La Unión Europea ha publicado el primer Programa de Trabajo en Marcha de la Unión para la certificación de ciberseguridad europea. Este programa, en cumplimiento del Reglamento de Ciberseguridad, tiene como objetivo identificar las prioridades estratégicas para los futuros esquemas de certificación de ciberseguridad en Europa.
El Programa de Trabajo en Marcha de la Unión para la certificación de ciberseguridad europea responde a los requisitos establecidos en el Acta de Ciberseguridad, que entró en vigor el 27 de junio de 2019. Esta acta establece el Marco de Certificación de Ciberseguridad Europea para la creación de esquemas voluntarios de certificación de ciberseguridad europea.
Los estándares tienen como objetivo garantizar un nivel adecuado de ciberseguridad para productos, servicios y procesos de tecnología de la información y comunicación en la Unión Europea, así como reducir la fragmentación del mercado interno.
Basándose en las disposiciones de la CSA y las consultas con las partes interesadas, y considerando los desarrollos legislativos y de mercado recientes, se han identificado una serie de directrices a tener en cuenta al proceder con la certificación de ciberseguridad, con el fin de que el Marco pueda alcanzar plenamente su potencial y cumplir con sus objetivos. Estas directrices son las siguientes:
Estandarización
La estandarización juega un papel fundamental en la implementación de los esquemas de certificación de ciberseguridad europea, tanto a nivel local como global. La utilización de estándares internacionales y europeos dentro del Marco de Certificación de Ciberseguridad es una prioridad estratégica, ya que facilita su adopción y promueve la coherencia con otras normativas y políticas de la Unión Europea y de los Estados miembros.
Es importante desarrollar estándares que aborden tanto los requisitos de seguridad horizontales como los sectoriales. Estos estándares también son fundamentales para expresar los niveles de garantía, que pueden variar desde básicos hasta medios y altos.
Seguridad por diseño, durante todo el ciclo de vida y por defecto
Integrar la seguridad a lo largo del ciclo de desarrollo de los productos, siguiendo un enfoque de seguridad por diseño y por defecto, ayuda a descubrir y reducir vulnerabilidades desde el principio.
El Marco insta a las organizaciones a implementar medidas de seguridad desde las primeras etapas del diseño y desarrollo de productos de TIC para minimizar el impacto de ciberataques. Asimismo, se recomienda que los productos de TIC se desplieguen con configuraciones seguras por defecto para aliviar la carga de configuración para los usuarios.
Estas prácticas buscan garantizar la ciberseguridad y manejar vulnerabilidades durante todo el ciclo de vida del producto.
Asegurar basándose en riesgos
Los requisitos de ciberseguridad y los métodos de evaluación asociados en cada esquema deben basarse en el riesgo. Este enfoque de certificación de ciberseguridad se ha incorporado en el Marco con la especificación de uno o más niveles de garantía en cada esquema.
Además, se especifica que el nivel de garantía debe basarse en el riesgo asociado con el uso previsto del producto, servicio o proceso, en términos de la probabilidad e impacto de un incidente. Cada esquema de certificación debe especificar niveles de evaluación correspondientes con diferentes grados de rigor y profundidad de la metodología de evaluación utilizada, adaptados a los diferentes contextos de uso. Los niveles de garantía deben incluir una evaluación de vulnerabilidades, centrada en la identificación y el cálculo del potencial de ataque para cada vulnerabilidad identificada y su impacto.
Coherencia
Los futuros esquemas de certificación necesitarán considerar la posibilidad de reutilizar certificados y esquemas existentes, lo que reduciría las actividades de evaluación redundantes y simplificaría los esfuerzos de las organizaciones relacionados con el cumplimiento. Sin embargo, es importante explorar adecuadamente los límites legales y técnicos de la composición de certificados para evitar efectos secundarios impredecibles.
La coherencia también debe lograrse con respecto a la evaluación de los requisitos de ciberseguridad, y la cooperación internacional puede convertir al Marco en un punto de referencia para otros sistemas de certificación.
Cooperación Internacional
El Marco tiene el potencial de ser un punto de referencia internacional para otros sistemas de certificación. Los requisitos y métodos de evaluación de los esquemas europeos podrían adoptarse en otras regiones, lo que facilitaría las actividades de los fabricantes y desarrolladores europeos que comercian en todo el mundo.
Medición de la eficiencia del esquema y mejora con el tiempo
La certificación contribuye a la confianza en la ciberseguridad de productos y servicios de TIC, pero impone un trabajo en las organizaciones. Por ello, es esencial que las partes interesadas en el Marco contribuyan y asesoren sobre el análisis coste-beneficio de los esquemas.
Identificar métricas y criterios para evaluar la eficacia y eficiencia del Marco y sus esquemas a lo largo del tiempo será necesario. Se debe trabajar en la mejora relativa de la seguridad cibernética de productos, servicios y procesos certificados, y se deben tomar medidas de apoyo para facilitar el acceso a la certificación para las PYME y apoyar la capacitación de nuevos participantes.
