De acuerdo con la documentación aportada por Microsoft, la organización Common Criteria for Information Technology Security Evaluation (CCITSE) ha decidido otorgar a la plataforma Windows 2000 la certificación CC (estándar ISO-IEC 15408) de nivel 4 (EAL4). Esta certificación, la máxima que se asigna a productos comerciales, se encuentra ampliada con la ALC FLR 3 (Systematic Flaw Remediation) de la NIAP (National Information Assurance Partnership).
Según Miguel Bañón, director de calidad y certificación de Safelayer, la certificación CC no implica que Windows 2000 cumpla determinados requisitos, sino que el fabricante ha argumentado de forma satisfactoria para la CCITSE, y en función de unos criterios de evaluación definidos en distintos niveles (EAL), las prestaciones en materia de seguridad del producto. Bañón señaló, además, que conlleva unos elevados costes, “que en ocasiones discriminan, según su capacidad económica, a unas empresas de otras de cara a la obtención de esta certificación”.
En esta evaluación, Microsoft ha remitido a la CCITSE información relativa, entre otros aspectos, a los sistemas de control de acceso de Windows 2000, su sistema de generación de firma digital, el mecanismo de protección de datos críticos, de respuesta a fallos o de soporte de redes virtuales.
Para Héctor Sánchez, responsable de seguridad en Microsoft Ibérica, este anuncio contribuye a la creación de un lenguaje común de seguridad en el sector de las TI, así como la documentación elaborada para la obtención del certificado ha generado guías de configuración que se pueden descargar gratuitamente en
www.microsoft.com/technet/security y
www.niap.nist/gv/dc-scheme.
La certificación CC de Windows 2000 se encuadra en la iniciativa Trustworthy Computing puesta en marcha hace aproximadamente un año por Microsoft y que consiste en situar a la seguridad como máxima prioridad en todas las áreas de la compañía. En este sentido, según Fernando González, jefe de producto de Windows Server en Microsoft Ibérica, la compañía ha invertido más de 100 millones de euros desde entonces en mejorar la seguridad de los desarrollos. “No sé podrá volver a decir que un producto es 100% seguro, pero sí que somos capaces de dar una respuesta lo más rápida posible a un problema de seguridad”, afirma González, que también anunció el lanzamiento para el próximo mes de abril de Windows .Net Server 2003.
www.commoncriteria.org
www.microsoft.com
