La auditoría es solo una parte del camino hacia la certificación CCN-STIC 896. Para un SOC que se plantea iniciar el proceso, buena parte del trabajo empieza antes: delimitar qué servicios quiere certificar, revisar cómo los está prestando y comprobar que dispone de procedimientos eficientes y evidencias suficientes para acreditar sus capacidades.
La guía CCN-STIC 896, que establece el Perfil de Cumplimiento Específico para Servicios de Seguridad Gestionados (PCE-SSG), evalúa las capacidades operativas y competencias técnicas necesarias para prestar estos servicios, además de la seguridad de los sistemas desde los que se proporcionan.
El punto de partida, por tanto, está en la propia operativa y organización del SOC, así como en su capacidad para demostrarla.
Saber qué queremos certificar
La CCN-STIC 896 contempla cinco categorías de Servicios de Seguridad Gestionados: Prevención, Protección, Detección, Respuesta y Gestión de la Ciberseguridad.
Definir cuáles de ellos se quieren certificar permite acotar los requisitos aplicables y empezar a revisar el grado de preparación de la organización.
Aquí aparece una cuestión relevante: hacer algo de forma habitual no siempre se puede acreditar. Un procedimiento puede estar perfectamente interiorizado por un equipo y, sin embargo, no estar suficientemente documentado y no ser eficiente. Determinadas tareas pueden depender del conocimiento de analistas concretos generando silos de información o haberse incorporado a la operativa sin disponer de la documentación correspondiente actualizada que permita al profesional integrarse en dicha operativa de forma óptima.
Son situaciones que merece la pena detectar antes de abordar la certificación.
La revisión debería alcanzar tanto al equipo que presta el servicio como a los procedimientos que utiliza y a los sistemas que lo soportan. La CCN-STIC 896 establece requisitos en estos tres ámbitos, por lo que preparar la certificación exige mirar más allá de las capacidades puramente técnicas.
Hay algunas preguntas que pueden ayudar a hacer una primera comprobación:
- ¿Están claramente identificados los Servicios de Seguridad Gestionados que se quieren certificar?
- ¿Existen procedimientos documentados eficientes y actualizados para prestar esos servicios?
- ¿La forma de trabajar es suficientemente homogénea entre los distintos miembros del equipo?
- ¿Se conservan evidencias que permitan acreditar cómo se ejecutan los procesos?
- ¿Puede acreditarse la cualificación y las capacidades del personal?
- ¿Cumplen los sistemas que soportan estos servicios los requisitos de seguridad establecidos?
No es todavía la autoevaluación formal, pero responder a estas cuestiones permite anticipar algunos de los puntos que pueden requerir trabajo.
Especial atención merece el último. Los sistemas de información que soportan los Servicios de Seguridad Gestionados deben disponer de Certificación de Conformidad con el Esquema Nacional de Seguridad (ENS) en categoría MEDIA o superior. Para aquellos casos en los que todavía no se haya alcanzado esta conformidad, la CCN-STIC 896 establece una vía alternativa: aplicar un conjunto mínimo de 36 medidas de seguridad y asumir el compromiso formal de obtenerla en un plazo máximo de 12 meses. Y para aquellos que la hayan alcanzado se han creado unos requisitos de obligado cumplimiento complementarios al ENS.
La autoevaluación sirve para algo más que obtener una puntuación
La RNS dispone de una herramienta específica de autoevaluación basada en la Guía CCN-STIC 896. Para solicitar la auditoría es necesario obtener una puntuación superior al 50 % en cada uno de los apartados que resulten aplicables.
El porcentaje permite saber si se alcanza el umbral establecido, pero la información más interesante está probablemente en otro sitio: en los requisitos que no se cumplen.
Ahí aparecen las carencias concretas sobre las que trabajar antes de continuar con el proceso. Puede tratarse de un procedimiento por elaborar de forma estructurada, que esté pendiente de actualizar, una evidencia que no se está generando o conservando correctamente, una capacidad que necesita reforzarse o algún requisito relacionado con los sistemas que soportan el servicio.
Conviene, por tanto, leer la autoevaluación como un mapa de situación y no únicamente como una prueba que hay que superar. Esta perspectiva es de utilidad para poder afrontar con solvencia la auditoría.
Esta perspectiva evita además uno de los errores que pueden aparecer en cualquier proceso de certificación: preparar documentación exclusivamente para la auditoría. Si un procedimiento existe sobre el papel, pero no forma parte del trabajo diario del SOC o no está integrado en la organización, difícilmente estará cumpliendo el objetivo para el que fue definido.
La CCN-STIC 896 ofrece así una oportunidad para revisar con criterios comunes capacidades que ya forman parte de la actividad cotidiana del SOC y detectar aquellas que todavía necesitan evolucionar.
Antes de iniciar el proceso, hay una comprobación bastante reveladora: coger uno de los servicios que se pretende certificar y tratar de reconstruir cómo se presta, quién interviene, qué procedimiento se sigue y qué evidencias quedan de su ejecución.
Si resulta sencillo hacerlo, probablemente exista una buena base sobre la que trabajar. Si aparecen lagunas, dependencias del conocimiento individual o procesos difíciles de acreditar, ya tenemos identificados algunos de los primeros puntos que conviene abordar.
