A auditoría é só unha parte do camiño cara á certificación CCN-STIC 896. Para un SOC que estea a considerar iniciar o proceso, gran parte do traballo comeza antes: definir que servizos quere certificar, revisar como os está a prestar e verificar que ten procedementos e evidencias suficientes para demostrar as súas capacidades.

O CCN-STIC 896, que establece o Perfil de Conformidade Específico para Servizos de Seguridade Xestionada (PCE-SSG), avalía as capacidades operativas e as habilidades técnicas necesarias para prestar estes servizos, así como a seguridade dos sistemas desde os que se prestan.

O punto de partida, polo tanto, reside nas propias operacións do SOC e na súa capacidade para demostralas.

Saber o que queremos certificar

O CCN-STIC 896 inclúe cinco categorías de Servizos de Seguridade Xestionada: Prevención, Protección, Detección, Resposta e Xestión da Ciberseguridade.

Definir cales destes aspectos queres certificar permíteche reducir os requisitos aplicables e comezar a revisar o nivel de preparación da organización.

Aquí xorde unha cuestión relevante: facer algo de forma rutineira e ser capaz de certificalo non sempre é o mesmo. Un procedemento pode estar perfectamente arraigado por un equipo e, con todo, non estar suficientemente documentado. Certas tarefas poden depender do coñecemento de analistas específicos ou terse incorporado ás operacións sen actualizar a documentación correspondente.

Estas son situacións que paga a pena identificar antes de solicitar a certificación.

A revisión debe abarcar tanto o equipo que presta o servizo como os procedementos que empregan, así como os sistemas que o apoian. A norma CCN-STIC 896 establece requisitos nestas tres áreas, polo que a preparación para a certificación require mirar máis alá das capacidades puramente técnicas.

Aquí tes algunhas preguntas que poden axudarche a facer unha comprobación inicial:

  • Están claramente identificados os servizos de seguridade xestionados que se van certificar?
  • Hai procedementos documentados e actualizados para prestar estes servizos?
  • É a forma de traballar suficientemente coherente entre os diferentes membros do equipo?
  • Hai evidencias que demostren como se executan os procesos?
  • Pódense verificar as cualificacións e capacidades do persoal?
  • Os sistemas que dan soporte a estes servizos cumpren os requisitos de seguridade establecidos?

Isto aínda non é unha autoavaliación formal, pero responder a estas preguntas permite anticipar algúns dos puntos que poden ser necesarios. traballo.

O último punto merece unha atención especial. Os sistemas de información que dan soporte aos Servizos de Seguridade Xestionada deben ter Certificación de Conformidade co Esquema Nacional de Seguridade (ENS) de nivel MEDIO ou superior. Para aqueles casos nos que aínda non se conseguiu esta conformidade, o CCN-STIC 896 establece unha alternativa: implementar un conxunto mínimo de 36 medidas de seguridade e comprometerse formalmente a obtelas nun prazo máximo de 12 meses.

A autoavaliación serve para algo máis que obter unha puntuación

A Rede Nacional de Escolas (RNS) dispón dunha ferramenta de autoavaliación específica baseada na Guía CCN-STIC 896. Para solicitar unha auditoría, é necesario obter unha puntuación superior ao 50% en cada unha das seccións aplicables.

A porcentaxe indica se se alcanzou o limiar establecido, pero a información máis interesante probablemente estea noutro lugar: nos requisitos que non se cumpren.

Estas son as deficiencias específicas que cómpre abordar antes de continuar co proceso. Podería tratarse dun procedemento que precisa actualización, de evidencias que non se xeran ou non se manteñen adecuadamente, dunha capacidade que precisa reforzamento ou dun requisito relacionado cos sistemas que dan soporte ao servizo.

Polo tanto, é recomendable ler a autoavaliación como unha folla de ruta da situación actual e non só como unha proba que hai que superar.

Esta perspectiva tamén evita un dos erros que poden producirse en calquera proceso de certificación: preparar a documentación unicamente para a auditoría. Se un procedemento existe en papel pero non forma parte do traballo diario do SOC, é improbable que estea a cumprir o obxectivo para o que foi definido.

O CCN-STIC 896 ofrece, polo tanto, a oportunidade de revisar, utilizando criterios comúns, as capacidades que xa forman parte da actividade diaria do SOC e identificar aquelas que aínda necesitan evolucionar.

Antes de comezar o proceso, hai unha comprobación bastante reveladora: tómese un dos servizos que se van certificar e intente reconstruír como se presta, quen participa, que procedemento se segue e que evidencias quedan da súa execución.

Se isto é doado de facer, probablemente haxa unha boa base sobre a que traballar. Se aparecen lagoas, dependencias do coñecemento individual ou procesos difíciles de acreditar, xa identificamos algúns dos primeiros puntos que se deben abordar.