Estructura
L'estructura del Catàleg de Productes i Serveis STIC (CPSTIC) està definida en la guia CCN-STIC 140 “Taxonomia de referència per a productes de seguretat TIC”. Bàsicament està organitzat en tres (3) llistats:
Cadascun d'ells es compon de diverses categories que, al seu torn, es componen de diverses famílies.
Productes i Serveis Qualificats
En aquest llistat s'inclouen productes i serveis que formen part de l'arquitectura de seguretat dels sistemes TIC que estan sota l'abast del ENS en alguna de les seves categories BÀSICA, MITJANA o ALTA, és a dir, aquells que desenvolupen la seva activitat en el context operacional d'aquest i implementen funcionalitats que permeten incrementar el nivell de seguretat del sistema en alguna de les seves dimensions (disponibilitat [D], integritat [I], confidencialitat [C], autenticitat [A] i traçabilitat [T]).
Perquè un producte o servei sigui qualificat, ha de complir amb els Requisits Fonamentals de Seguretat (RFS) definits per a cada família, inclosos en els corresponents annexos de la guia CCN-STIC 140:
Control d'accés
Seguretat en l'explotació
Monitoratge de la seguretat
Protecció de les comunicacions
Protecció de la Informació i els Suports d'Informació
Protecció d'Equips i Serveis
Serveis en el núvol
Mecanismes criptogràfics
Protecció d'instal·lacions i infraestructures
Seguretat OT
Eines per al desenvolupament de productes de seguretat
Altres eines
Productes i Serveis Aprovats
La taxonomia de productes aprovats per al maneig d'informació classificada serà la mateixa que per a productes qualificats juntament amb les següents categories:
Protecció en entorns tàctics
Tempest
Els Requisits Fonamentals de Seguretat (RFS) seran els mateixos que els establerts en la present guia per als productes qualificats, actualitzats amb els específics per a productes de xifra establerts en la CCN-STIC-130 Requisits d'Aprovació de Productes de Xifra per a Manejar Informació Nacional Classificada.
Productes i Serveis de Conformitat i Governança
El llistat de Productes i Serveis de Conformitat i Governança inclou productes i serveis que no formen part de l'arquitectura de seguretat d'un sistema TIC, però que implementen funcionalitats que faciliten el compliment amb la normativa de seguretat. En aquest grup estarien, per exemple, eines d'auditoria, anàlisi de riscos o bastionado de sistemes/equips.
Des del punt de vista d'inclusió en el CPSTIC, no s'han definit requisits específics per a aquests productes ni s'exigeixen certificacions, encara que sí que s'avaluen en un laboratori acreditat.
Aquest llistat posseeix una única categoria, la de Conformitat i Governança, que es compon de les següents famílies:
CG.1
Governança i Planificació de la Seguretat
CG.2
Normativa de Seguretat i Conformitat
CG.3
Anàlisi i Gestió de Riscos
CG.4
Notificació i Gestió de Ciber incidents
CG.5
Intercanvi de Ciber intel·ligència
CG.6
Formació i Conscienciació en Ciberseguretat
