L'Acord sobre el Reconeixement dels Certificats de Criteris Comuns en el camp de la Seguretat de la Tecnologia de la Informació (conegut per les seues sigles en anglés CCRA) especifica els requisits que han de complir els Certificats de Criteris Comuns, els Organismes de Certificació i els Centres d'Avaluació de la seguretat de les tecnologies de la informació.
L'Acord partix de la premissa que la utilització de productes i sistemes de la tecnologia de la informació (TU) la seguretat de la qual ha sigut certificada és una de les salvaguardes principals per a protegir la informació i els sistemes que la manegen.
Els certificats de la seguretat són expedits per Organismes de Certificació reconeguts a productes o sistemes de TU (o a perfils de protecció) que hagen sigut satisfactòriament avaluats per Servicis d'Avaluació, conforme als Criteris Comuns (norma ISO/IEC 15408). A Espanya els certificats són expedits per l'Organisme Organisme de Certificació de l'Esquema Nacional d'Avaluació i Certificació de la Seguretat de les TU.
La versió en vigor de l'Acord va ser ratificada i publicada el 8 de setembre de 2014 per 26 països, incloent a Espanya; per part del nostre país, la ratificació es va realitzar de forma conjunta entre el Centre Criptològic Nacional i la Secretaria d'Estat d'Administracions Públiques. Els 26 països firmant són: Alemanya, Austràlia, Àustria, Canadà, Estats Units, Dinamarca, Espanya, Finlàndia, França, Grècia, Hongria, Índia, Israel, Itàlia, Japó, Malàisia, Països Baixos, Nova Zelanda, Noruega, Paquistán, Regne Unit, República Txeca, República de Corea, Singapur , Suècia i Turquia.
Esta nova versió de l'Acord perseguix facilitar que els resultats de l'avaluació dels productes de seguretat de les tecnologies de la informació siguen raonables, comparables, reproduïbles i eficients. També promou una millor col·laboració públic-privada a través de l'establiment de les denominades comunitats tècniques internacionals (international Technical Communities (iTCs)) i la definició de requisits funcionals de seguretat a través dels perfils de protecció col·laboratius (collaborative Protection Profiles (cPPs)) aplicables a productes tals com a dispositius USB, tallafocs, cifradores de discos, etc.
Els beneficiar-vos de l'Acord
Entre els beneficiaris de l'Acord es troben:
-
Les Administracions Públiques, per a establir les bases de la seguretat de la informació i de les infraestructures de TU que la manegen.
-
La indústria del sector, per a trobar mercats més amplis als productes i sistemes de la TU que compten amb el valor afegit del certificat.
-
Els consumidors (particulars, empreses i AA.PP.), per a comptar amb major oferta de productes i sistemes certificats com a assegurances per a protegir la seua informació i servicis.
L'Acord té interés, en particular, per a l'Esquema Esquema Nacional de Seguretat (Reial decret 311/2022, de 3 de maig) que, en relació amb l'adquisició de productes de seguretat, contempla el següent:
- s'utilitzaran, de forma proporcionada a la categoria del sistema i el nivell de seguretat determinats, aquells productes de seguretat que tinguen certificada la funcionalitat de seguretat relacionada amb l'objecte de la seua adquisició, (art. 19.1);
- es reconeix l'Organisme Organisme de Certificació de l'Esquema Nacional d'Avaluació i Certificació de Seguretat de les Tecnologies de la Informació del Centre Criptològic Nacional, constituït a l'empara del que es disposa en l'article 2.2.c) del Reial decret 421/2004, de 12 de març, pel qual es regula el Centre Criptològic Nacional (art. 19.2);
- S'utilitzarà el Catàleg de Productes i Servicis de Seguretat de les Tecnologies de la Informació i Comunicació (Guia CCN-STIC 105, CPSTIC) del CCN, per a seleccionar els productes o servicis subministrats per un tercer que formen part de l'arquitectura de seguretat del sistema i aquells que es referencien expressament en les mesures d'este reial decret (Annex II, mesura [op.pl.5] Components certificats)
Antecedents
El primer Acord va ser ratificat el dia 23 de maig de 2000, a Baltimore (Maryland, Estats Units), per part d'Alemanya, Austràlia, Canadà, Espanya, Estats Units, Finlàndia, França, Grècia, Itàlia, Noruega, Nova Zelanda, Països Baixos i Regne Unit. Posteriorment es van ser incorporant altres països. En representació del Regne d'Espanya va subscriure aquell Arranjament el Ministeri d'Administracions Públiques.
A partir del 17 d'agost de 2006, Espanya va canviar el seu estatus en l'Acord i es va convertir en participant acreditat per a emetre certificats de seguretat de la tecnologia de la informació.
Precursor de l'Acord va ser l'Acord de Reconeixement Mutu de Certificats de l'Avaluació de la Seguretat de les Tecnologies de la Informació, l'àmbit geogràfic de la qual se cenyia inicialment a països europeus i la norma dels quals de referència primera va ser ITSEC, a la qual posteriorment es va afegir Criteris Comuns.
