El CCN-CERT, del Centre Criptològic Nacional (CCN), ha actualitzat la Guia CCN-CERT IC-01/19 ENS: Criteris Generals d'Auditoria i Certificació
, especialment dirigit a les Entitats de Certificació de l'Esquema Nacional de Seguretat (acreditades per l'Entitat Nacional d'Acreditació, ENAC, o aquelles reconegudes pel CCN).
Este informe es troba comprès dins d'aquells elaborats pel Consell de Certificació de l'ENS (CoCENS) i pretén servir com a referència establint els criteris generals per a l'Auditoria i Certificació dels sistemes d'informació.
Les Entitats de Certificació de l'ENS actuaran sempre amb la major professionalitat i rigor, atenent a les cauteles i recomanacions arreplegades en els epígrafs del document en qüestió, destacant alguns dels seus punts principals:
- Epígraf 3.2 En relació amb la competència tècnica de l'Entitat de Certificació. Ha de tindre una experiència demostrable de, almenys, tres (3) anys.
- Epígraf 3.5 En relació amb l'obligatorietat de l'ús de les Guies CCN-STIC, considerant-se com “Mejores Prácticas”.
- Epígrafe 3.6 En relación con el tiempo de auditoría, determinando los tiempos necesarios para realizar las Auditorías de Conformidad con el ENS en sus diferentes fases: estudio documental previo, auditoría en modo remoto/in situ y redacción del Informe de Auditoría.
- Epígraf 3.8 Resum de les troballes d'auditoria. La solució EMPARE, solució posada a disposició pel CCN-CERT, permet la provisió de les dades per a afavorir l'automatització i eficiència del procés d'auditoria.
- Epígraf 3.9 Auditorías de certificació realitzades en manera remota. La necessitat de comptar amb nous procediments ha de comptar amb les garanties necessàries exigides per l'ENS sense que puguen patir cap minvament.
- Epígraf 3.13 En relació amb el període de validesa de les Certificacions de Conformitat amb l'ENS en situacions excepcionals. La vigència de les Acreditacions i dels Certificats de conformitat vindrà determinada per la durada de la citada situació excepcional tenint en compte que, una vegada s'haja donat per finalitzada, es concedirà un nou període equivalent amb la mateixa durada que l'anterior, per a facilitar el restabliment gradual de les relacions entre les Entitats de Certificació i els seus clients. Per tant, la vigència dels certificats afectats s'incrementarà en un temps anàleg al que haja durat la situació excepcional, la qual cosa serà comunicat formalment pel CCN.
- Epígraf 3.15 En relació amb trànsit d'una Certificació de Conformitat de categoria MITJANA a una de categoria ALTA. Podrà ser possible si ocorren determinades circumstàncies determinades en l'informe.
Guia CCN-STIC CCN-CERT IC-01/19: “ENS: Criteris Generals d'Auditoria i Certificació”
