|
Commercial Solutions for ClassifiedCommercial Solutions for Classified (CSfC), también llamado COTS-for-Secret, es una iniciativa de la NSA que permite a las agencias del Gobierno Federal de los Estados Unidos usar soluciones basada en la composición de múltiples COTS propuestas por proveedores, a través del Commercial Solutions Partnership Program (CSPP), y que han sido verificadas y aprobadas por cumplir los estándares de seguridad nacional.[1][2] Desde el punto de vista de países aliados de Estados Unidos, CSfC permite que en algunos casos ya no tengan que utilizar dispositivos de criptografía de EE. UU., sino que pueden adquirir e implementar los suyos propios.[3] La idea de CSfC no es reemplazar los productos de tipo 1, sino , basándose en las necesidades, poder usar la herramienta adecuada para cada caso.[4] La idea detrás del programa CSfC es realizar Defensa en profundidad (DiD), un concepto de ciberseguridad por el que al poner múltiples soluciones comerciales de seguridad, uno encima del otro, el riesgo de que todas estas soluciones fallaran, es mucho más bajo de lo que sería cuando se utiliza una sola solución.[1] Uno de los requisitos claves en CSfC es el doble cifrado para datos en tránsito y datos en reposo.[1] Por ejemplo, las directrices de la NSA para la conectividad de múltiples sitios requieren que los paquetes de datos clasificados se cifren dos veces antes de enviarlo a través de una red no confiable: primero por un componente de cifrado interno, y luego por un componente de cifrado exterior.[1] Este doble cifrado de datos tiene que ser descifrado dos veces después de llegar a su destino.[1] Hay gran número de dispositivos CSfC[1], entre los que se pueden encontrar enrutadores, servidores AAA, puntos de acceso, sistemas WIPS, MDM,...[5][6] Comparación con productos de tipo 1Como los productos CSfC están formados por composición de COTS y los Productos de tipo 1 son productos GOTS, esto lleva implícito que heredan las ventajas e inconvenientes de estos tipos de productos. Por ejemplo, CSfC acelera los tiempos en la obtención del producto y supone un potencial ahorro en los costes de desarrollo, reemplazo y mantenimiento del producto.[7] Otras ventajas de CSfC frente a los productos de tipo 1 son:
DesarrolloHabitualmente una implementación CSfC requiere de al menos una docena de componentes de distintos proveedores y cada componente tiene que ser aprobado para su uso.[1] La NSA provee una arquitecturas de referencia para ser usadas como comienzo de la construcción de un tipo de producto CSfC.[1][2] El proveedor desarrolla una solución compuesta de la arquitectura publicada y presenta la solución a la NSA para su revisión y aprobación.[2][1] Finalmente la NSA decide si aprueba la implementación propuesta.[2][1] Los componentes elegibles son publicados y actualizados periódicamente por la NSA.[8] Proveedores que quieran que sus productos sean elegibles como componentes CSfC tienen que enviar el componente a la NIAP para su evaluación y aprobación de acuerdo a perfile/s de protección aplicable/s del Gobierno de Estados Unidos (Common Criteria).[8] A continuación el proveedor tiene que someterse al FIPS para la validación del proceso y finalmente realizar un memorándum de acuerdo con la NSA.[8] Además, la NSA también propone una lista de integradores confiables (Trusted Integrators) que son empresas que pueden ayudar en el desarrollo.[1] También hay proveedores que construyen bajo pedido productos CSfC y que permiten cierto grado de intervención durante el proceso de desarrollo.[1] Referencias
|
