorio acreditado por el CCN para realizar evaluaciones de Common Criteria hasta EAL4+:
- Generación de datos de auditoría
- Funciones de gestión a través de la interfaz web
- Control de acceso a la red para usuarios y dispositivos a las redes
- Control de acceso basado en roles a las funciones de gestión
- Protección de las comunicaciones a la interfaz web (REST API) utilizando https
Gracias a la participación en esta evaluación de seguridad, el producto OpenNAC Enterprise ha sido incluido en el catálogo CPSTIC para nivel ENS ALTO de manera simultánea al proceso de evaluación.
La participación de jtsec en este proyecto comenzó cuando el fabricante ya había comenzado el proceso de evaluación y se encontraba en una situación de bloqueo total debido a la dificultad de la norma Common Criteria para fabricantes sin experiencia previa en certificación.
El proyecto se estructuró en varias fases: gap análisis, preparación de la evaluación, proceso de evaluación y solicitud de inclusión en el catálogo.
La realización de un gap análisis inicial del producto por los expertos de jtsec, permitió trazar un plan de certificación adaptado limitando los retrasos e incertidumbres tan indeseados en las evaluaciones Common Criteria.
La fase de preparación se completó en un tiempo record realizándose la adaptación de la documentación de diseño, operación, pruebas y ciclo de vida del producto a los requisitos de la norma Common Criteria.
Los expertos en Common Criteria de jtsec se encargaron de esta fase de preparación contando en todo momento con el apoyo de los expertos técnicos de OpenCloud Factory.
Esta forma de trabajo ha permitido que el fabricante centre sus esfuerzos en la implementación de nuevas medidas de seguridad para su producto, logrando así una mejora global del producto y su documentación.
La fase de evaluación fue realizada por Epoche & Espri encargado del análisis técnico del producto.
Es crítico para el éxito de los procesos de certificación, la comunicación entre todos los actores implicados en el proceso. jtsec se ha encargado de ser interfaz para agilizar el tiempo de respuesta y optimizar el proceso de evaluación.
El seguimiento del estado de evaluación del producto por todas las partes ha sido excepcional, proporcionando una interfaz de comunicación tremendamente ágil y resolutiva, lo que ha permitido detectar y solucionar cada problema de una manera altamente eficiente.
La solicitud de inclusión en el catálogo CPSTIC fue gestionada por jtsec, que presentó un completo informe describiendo cómo el producto era conforme a los requisitos establecidos por el catálogo.
Ha sido un placer para nosotros poder trabajar con una empresa de referencia en el mercado de la seguridad a nivel nacional e internacional como es OpenCloud Factory. Sin su buena disposición para la introducción de mejoras en el producto, no hubiera sido posible acabar la evaluación de una manera tan satisfactoria.
No podremos olvidar en mucho tiempo cuando el equipo de OpenCloud Factory nos confeso que “Por fin estamos entendiendo de qué va esto de Common Criteria.”
