Taxonomías CPSTIC 2026: una base común de requisitos de seguridad

El CCN está actualizando las taxonomías de CCN-STIC 140 para homogeneizar los requisitos de seguridad, las amenazas y los activos comunes a la mayoría de los productos, independientemente de su familia. Entre ellos están los relacionados con la identificación y autenticación, los canales de comunicación y la protección de credenciales.

Sobre esa base común, cada taxonomía recoge las funciones propias de su tipo de producto. Así, las nuevas versiones combinan criterios compartidos por muchas soluciones con los requisitos específicos de cada familia.

Qué se está homogeneizando

La actualización abarca tanto las funciones de seguridad como el problema de seguridad al que responden:

• Requisitos comunes, como la identificación y autenticación de usuarios, la administración, los canales seguros, la criptografía, las actualizaciones y los registros de auditoría.
• Activos que proteger, como las credenciales, las claves privadas, la configuración del producto y los registros de actividad.
• Amenazas comunes, como los accesos no autorizados, la interceptación de comunicaciones o la instalación de actualizaciones maliciosas.

En administración, las distintas familias comparten requisitos para definir los roles y limitar las funciones a los usuarios autorizados. En identificación y autenticación, para verificar a los usuarios antes de darles acceso y proteger las interfaces frente a intentos de autenticación por fuerza bruta. En comunicaciones, para establecer canales seguros al intercambiar información sensible. Y en auditoría, para registrar los eventos con su fecha y hora, tipo, resultado y usuario.

Estos requisitos son, en su mayoría, comunes entre familias y presentan ligeras modificaciones para ajustarse a cada producto. Por ejemplo, cambia la lista de funciones que puede configurar un administrador, los tipos de usuario que deben autenticarse o los eventos concretos que se registran. La base del requisito se mantiene, adaptando esos detalles a las funcionalidades de cada solución.

Qué aporta cada familia

Cada taxonomía añade los requisitos vinculados a las funciones propias de su familia. Por ejemplo, los de gestión de identidades, borrado seguro de información o protección del correo electrónico, según el tipo de producto que se vaya a evaluar.

Para la evaluación hay que cubrir tanto la parte común como la específica del producto, reflejando todos los requisitos aplicables en la Declaración de Seguridad (ST). Los anexos también distinguen las categorías Media y Alta del ENS e incluyen tablas de trazabilidad para LINCE, CICLON y Common Criteria.

El esfuerzo cambia según el alcance

El trabajo necesario sigue dependiendo del producto. Estos ejemplos de los anexos muestran el esfuerzo necesario para una evaluación LINCE en días-persona (d/p), al que se añaden los módulos que correspondan. Cada día-persona es un día de trabajo de una persona. Es una medida de esfuerzo, no de duración del proyecto.

Algunas taxonomías, como la de VPN TLS, requieren que la evaluación incluya módulos adicionales. En este caso, se exige el módulo de evaluación criptográfica (MEC), aunque también se admite MEMeC de nivel CL1 como equivalente.

La actualización de las guías LINCE 2001 y 2002 sigue este criterio: el esfuerzo total se propone y justifica en la ST a partir de la familia y del alcance del producto.

Por dónde empezar con vuestro producto

Si estáis preparando la entrada en CPSTIC, os ayudamos a adaptar los requisitos de las taxonomías a las funciones, interfaces y configuración de vuestro producto. Con esa base preparamos la Declaración de Seguridad y nos encargamos de la evaluación e inclusión en CPSTIC.