OP.PL.5 Componentes Certificados

Documentos de referencia

• Guías CCN-STIC:
  • Guía CCN-STIC-813 - Componentes Certificados en el ENS
  • Guía CCN-STIC-103 - Catálogo de Productos con certificación criptologica
• ISO/IEC 27000
• NIST SP 800-53 rev. 4
• Otras referencias:
  • NIST SP 800-23 - Guidelines to Federal Organizations on Security Assurance and Acquisition/Use of Tested/Evaluated Products
  • NIST SP 800-36 - Guide to Selecting Information Technology Security Products
  • Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información http://www.oc.ccn.cni.es
  • Orden PRE/2740/2007 de 19 de septiembre, por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información.
  • ISO/IEC 15408-1:2005 - Information technology - Security techniques - Evaluation criteria for IT security - Part 1: Introduction and general model
  • ISO/IEC 15408-2:2005 - Information technology - Security techniques - Evaluation criteria for IT security - Part 2: Security functional requirements
  • ISO/IEC 15408-3:2005 - Information technology - Security techniques - Evaluation criteria for IT security - Part 3: Security assurance requirements
  • ISO/IEC 18045:2005 - Information technology - Security techniques - Methodology for IT security evaluation
  • ISO/IEC TR 19791:2006 - Information technology - Security techniques - Security assessment of operational systems

Guía de implantación

87. Todas las palabras se quedan cortas para insistir en la necesidad de recurrir a componentes probados, evaluados y certificados. Desarrollar los propios componentes exige un apreciable nivel de formación, un considerable esfuerzo y una capacidad de mantenimiento de la seguridad frente a vulnerabilidades, defectos y nuevas amenazas. Todo esto se simplifica notablemente recurriendo a componentes de terceras partes siempre y cuando dichos componentes estén asegurados para protegernos de acuerdo a nuestras necesidades y frente a nuestras amenazas. Esto quiere decir que antes de adquirir un producto, por muy acreditado que esté, hay que cerciorarse de que cubre nuestras necesidades específicas.

88. El empleo de componentes certificados requiere:

• un esfuerzo preliminar de validación: idoneidad para el caso
• un esfuerzo de implantación: adquisición y formación
• y un esfuerzo continuo de actualizaciones para no perder las garantías iniciales

89. Cuando se evalúan productos, es frecuente establecer una escala de niveles. En el caso de Criterios Comunes (ISO 15408), esta es la escala:

EAL1 – Probado funcionalmente

EAL1 es aplicable cuando se necesita alguna confianza en el funcionamiento correcto pero las amenazas a la seguridad no son importantes. Será útil cuando se necesite garantía independiente en la controversia entre el debido cuidado que se ha ejercido y la protección de la información personal o similar.

EAL1 proporciona una evaluación del TOE disponible para el cliente, incluyendo pruebas independientes sobre una especificación y un examen de los manuales proporcionados. Se piensa que una evaluación EAL1 pueda ser realizada con éxito sin la ayuda del fabricante del TOE y con un gasto mínimo.

Una evaluación a este nivel debe proporcionar evidencia de que el TOE funciona de una manera consistente con su documentación y que proporciona protección útil contra las amenazas identificadas.

EAL2 – Probado estructuralmente

EAL2 necesita la cooperación del fabricante por lo que se refiere a entregar información de diseño y resultados de pruebas, pero no debe exigir más esfuerzo por parte del fabricante de lo que supone una práctica comercial buena. Por tanto, no debe requerir un nivel de esfuerzo sustancialmente mayor en costes o tiempo.

EAL2 es, por consiguiente, aplicable en aquellas circunstancias en las que fabricantes o usuarios necesitan un nivel de seguridad, entre bajo y moderado, garantizado independientemente en ausencia de documentación extensiva o tiempo.

EAL3 – Probado y verificado metódicamente

EAL3 permite a un fabricante concienzudo obtener garantía máxima de la ingeniería de seguridad en la fase de diseño sin la alteración sustancial de las prácticas de desarrollo válidas existentes.

EAL3 es aplicable en aquellas circunstancias en las que fabricantes o usuarios necesitan un nivel moderado de seguridad garantizado independientemente y una completa investigación del TOE y su desarrollo sin necesidad de reingeniería sustancial.

EAL4 – Diseñado, probado y revisado metódicamente

EAL4 permite a un fabricante obtener garantía máxima de la ingeniería de seguridad basada en correctas prácticas de desarrollo comercial que, aun siendo riguroso, no requiere un conocimiento o destreza especializados sustanciales ni otros recursos.
EAL4 es el nivel más alto que permite que sea económicamente factible aplicar CC a una línea de producto ya existente.

EAL4 es, por consiguiente, aplicable en aquellas circunstancias en las que fabricantes o usuarios necesitan un nivel de seguridad, entre moderado y alto, garantizado independientemente de TOEs convencionales y están dispuestos a costear gastos adicionales de ingeniería específica de seguridad.

EAL5 – Diseñado y probado semiformalmente

EAL5 permite a un fabricante obtener garantía máxima de la ingeniería de seguridad basada en prácticas de desarrollo comercial rigurosas apoyadas por una moderada aplicación de técnicas específicas de ingeniería de seguridad. En este caso el TOE probablemente se diseñe y desarrolle con la intención de lograr el nivel de garantía EAL5. Es probable que el coste adicional atribuible a los requisitos de EAL5, comparado al coste que supone un desarrollo riguroso sin la aplicación de técnicas especializadas, no sea grande.

EAL5 es, por consiguiente, aplicable en aquellas circunstancias en las que fabricantes o usuarios necesitan un nivel alto de seguridad, garantizado independientemente, en un desarrollo previsto y requiere un enfoque de desarrollo riguroso sin incurrir en gastos no razonables atribuibles a las técnicas de ingeniería específica de seguridad.

EAL6 – Diseñado, probado y revisado semiformalmente

EAL6 permite a los fabricantes obtener alta garantía de la aplicación de técnicas de ingeniería de seguridad en un entorno de desarrollo riguroso para producir un TOE específico para proteger los recursos de alto valor contra riesgos significativos.

EAL6 es, por consiguiente, aplicable al desarrollo de TOEs de seguridad para su aplicación en situaciones de alto riesgo donde el valor de los recursos protegidos justifica el coste adicional.

EAL7 – Diseñado, probado y revisado formalmente

EAL7 es aplicable al desarrollo de TOEs de seguridad para su aplicación en situaciones de riesgo extremadamente alto y/o donde el alto valor de los recursos justifica el mayor coste.
La aplicación práctica de EAL7 se limita actualmente a TOEs con una funcionalidad estrictamente dirigida a la seguridad que permite un extenso análisis formal.

90. El ENS solo requiere la consideración de productos certificados para sistemas de categoría ALTA. No obstante, cabe hacer las siguientes indicaciones:

• Un nivel EAL1 sería recomendable para cualquier sistema.
• Un nivel EAL2 sería aconsejable para sistemas de categoría MEDIA o ALTA.
• Un nivel EAL3 sería interesante para sistemas de categoría ALTA, concretamente para elementos críticos del sistema como puede ser la frontera exterior hacia redes públicas.
• Niveles por encima de EAL3 son siempre interesantes, pero probablemente desproporcionados para sistemas adscritos al ENS, salvo frente a amenazas extremas.

Implementación en Legit Health Plus

Estrategia de Componentes Certificados

Política de Certificación

Legit Health Plus implementa una estrategia diferenciada de componentes certificados basada en:

• Criticidad del componente en la cadena de seguridad
• Exposición a amenazas según el threat model T-024-006
• Requisitos regulatorios específicos (FDA, EU MDR, ENS)
• Coste-beneficio de la certificación vs. riesgo asumido
• Disponibilidad de alternativas certificadas en el mercado
• Madurez tecnológica y lifecycle del componente

Categorización de Componentes por Nivel de Certificación

Matriz de Requisitos de Certificación:

Categoría	Nivel ENS	Nivel EAL	Componentes Legit Health Plus
Críticos	ALTO	EAL3+	Cifrado, PKI, HSM, Firewall perimetral
Altos	ALTO	EAL2+	Authentication, SIEM, DB encryption
Medios	MEDIO	EAL1+	Load balancers, monitoring, backup
Básicos	BÁSICO	Commercial	Development tools, logs analysis

Inventario de Componentes Certificados

Componentes de Seguridad Críticos

Productos Certificados en Uso:

Componente	Proveedor	Certificación	Nivel EAL	Estado	Renovación
AWS KMS	Amazon	FIPS 140-2 Level 3	EAL4+	Activo	N/A (Servicio)
AWS CloudHSM	Amazon	FIPS 140-2 Level 3	EAL4+	Piloto	N/A (Servicio)
AWS WAF	Amazon	SOC 2 Type II	EAL2+	Activo	Anual
Azure AD B2C	Microsoft	SOC 2, ISO 27001	EAL2+	Activo	Continua
CrowdStrike Falcon	CrowdStrike	Common Criteria	EAL2+	Activo	2025-12
Datadog SIEM	Datadog	SOC 2 Type II	EAL2	Activo	2025-06

Componentes Criptográficos

Bibliotecas Criptográficas Certificadas:

Biblioteca	Certificación	Algoritmos	Uso en Sistema	Validación
AWS Crypto SDK	FIPS 140-2	AES, RSA, SHA	Cifrado aplicación	NIST Validated
OpenSSL (FIPS)	FIPS 140-2	AES, RSA, ECC	TLS, certificados	NIST Validated
Bouncy Castle	Common Criteria	AES, RSA, ECC	Java crypto	CC Evaluated
libsodium	NaCl verified	ChaCha20, Poly1305	Python crypto	Academically reviewed

Proceso de Evaluación y Selección

Criterios de Selección

Metodología de Evaluación Certificada:

Metodología de evaluación de componentes certificados:

El proceso sigue un flujo secuencial de 10 fases con validación en cada etapa:

Fase	Actividad	Objetivo
1	Identificar Necesidad	Determinar requisito de componente certificado
2	Definir Requisitos Certificación	Establecer nivel de certificación requerido (EAL, FIPS)
3	Buscar Componentes Certificados	Investigar componentes certificados disponibles en mercado
4	Evaluar Certificaciones	Validar certificaciones contra requisitos establecidos
5	Análisis Coste-Beneficio	Evaluar ROI de certificación vs. riesgo
6	Proof of Concept	Validar funcionalidad en entorno controlado
7	Validación Seguridad	Verificar controles de seguridad y certificaciones
8	Decisión Adquisición	Aprobación formal por comité de evaluación
9	Implementación Controlada	Despliegue gradual con monitorización
10	Monitorización Certificación	Seguimiento continuo de vigencia y cumplimiento

Flujo de proceso: Cada fase debe completarse exitosamente antes de avanzar a la siguiente. La validación de certificaciones es crítica y se realiza mediante verificación independiente con las autoridades certificadoras.

Evaluación de Certificaciones

Framework de Evaluación:

Criterio	Peso	Evaluación
Nivel EAL	30%	EAL4+ (10), EAL3 (8), EAL2 (6), EAL1 (4)
Reconocimiento	25%	NIST (10), CC (9), FIPS (8), SOC2 (6)
Scope de Certificación	20%	Full product (10), Module (7), Process (5)
Vigencia	15%	<1 año (10), 1-2 años (8), >2 años (5)
Vendor Reputation	10%	Tier 1 (10), Tier 2 (7), Tier 3 (5)

Componentes por Dominio

Seguridad de Red

Componentes de Red Certificados:

Componente	Certificación	Función	Configuración Específica
AWS WAF	SOC 2, PCI DSS	Web Application Firewall	Rules engine + ML detection
AWS Shield	SOC 2, ISO 27001	DDoS Protection	Advanced tier + 24/7 DRT
Cloudflare	SOC 2, ISO 27001	CDN + Security	WAF rules + Bot management
Palo Alto Prisma	Common Criteria EAL2+	CASB + SASE	Cloud security + zero trust

Gestión de Identidades

IAM Certificados:

Stack de gestión de identidades certificadas:

Primary IdP (Proveedor de Identidad Principal):

Aspecto	Especificación
Producto	Azure AD B2C
Certificaciones	SOC 2 Type II, ISO 27001, FedRAMP High
Capacidades	Multi-tenant isolation, Custom policies, MFA enforcement, Conditional access, RBAC/ABAC support

Federation (Federación de Identidad):

Aspecto	Especificación
Producto	SAML/OIDC
Estándares	SAML 2.0, OAuth 2.0, OpenID Connect
Certificaciones	OASIS approved, OAuth Security BCP

PKI (Public Key Infrastructure):

Aspecto	Especificación
Producto	AWS Private CA
Certificaciones	FIPS 140-2, Common Criteria
Casos de uso	Client certificates, API signing, Code signing

Cifrado y PKI

Infraestructura Criptográfica:

Componente	Certificación	Nivel FIPS	Algoritmos Soportados
AWS KMS	FIPS 140-2 Level 3	Level 3	AES-256, RSA-2048/4096, ECC P-256/P-384
AWS CloudHSM	FIPS 140-2 Level 3	Level 3	AES, RSA, ECC, ECDSA
HashiCorp Vault	FIPS 140-2 Level 1	Level 1	AES-256, RSA, ChaCha20
Azure Key Vault	FIPS 140-2 Level 2	Level 2	AES, RSA, ECC

Implementación Específica para Medical Devices

Requisitos FDA/EU MDR

Componentes Críticos para Dispositivos Médicos:

Componente	Regulación	Certificación Requerida	Estado Actual
Encryption Libraries	FDA Cybersecurity	FIPS 140-2 validated	✅ Implementado
Authentication System	EU MDR Annex I	SOC 2 + penetration tested	✅ Implementado
SIEM/Logging	21 CFR 820	Common Criteria evaluated	✅ Implementado
Backup/Recovery	FDA QSR	Business continuity certified	✅ Implementado
API Gateway	HIPAA/GDPR	Security controls assessed	✅ Implementado

Validación Clínica de Componentes

Impact Assessment Framework:

Marco de Evaluación de Impacto Clínico:

Se establece un proceso de evaluación en tres niveles según el impacto clínico potencial de cada componente.

Componentes de Impacto Directo (Direct Impact):

Componentes que participan directamente en el proceso diagnóstico o terapéutico:

Componente	Validación Requerida	Nivel de Certificación
ML inference engines	Validación clínica completa	EAL3+ o FDA 510(k)
Image processing libraries	Validación clínica completa	EAL3+ o FDA 510(k)
Diagnostic algorithms	Validación clínica completa	EAL3+ o FDA 510(k)
Clinical decision support	Validación clínica completa	EAL3+ o FDA 510(k)

Componentes de Impacto Indirecto (Indirect Impact):

Componentes que soportan las funcionalidades clínicas sin participar directamente:

Componente	Validación Requerida	Nivel de Certificación
Authentication systems	Validación de seguridad y rendimiento	EAL2+ o SOC 2
Database engines	Validación de seguridad y rendimiento	EAL2+ o SOC 2
Monitoring tools	Validación de seguridad y rendimiento	EAL2+ o SOC 2
Backup systems	Validación de seguridad y rendimiento	EAL2+ o SOC 2

Componentes de Infraestructura (Infrastructure Components):

Componentes de soporte técnico sin impacto directo en funcionalidad clínica:

Componente	Validación Requerida	Nivel de Certificación
Load balancers	Evaluación básica de seguridad	Grado comercial + pruebas de penetración
CDN services	Evaluación básica de seguridad	Grado comercial + pruebas de penetración
Logging systems	Evaluación básica de seguridad	Grado comercial + pruebas de penetración
Development tools	Evaluación básica de seguridad	Grado comercial + pruebas de penetración

Gestión del Ciclo de Vida de Certificaciones

Monitorización de Vigencia

Certificate Lifecycle Management:

Certificación	Vigencia	Renovación	Responsable	Estado
AWS KMS FIPS	Continua	N/A	AWS	Activo
CrowdStrike CC	3 años	2025-12	CISO	Vigente
Azure AD SOC2	Anual	2025-06	Microsoft	Vigente
Datadog SOC2	Anual	2025-08	Datadog	Vigente
WAF Penetration Test	Anual	2025-03	Security Team	Próximo

Proceso de Renovación

Renewal Process:

Proceso secuencial de renovación de certificaciones:

Fase	Momento	Actividad
1	90 días antes del vencimiento	Sistema genera notificación automática a responsables
2	Notificación automática	Alerta enviada al equipo de seguridad y responsable del componente
3	Evaluación de necesidad	Análisis de vigencia del componente y necesidad de renovación
4	Contacto con vendor	Inicio de comunicación con proveedor para proceso de renovación
5	Scheduling de auditoría	Programación de fechas para evaluación o auditoría de renovación
6	Preparación documentación	Recopilación de evidencias, logs, y documentación requerida
7	Auditoría/Assessment	Ejecución de proceso de evaluación para renovación
8	Remediation si requerida	Implementación de correcciones identificadas durante auditoría
9	Certificación renovada	Obtención de certificado actualizado con nueva fecha de vigencia
10	Actualización inventario	Registro de nueva certificación en CCMDB e inventario ENS

Alternativas y Sustituciones

Plan de Contingencia

Componentes Alternativos Certificados:

Componente Principal	Alternativa 1	Alternativa 2	Certificación Común
AWS KMS	Azure Key Vault	HashiCorp Vault Enterprise	FIPS 140-2
Azure AD B2C	AWS Cognito	Auth0 Enterprise	SOC 2 Type II
CrowdStrike	SentinelOne	Microsoft Defender ATP	Common Criteria
Datadog	Splunk Enterprise	AWS Security Hub	SOC 2 Type II

Evaluación de Migración

Migration Assessment Matrix:

Criterios de evaluación para migración de componentes:

Se establece una matriz de evaluación ponderada para analizar la viabilidad de migrar de un componente certificado a otro alternativo:

Criterio	Peso	Factores Evaluados
Technical Complexity	30%	Compatibilidad API, Migración de datos, Configuración requerida
Business Continuity	25%	Tiempo de inactividad, Impacto a usuarios, Capacitación requerida
Certification Level	20%	Nivel EAL, Alcance de certificación, Reconocimiento regulatorio
Cost Impact	15%	Costes de licenciamiento, Implementación, Mantenimiento continuo
Vendor Stability	10%	Salud financiera del proveedor, Posición en mercado, Soporte técnico

Proceso de decisión: La suma ponderada de todos los criterios debe superar 70 puntos sobre 100 para considerar viable la migración. Cada factor se puntúa de 1-10 según impacto/cumplimiento.

Cumplimiento Regulatorio

Mapeo ENS

Controles ENS Cubiertos por Componentes Certificados:

Control ENS	Componente	Certificación	Nivel Cobertura
mp.com.1	AWS WAF	SOC 2	Completo
mp.com.2	Cloudflare	ISO 27001	Completo
mp.cryp.1	AWS KMS	FIPS 140-2 L3	Completo
mp.cryp.2	OpenSSL FIPS	FIPS 140-2 L1	Completo
mp.acc.1	Azure AD B2C	SOC 2	Completo
mp.acc.2	RBAC custom	N/A	Parcial

Gap Analysis

Brechas Identificadas y Plan de Cierre:

Gap Identificado	Criticidad	Solución Planificada	Timeline
Database encryption	Alta	DocumentDB encryption + AWS KMS	Q1 2025
Log encryption	Media	CloudWatch + KMS integration	Q1 2025
Container scanning	Alta	Trivy + Snyk certified versions	Q2 2025
API rate limiting	Media	AWS WAF advanced rules	Q1 2025

Evaluación Económica

Coste de Certificación vs Riesgo

ROI Analysis:

Componente	Coste Adicional	Riesgo Mitigado	ROI Calculado
AWS KMS vs OpenSSL	+$2,000/mes	Gestión claves críticas	450%
Azure AD vs Custom	+$5,000/mes	Breach de autenticación	280%
CrowdStrike vs Basic AV	+$3,000/mes	Advanced persistent threats	320%
WAF Enterprise vs Basic	+$1,500/mes	Application layer attacks	380%

Budget Planning

Certificación Budget FY2025:

Presupuesto de Certificación FY2025:

1. Licencias de Componentes Certificados:

Trimestre	Inversión	Acumulado
Q1	$15,000	$15,000
Q2	$18,000	$33,000
Q3	$20,000	$53,000
Q4	$22,000	$75,000
Total	$75,000	-

2. Auditorías y Renovaciones:

Concepto	Inversión Anual
Penetration Testing	$25,000
SOC 2 Audits	$15,000
Compliance Consulting	$10,000
Total Auditorías/Renovación	$50,000

3. Migración a Nuevos Componentes:

Fase	Inversión
Planning	$20,000
Implementation	$40,000
Training	$15,000
Total Migración	$75,000

Resumen Presupuesto FY2025:

• Total General: $200,000
• Crecimiento vs FY2024: +35%
• Distribución: 37.5% Licencias, 25% Auditorías, 37.5% Migraciones

Proceso de Adquisición

Procurement Process

Certified Component Acquisition:

Proceso secuencial de adquisición de componentes certificados:

Fase	Actividad	Objetivo
1	Business Need	Identificación de necesidad de negocio o técnica
2	Security Requirements	Definición de requisitos de seguridad específicos
3	Certification Requirements	Establecimiento de nivel de certificación requerido (EAL, FIPS, etc.)
4	Market Research	Investigación de componentes certificados disponibles en mercado
5	Vendor Evaluation	Evaluación de proveedores según criterios establecidos
6	Certification Validation	Verificación independiente de certificaciones declaradas
7	POC with Certified Version	Prueba de concepto con versión certificada del componente
8	Security Assessment	Evaluación de seguridad integral del componente
9	Cost-Benefit Analysis	Análisis de retorno de inversión vs. nivel de riesgo
10	Approval Process	Aprobación formal por comité de evaluación técnica y seguridad
11	Contract Negotiation	Negociación de términos contractuales y SLAs
12	Implementation Planning	Planificación detallada de despliegue e integración

Vendor Management

Certified Vendor Requirements:

Criterio	Requisito Mínimo	Evaluación
Certificaciones Actuales	EAL2+ o equivalent	Verificación independiente
Security Response Time	< 24h para críticos	SLA contractual
Vulnerability Disclosure	Public program	Verificación proceso
Support Lifecycle	Min 5 años	Contractual commitment
Escrow de Código	Disponible si requerido	Legal agreement

Monitorización y Auditoría

Continuous Monitoring

Certificate Monitoring System:

Marco de Monitorización Continua:

1. Verificaciones Automatizadas:

Verificación	Frecuencia	Objetivo
Certificate expiration	90/30/7 días	Alertas progresivas antes del vencimiento
Vulnerability announcements	Tiempo real	Detección inmediata de vulnerabilidades publicadas
Compliance status changes	Diaria	Seguimiento de cambios en estado de cumplimiento
Performance impact	Continua	Monitorización de impacto en rendimiento del sistema

2. Revisiones Manuales Programadas:

Tipo de Revisión	Frecuencia	Alcance
Certification portfolio review	Trimestral	Revisión completa del portafolio de certificaciones
Full security assessment	Anual	Evaluación integral de seguridad de todos los componentes
Incident-triggered review	Ad-hoc	Revisión motivada por incidentes de seguridad
Regulatory audit preparation	Según calendario regulatorio	Preparación de evidencias para auditorías ENS/MDR

3. Sistema de Alertas por Severidad:

Nivel Severidad	Destinatarios Notificación	Tiempo Respuesta
Critical	CISO, CTO, Security Team	Inmediato
Warning	Security Team, Product Team	< 24 horas
Info	Platform Team, Documentation	< 7 días

Compliance Dashboard

Key Metrics Dashboard:

Métrica	Target	Actual	Status
Componentes Certificados	100% críticos	95%	⚠️
Certificaciones Vigentes	100%	98%	⚠️
Tiempo Renovación	< 30 días	25 días	✅
Vulnerabilidades Certificadas	0 críticas	1 alta	⚠️
ROI Certificación	>200%	315%	✅

Formación y Concienciación

Training Program

Certified Components Training:

Audiencia	Contenido	Duración	Frecuencia
Security Team	Deep dive certificaciones	16h	Anual
Development Team	Best practices uso	8h	Semestral
Operations Team	Monitoring y maintenance	4h	Trimestral
Management	Business value certificaciones	2h	Anual

Knowledge Base

Documentation Repository:

• Guías de implementación por componente
• Procedures de renovación de certificaciones
• Troubleshooting guides certificados
• Vendor contact directory
• Emergency response procedures
• Compliance mapping matrices

Roadmap y Evolución

Certification Roadmap

Evolution Plan:

Período	Objetivos	Componentes Objetivo
Q1 2025	Close current gaps	DB encryption, log security
Q2 2025	Enhance monitoring	SIEM upgrade, EDR expansion
Q3 2025	Zero Trust adoption	Network segmentation, micro-segmentation
Q4 2025	Quantum readiness	Post-quantum cryptography evaluation

Emerging Standards

Estándares Emergentes en Monitorización:

Se mantiene seguimiento proactivo de nuevos estándares y certificaciones que afectarán a componentes certificados:

Estándar Emergente	Timeline	Impacto en Componentes	Estado de Preparación
Post-Quantum Cryptography	2025-2027	Todos los componentes criptográficos	Evaluación de algoritmos en curso
AI/ML Certification	2025-2026	ML inference engines	Alineación con NIST AI Risk Management Framework
IoMT Medical Devices	2025	Componentes de integración	Monitorización de guías FDA para dispositivos conectados
Zero Trust Architecture	2024-2025	Componentes de red y acceso	Implementación según NIST SP 800-207

Proceso de evaluación: Para cada estándar emergente, el equipo de seguridad mantiene un roadmap de adopción que incluye evaluación de impacto, análisis de brecha, y planificación de migración. Se revisa trimestralmente en el Comité de Seguridad.

Anexo A: Matriz de Certificaciones

Comprehensive Certification Matrix:

Componente	EAL	FIPS	SOC2	ISO27001	CC	FDA	Otros
AWS KMS	-	L3	✓	✓	-	-	FedRAMP
Azure AD	-	-	✓	✓	-	-	HIPAA
CrowdStrike	-	-	✓	✓	✓	-	PCI-DSS
WAF	EAL2+	-	✓	✓	-	-	OWASP

Anexo B: Emergency Response

Certification Emergency Procedures:

1. Certificate Expiration Emergency:
   • Immediate: Contact vendor
   • 4h: Temporary exemption if available
   • 24h: Risk assessment + mitigation plan
   • 72h: Replacement component evaluation
2. Vulnerability in Certified Component:
   • Immediate: Threat assessment
   • 2h: Vendor contact + patch status
   • 24h: Risk mitigation measures
   • 72h: Remediation plan execution

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

• Author: Team members involved
• Reviewer: JD-003, JD-004
• Approver: JD-001