Aunque el gremio de la certificación Common Criteria no pone en duda su necesaria existencia, sí ha sido consciente de que su implantación está siendo muy limitada. Por ello algunos países han lanzado esquemas de certificación más ligeros, que intenten resolver el problema de costes y duraciones en el caso de los productos de garantías bajas (low assurance products). Francia fue uno de los primeros países en crear una metodología ligera (CSPN ¹⁰) en 2008. Posteriormente, otros países han seguido esa misma senda, y en el caso de nuestro país, esa metodología se llama LINCE ¹¹. Esta ha sido diseñada para productos TI que requieran certificaciones y garantías medias o bajas en cuanto a su seguridad. El objetivo de una evaluación LINCE es que un laboratorio autorizado pueda comprobar que un producto tiene un determinado nivel de efectividad con las funcionalidades de seguridad implementadas en él. Cabe subrayar que la evaluación se hace siempre basándose en la información que aporta el fabricante y la que se pueda obtener de fuentes abiertas.

Se pretende que, con esas certificaciones, los productos de menor seguridad dispongan de un esquema de costes asumibles y de duraciones acotadas en el tiempo. Todas esas iniciativas son similares aunque utilizan metodologías con ligeras diferencias, pero no es impensable que con ellas se pueda crear una metodología común y única que sea aceptada por todos (o por muchos) dentro de Europa. En general, esas metodologías ligeras consisten en varias fases: 1) revisión de la documentación técnica del producto, 2) evaluación funcional de su seguridad, 3) búsqueda de vulnerabilidades conocidas, y 4) ensayos de penetración.

Tanto si la metodología es ligera como si es extremadamente farragosa, además de la pertinencia de ambas, también hay que prestar atención a las capacidades reales y procedimientos utilizados por los Laboratorios de Evaluación. Aunque haya normas y certificaciones que pretendan homogeneizar las capacidades de las personas y metodologías que terminan haciendo el trabajo, eso no quiere decir que los objetivos marcados por esas normas sean siempre los adecuados para aportar la seguridad necesaria en un sector, sistema o proceso en función del tiempo. La homogenización normativa implica rigidez, y la rigidez se adapta mal a la evolución de los riesgos y a las estrategias de ataque por parte de seres inteligentes. La experiencia cuantitativa y cualitativa de tres décadas de certificación industrial bajo el esquema de los Common Criteria pone de manifiesto que no ha sido capaz de popularizar la certificación en ningún ámbito de la actividad industrial o de servicios a nivel planetario, ni europeo. El nacimiento de las metodologías ligeras apunta a que las causas supuestas de ese raquitismo certificador pueden estar en los excesivos costes y tiempos de ejecución que siempre han tenido asociados la certificación en general, y la de Common Criteria en particular.

Todavía está por ver si este enfoque más ligero y local consigue algo significativamente distinto a lo anterior, pero es preciso dejar claro que estas nuevas aproximaciones no ponen en duda o riesgo el amplio territorio y estatus quo que se sigue reservando la evaluación Common Criteria.

Tecnologías TIC, normalización y certificación

Quizás esta evolución hacia las metodologías ligeras sea un intento evolutivo que persigue impedir una verdadera revolución en lo que a la evaluación de seguridades reales se refiere. En todos los foros a favor de la normalización y la certificación, el mantra esencial es un canto a la uniformidad y a la caracterización/ evaluación independiente de los productos en el mercado. En muy pocas ocasiones tales certificaciones son obligatorias, y donde más éxito tiene la normalización es en sectores productivos industriales clásicos como el del automóvil, la aeronáutica y el transporte en general, donde esa obligación es de facto.

En el sector de las tecnologías de la información u otros derivados de ellas, la normalización brilla por su ausencia. Es verdad que el sector del automóvil y la aeronáutica tiene más de cien años de antigüedad, pero el sector TIC lleva unas décadas en boga con unos crecimientos nunca antes vistos y, sobre todo, teniendo un impacto histórico sobre, no sólo la productividad, sino también sobre el individuo y la sociedad misma. Está por ver que la agilidad de las tecnologías TIC permita algún tipo de normalización o certificación. En este gremio los productos son volátiles, efímeros, insustanciales, sobre todo si ponemos nuestra atención en que los más populares son servicios o gadgets que evolucionan, se consolidan y/o mueren en el propio uso de sus consumidores finales.

Es cuando ese tipo de tecnologías quiere entrar en el sector industrial cuando la consolidada tropa de la certificación y normalización quiere ponerle sus yugos. Está por ver que realmente lo consiga. Hasta ahora lo único que hemos visto es el surgir de una Internet de las Cosas (IoT) montándose sobre los mismos sillares que el comercio electrónico, las redes sociales, y el streaming de casi todo. No tengo muy claro que este fenómeno esté dispuesto a someterse al arbitraje de nadie y menos aún de los Señores de la Certificación.

Dos nuevos ámbitos: la Internet de las Cosas (IoT) y la Tecnología Operativa (OT)

La Internet de las Cosas ¹² (IoT) y la Tecnología Operativa ¹³ (OT) son dos nuevos ámbitos, dos nuevas fronteras donde la digitalización da la batalla a procedimientos previos netamente analógicos, continuos y derivables. Aunque ya llevan años en marcha, las seguimos viendo como nuevas porque es ahora cuando saltan al ágora en el que todos somos (in)formados. La IoT ya estaba en marcha en 1992 con la primera máquina expendedora de Coca Cola de la Universidad de Carnegie Mellon, que informaba a través de Internet de su estado interno. Por su parte, la OT no es más que el apodo reciente de lo que mucho antes eran los Sistemas de Control Industrial ¹⁴ (ICS).