Estrutura
A estrutura do Catálogo de Produtos e Servizos STIC (CPSTIC) está definida na guía CCN-STIC 140 “Taxonomía de referencia para produtos de seguridade TIC”. Basicamente está organizado en tres (3) listados:
Cada un deles componse de varias categorías que, á súa vez, compóñense de varias familias.
Produtos e Servizos Cualificados
Nesta listaxe inclúense produtos e servizos que forman parte da arquitectura de seguridade dos sistemas TIC que están baixo o alcance do ENS nalgunha das súas categorías BÁSICA, MEDIA ou ALTA, é dicir, aqueles que desenvolven a súa actividade no contexto operacional de leste e implementan funcionalidades que permiten incrementar o nivel de seguridade do sistema nalgunha das súas dimensións (dispoñibilidade [D], integridade [I], confidencialidade [C], autenticidade [A] e rastrexabilidade [T]).
Para que un produto ou servizo sexa cualificado, debe cumprir cos Requisitos Fundamentais de Seguridade (RFS) definidos para cada familia, incluídos nos correspondentes anexos da guía CCN-STIC 140:
Control de acceso
Seguridade na explotación
Monitorización da seguridade
Protección das comunicacións
Protección da Información e os Soportes de Información
Protección de Equipos e Servizos
Servizos na nube
Mecanismos criptográficos
Protección de instalaciones e infraestructuras
Seguridade OT
Ferramentas para o desenvolvemento de produtos de seguridade
Outras ferramentas
Produtos e Servizos Aprobados
A taxonomía de produtos aprobados para o manexo de información clasificada será a mesma que para produtos cualificados xunto coas seguintes categorías:
Protección en contornas tácticas
Tempest
Os Requisitos Fundamentais de Seguridade (RFS) serán os mesmos que os establecidos na presente guía para os produtos cualificados, actualizados cos específicos para produtos de cifra establecidos na CCN-STIC-130 Requisitos de Aprobación de Produtos de Cifra para Manexar Información Nacional Clasificada.
Produtos e Servizos de Conformidade e Gobernanza
A listaxe de Produtos e Servizos de Conformidade e Gobernanza inclúe produtos e servizos que non forman parte da arquitectura de seguridade dun sistema TIC, pero que implementan funcionalidades que facilitan o cumprimento coa normativa de seguridade. Neste grupo estarían, por exemplo, ferramentas de auditoría, análise de riscos ou bastionado de sistemas/equipos.
Desde o punto de vista de inclusión no CPSTIC, non se definiron requisitos específicos para estes produtos nin se esixen certificacións, aínda que si se avalían nun laboratorio acreditado.
Esta listaxe posúe unha única categoría, a de Conformidade e Gobernanza, que se compón das seguintes familias:
CG.1
Gobernanza e Planificación da Seguridade
CG.2
Normativa de Seguridade e Conformidade
CG.3
Análise e Xestión de Riscos
CG.4
Notificación e Xestión de Ciberincidentes
CG.5
Intercambio de Ciberinteligencia
CG.6
Formación e Concienciación en Ciberseguridade
