Segurtasun Kudeatutako Zerbitzu bat edo gehiago ziurtatzeko erabakia hartu ondoren, autoebaluazioa, auditoria eta, emaitza aldekoa bada, Kriptologia Zentro Nazionalari dagokion ziurtagiria eskatzea dakar prozesu bat hasten da.
Bide hau aldez aurretik ezagutzeak uneoro gertatzen ari dena eta, batez ere, erakundeak fase batetik bestera aurrera egin ahal izateko zer behar duen jakiteko aukera ematen digu.
RNSk berak barne hartzen du prozedura eta zalantza ohikoenetako batzuk konpontzen ditu bere SSG ziurtagiriari eskainitako atalean.
Prozesua autoebaluazio bat eskatuz hasten da
Lehen urratsa CCNri (Zentro Kriptologiko Nazionala) autoebaluazio tresna eskatzea da CCN-STIC 896 Gida erabiliz eta ziurtatu nahi dituzun zerbitzuei dagozkien atalak betetzea da.
Autoebaluazioak aplikagarri diren eskakizunen betetze maila zehazten du eta prozesuarekin jarraitzeko lehen baldintza ere ezartzen du: aplikagarri diren atal guztietan % 50etik gorako puntuazioa lortzea.
Atalase hori gaindituta, erakundeak doako auditoria bat eska diezaioke CCNri.
Bereizpen garrantzitsu bat dago Segurtasun Eskema Nazionalaren arabera ziurtagiria maila ERTAINEAN edo altuagoan duten erakundeentzat. Hori izateak ez du kentzen auditoria egiteko beharra autoebaluazioa, bete beharreko informazioa aldatzen badu ere. CCN-k zehaztutakoaren arabera, kasu hauetan aplikagarri diren zerbitzuei dagozkien fitxak bete behar dira eta, ENSri dagokionez, ziurtagiri hori egiaztatzeko emandako laukia bakarrik.
Ikuskaritzatik Ziurtagiri Eskaerara
Gaur egun, Kriptologia Zentro Nazionalak (CCN) berak egiten ditu auditoria hauek, oraindik ez baitago prozedura honetarako akreditatutako Ziurtapen Erakunderik (CB) edo Ikuskaritza Teknikoko Erakunderik (TAB).
Auditoriak zerbitzuak CCN-STIC 896an ezarritako eskakizunak betetzen dituen ebaluatzen du. Emaitza aldekoa bada, erakundeak ebaluatutako zerbitzu(ar)entzako dagokion ziurtagiria eska diezaioke CCNri.
Beraz, garrantzitsua da autoebaluazioa gainditzearen eta ziurtagiria lortzearen artean bereiztea. Beharrezko % 50 lortzeak erakunde bati auditoria eskatzeko aukera ematen dio, baina ez du berez bermatzen zerbitzua ziurtatuta dagoenik. Auditoria honen emaitza aldekoak ziurtagiria formalki eskatzeko aukera irekiko du.
Prozesua honela laburbil daiteke:
Autoebaluazioaren eskaera eta betetzea → beharrezko atalasea betetzea → auditoria eskatzea → ebazpen aldekoa → ziurtagiria CCNri eskatzea.
Gaur egun, ez dago Segurtasun Zerbitzu Kudeatuen hornitzaileek prozesu hau burutzeko eperik. Ziurtagiria borondatezkoa da gaur egun.
Hala ere, CCNk berak egokitzapen prozesuarekin aurrera egitea gomendatzen du. RNSk argitaratutako informazioaren arabera, etorkizunean, ziurtagiria erakunde publikoei, azpiegitura kritikoei edo funtsezkoei Segurtasun Zerbitzu Kudeatuak emateko baldintza bihur daiteke, baita SOCen Sare Nazionaleko parte izateko ere.
Honek prozesua planifikatzerakoan kontuan hartu beharreko faktore bat sartzen du. Gaur egun eperik ez dagoen arren, ziurtagiria aldez aurretik jorratzeak egokitzapen lana banatzea ahalbidetzen du eta etorkizuneko eskakizun batek SOCa oraindik hasierako faseetan harrapatzea eragozten du.
Serie honetan zehar CCN-STIC 896rako prestatzea zer dakarren, nola funtzionatzen duten heldutasun mailak eta zer ziurtatu behar duen zerbitzu batek ikusi ondoren, azken urrats honek elementu horietako bakoitza prozedura formalaren barruan kokatzeko aukera ematen digu.
Horrela, ziurtagiria mugarri bakar gisa ikusteari uzten dio eta fase bereiziak dituen bidaia bihurtzen da, bakoitza bere eskakizun eta emaitzarekin.
