Was ist die LINCE-Zertifizierung und wie erreiche ich sie?
LINCE, was für Certificación Nacional Esencial de Seguridad (Essentielle Nationale Sicherheitszertifizierung) steht, wurde vom spanischen Nationalen Kryptologischen Zentrum, bekannt als CCN (Centro Criptológico Nacional), entwickelt. Es wurde entwickelt, um den Bedarf an einer leichteren Bewertungsmethode als den Gemeinsamen Kriterien zu decken, die besser für Produkte geeignet ist, die sensible Informationen verwalten, jedoch ohne ein so hohes Bedrohungsniveau.
Das CCN fungiert als Zertifizierungsstelle für das LINCE-Schema, das zertifiziert, dass ein Produkt erfolgreich eine autorisierte Sicherheitsbewertung bestanden hat. Diese Zertifizierung ermöglicht es, das Produkt im spanischen STIC-Produktkatalog aufzunehmen. Die Bewertung hat folgende Anforderungen:
- Es muss analysiert werden, inwieweit das Produkt die grundlegenden Sicherheitsanforderungen erfüllt, die in den Richtlinien [CCN-STIC-140] definiert sind.
- Es muss die Widerstandsfähigkeit der Sicherheitsfunktionen des Produkts gemessen werden.
- Es muss auf die Analyse von Schwachstellen und Penetrationstests ausgerichtet sein.
- Es muss innerhalb eines vordefinierten Zeitrahmens und mit einer vordefinierten Arbeitslast durchgeführt werden.
Die LINCE-Zertifizierung besteht aus einem Basis-Paket und den folgenden zwei optionalen Modulen, die eine erhöhte Sicherheitsgarantie bieten:
- Kryptographisches Bewertungsmodul oder MEC (Módulo de Evaluación Criptográfica), das die kryptographischen Mechanismen, die in einem Produkt implementiert sind, funktional bewertet.
- Quellcode-Überprüfungsmodul oder MCF (Módulo de Revisión de Código Fuente), das es ermöglicht, das Produkt mit einer 'White-Box'-Bewertung des Quellcodes eingehender zu bewerten.
Folglich können alle folgenden Kombinationen von Bewertungen im Rahmen des LINCE-Zertifizierungsschemas durchgeführt werden:
- Basis: LINCE-Bewertung
- Basis + MEC: LINCE-Bewertung + Kryptographische Bewertung
- Basis + MCF: LINCE-Bewertung + Quellcode-Überprüfung
- Basis + MEC + MCF: LINCE-Bewertung + Kryptographische Bewertung + Quellcode-Überprüfung
In der Regel sollten LINCE-Bewertungen mit geschätzten Arbeitslasten von etwa 25 Arbeitstagen für eine Person durchgeführt werden und dürfen maximal 8 Wochen dauern.
Für die optionalen Module (MEC und MCF) werden für jedes der Module zusätzlich 5 Arbeitstage und eine maximale Dauer von 2 Wochen hinzugefügt. Inklusive der beiden Module muss eine LINCE-Zertifizierung innerhalb von 35 Arbeitstagen für eine Person durchgeführt werden, mit einer maximalen Dauer von 12 Wochen.
Was ist der Katalog der ICT-Sicherheitsprodukte (CPSTIC)?
Der Katalog ist die Liste der ICT-Sicherheitsprodukte, die vom Produkt- und Technologiebereich des Nationalen Kryptologischen Zentrums, oder CCN-PYTEC (Departamento de Productos y Tecnologías del Centro Criptológico Nacional), empfohlen werden, um von der spanischen Verwaltung zum Schutz ihrer IT-Ressourcen verwendet zu werden.
Alle aufgeführten Produkte wurden unter Cybersecurity-Zertifizierungsschemata von akkreditierten und unabhängigen Laboren bewertet – und unter der Aufsicht des CCN – um sicherzustellen, dass sie die höchsten Sicherheitsstandards erfüllen.
Der Katalog soll eine Referenz für den spanischen öffentlichen Sektor und die Unternehmen, die Dienstleistungen für ihn erbringen, bei der Ausschreibung und dem Kauf von ICT-Produkten sein. Zu diesem Zweck unterscheidet der Katalog zwischen zwei Arten von Produkten:
QUALIFIZIERTE PRODUKTE, die zertifizierte Sicherheitsfunktionen haben und für die Verwendung in Systemen geeignet sind, die den spanischen Nationalen Sicherheitsrahmen, oder ENS (Esquema Nacional de Seguridad) in den Kategorien Hoch und Mittel entsprechen. Produkte der Basis-Kategorie sind nicht im Katalog enthalten.
GEPRÜFTE PRODUKTE, die für die Verwendung in Systemen genehmigt sind, die klassifizierte Informationen verwalten.
Die LINCE-Zertifizierung gewährt Zugang zum STIC-Katalog der qualifizierten Produkte der ENS-Mittel-Kategorie, während die Common Criteria-Zertifizierung Zugang zur ENS-Hoch-Kategorie gewährt. Für weitere Informationen zur Aufnahme in den Katalog der qualifizierten Produkte der Hoch-Kategorie konsultieren Sie bitte unseren STIC-Katalog-Leitfaden.
*Ausgenommen in besonderen Fällen
Applus+ Laboratorien: Experten für Cybersecurity-Evaluierungen
Unsere verschiedenen IT-Laboratorien verfügen über alle erforderlichen Ressourcen und Akkreditierungen für die Bewertung der Cybersicherheit sowie über umfangreiche und bewährte Erfahrungen mit Sicherheitsbewertungen und Zertifizierungsprozessen.Für weitere Informationen über den optimalen Weg zur Aufnahme Ihres Produkts in den IKT-Sicherheits-Produktkatalog wenden Sie sich bitte an unsere Experten.