Certificación LINCE
Certificación LINCE
La certificación LINCE permite evaluar y certificar la seguridad de productos TIC de forma más ágil y acotada que otros esquemas de mayor complejidad, como Common Criteria.
Está especialmente orientada a fabricantes y desarrolladores que necesitan demostrar la seguridad de su producto para su uso en el mercado español, en particular cuando el objetivo es facilitar la inclusión del producto en el Catálogo de Productos y Servicios de Seguridad TIC del CCN, CPSTIC.
Desde Digital Cubes acompañamos al fabricante durante todo el proceso de preparación, evaluación y soporte técnico, ayudando a reducir riesgos, evitar retrasos y preparar la documentación necesaria para afrontar la evaluación con garantías.
¿Qué es LINCE?
LINCE, Certificación Nacional Esencial de Seguridad, es una metodología de evaluación de seguridad para productos TIC desarrollada por el Centro Criptológico Nacional.
Su objetivo es verificar que las funciones de seguridad declaradas por el producto son coherentes, están correctamente documentadas y ofrecen resistencia frente a amenazas dentro del alcance definido para la evaluación.
A diferencia de Common Criteria, LINCE está diseñado como un esquema más ligero, con esfuerzo y duración acotados, lo que lo convierte en una vía adecuada para productos que necesitan una certificación nacional de seguridad sin asumir la complejidad de una evaluación de alto nivel.
¿Para qué productos es adecuada la certificación LINCE?
LINCE puede ser una opción adecuada para cualquier producto destinado a proporcionar seguridad a los sistemas informáticos que tengan relación con las administraciones públicas.
Esto incluye, entre otros:
- Software de seguridad.
- Appliances físicos o virtuales.
- Productos TIC que tratan información sensible o proporcionan funcionalidades de seguridad.
- Soluciones on-premises desplegadas en infraestructura del cliente.
- Productos hardware con funciones de seguridad.
- Firmware o componentes integrados.
El análisis inicial permite determinar si LINCE es la vía adecuada o si conviene valorar alternativas como Common Criteria, EUCC, CICLON o una evaluación complementaria CPSTIC.
LINCE y CPSTIC
La razón para iniciar una certificación LINCE es incluir el producto en el Catálogo de Productos y Servicios de Seguridad TIC, CPSTIC.
Este catálogo es una referencia clave para organismos públicos y entidades sujetas al Esquema Nacional de Seguridad, ya que identifica productos cuyas funcionalidades de seguridad han sido evaluadas.
Digital Cubes ayuda al fabricante a entender qué vía de evaluación aplica a su producto, qué familia del catálogo puede corresponderle, qué evidencias son necesarias y cómo preparar la documentación para facilitar el proceso de evaluación e inclusión.
LINCE frente a Common Criteria
LINCE y Common Criteria son esquemas diferentes y responden a necesidades distintas.
LINCE suele ser más adecuado cuando el producto necesita una certificación nacional, con esfuerzo y tiempo acotados, orientada al mercado español y a entornos donde no se requiere una evaluación de alta profundidad.
Common Criteria puede ser más adecuado cuando el producto necesita reconocimiento internacional, mayor nivel de aseguramiento o certificación para entornos de mayor exigencia.
Digital Cubes ayuda a elegir la vía más adecuada en función del producto, el mercado objetivo, los requisitos del cliente y la estrategia de certificación del fabricante.
Nuestro servicio de consultoría LINCE
Digital Cubes ofrece soporte técnico y documental durante todas las fases del proceso:
1. Análisis inicial del producto
Revisamos el producto, su arquitectura, su modo de despliegue, sus funciones de seguridad y sus objetivos comerciales o regulatorios.
El objetivo es determinar si LINCE es la vía adecuada, identificar riesgos tempranos y definir una hoja de ruta realista antes de iniciar el proceso formal.
2. Definición del alcance del TOE
Ayudamos a delimitar correctamente el TOE, Target of Evaluation, definiendo el producto y la versión a evaluar, los componentes incluidos y excluidos, el entorno operacional y las dependencias externas. También se establece la configuración segura, las funciones de seguridad relevantes y los supuestos y restricciones de uso.
Una definición incorrecta del alcance puede generar retrasos, dudas durante la evaluación o necesidad de rehacer documentación.
3. Declaración de Seguridad
Preparamos la Declaración de Seguridad del producto, documento central de la evaluación LINCE.
Este documento describe el alcance de la certificación, las funciones de seguridad, el entorno del producto y la base sobre la que el laboratorio realizará la evaluación.
4. Adaptación de guías y manuales
Revisamos y adaptamos la documentación del producto para que sea útil durante la evaluación y para el usuario final.
Esto puede incluir:
- Guía de instalación segura.
- Guía de configuración segura.
- Manual de administración.
- Manual de operación.
- Requisitos del entorno.
- Procedimientos de actualización.
- Recomendaciones de uso seguro.
- Configuración certificada.
5. Soporte en módulos opcionales
Cuando el alcance lo requiere, damos soporte en la preparación de módulos opcionales como:
- MEC: Módulo de Evaluación Criptográfica.
- MCF: Módulo de Revisión de Código Fuente.
- MEB: Módulo de Evaluación Biométrica.
Estos módulos permiten ampliar la profundidad de la evaluación en áreas concretas del producto.
6. Coordinación con laboratorio y soporte durante la evaluación
Durante la evaluación, Digital Cubes actúa como apoyo técnico del fabricante, ayudando a responder preguntas del laboratorio, preparar aclaraciones, revisar observaciones y coordinar la entrega de documentación o evidencias adicionales.
7. Resolución de no conformidades
Es habitual que durante una evaluación aparezcan observaciones, dudas o findings documentales o técnicos.
Digital Cubes ayuda a analizarlos, priorizarlos y resolverlos mediante:
- Respuestas técnicas justificadas.
- Ajustes documentales.
- Recomendaciones de remediación.
- Revisión de configuraciones.
- Coordinación con el equipo de desarrollo.
- Seguimiento hasta el cierre de los puntos abiertos.
8. Soporte para inclusión en CPSTIC
Cuando el objetivo del fabricante es la inclusión en CPSTIC, podemos ayudar a preparar la documentación y las evidencias necesarias para facilitar el proceso posterior a la evaluación.
Esto puede incluir la revisión del encaje del producto en la familia correspondiente, la preparación de información adicional y el soporte documental asociado a la inclusión.
Preguntas frecuentes (FAQ)
¿Necesito LINCE para entrar en CPSTIC?
Depende del tipo de producto, su categoría, su familia CPSTIC y la vía de inclusión aplicable. Para muchos productos TIC, LINCE puede ser una vía adecuada, pero es necesario analizar cada caso.
¿Qué documentación necesita el fabricante?
Normalmente se requiere una Declaración de Seguridad, documentación de instalación, configuración y operación, descripción del entorno del producto, información sobre las funciones de seguridad y evidencias técnicas de soporte.
¿Cuánto dura una certificación LINCE?
La metodología LINCE está diseñada para tener esfuerzo y duración acotados. Sin embargo, el plazo real depende de la madurez del producto, la calidad de la documentación existente, la disponibilidad del equipo técnico y la rapidez en resolver observaciones.
¿Qué ocurre si aparecen no conformidades?
Es habitual que durante la evaluación aparezcan preguntas, observaciones o findings. Digital Cubes ayuda a preparar respuestas, actualizar documentación y coordinar acciones técnicas para resolverlos de forma eficiente.
¿LINCE tiene reconocimiento internacional?
LINCE es un esquema nacional español. Si el fabricante necesita reconocimiento internacional, puede ser recomendable valorar Common Criteria u otros esquemas de certificación.
¿Se certifica una versión concreta del producto?
Sí. La certificación se asocia a una versión y configuración concretas del producto. Si el producto evoluciona, puede ser necesario analizar el impacto de los cambios y valorar procesos de continuidad, actualización o recertificación.
¿Cuándo conviene empezar la preparación?
Conviene empezar antes de contratar formalmente la evaluación, especialmente si la documentación del producto no está orientada a certificación. Un análisis previo ayuda a detectar gaps, reducir riesgos y evitar retrasos durante la evaluación.
¿Digital Cubes emite la certificación LINCE?
No. La certificación LINCE la emite el Organismo de Certificación. Digital Cubes actúa como consultora especializada, ayudando al fabricante a preparar el producto, la documentación y las respuestas técnicas necesarias durante el proceso.