SESIP —la Norma de Evaluación de Seguridad para Plataformas de IoT— es una metodología de evaluación de seguridad para plataformas conectadas y sus componentes, publicada por GlobalPlatform y normalizada por CEN/CENELEC como EN 17927. Define un catálogo de requisitos funcionales de seguridad y un conjunto de niveles de garantía adaptados a los productos de IoT.

TrustCB gestiona el programa TrustCB SESIP y expide certificados de conformidad con GlobalPlatform SESIP (GP_FST_070) y la norma CEN/CENELEC EN 17927. La evaluación en sí la llevan a cabo laboratorios autorizados, como Keysight, que entregan un informe técnico de evaluación a TrustCB.

Los requisitos del SESIP se basan en los Criterios Comunes (ISO/IEC 15408), pero se han adaptado a las plataformas de IoT. El resultado es una evaluación más ágil y rápida, con un catálogo de requisitos reutilizable y unos niveles de garantía ajustados a los contextos típicos de implementación de IoT, al tiempo que se mantiene el rigor metodológico que confiere credibilidad a los Criterios Comunes.

Plataformas y componentes de plataformas: chips, elementos seguros, «Roots of Trust», sistemas operativos en tiempo real (RTOS) y pilas de software, componentes de conectividad y criptográficos, y dispositivos completos. Dado que SESIP admite la composición, los productos desarrollados sobre una plataforma certificada pueden reutilizar la evidencia de dicha plataforma.

Depende del modelo de amenazas de tu producto, de los requisitos de tus clientes y de cualquier normativa que debas cumplir. El nivel SESIP 2 es adecuado para productos de consumo conectados a la red y componentes de código cerrado; el nivel SESIP 3 es el más habitual en el ámbito comercial para dispositivos expuestos a acceso físico; los niveles SESIP 4 y 5 se aplican a componentes de alto valor expuestos a atacantes sofisticados. Nuestro taller de definición del alcance está diseñado para resolver esta cuestión desde el principio.

Los plazos dependen del nivel de garantía, de la complejidad del objeto de evaluación y del grado de madurez de su documentación. Los niveles 2 y 3 se estructuran en torno a actividades de prueba con una duración limitada, lo que los hace relativamente predecibles. La variable más importante suele ser la disponibilidad de la documentación justificativa, por lo que recomendamos realizar una evaluación previa a la certificación.

Un certificado SESIP de TrustCB tiene una validez de cinco años a partir de la fecha de emisión del informe técnico de evaluación, tal y como se define en el procedimiento del programa.

No de forma automática. La certificación SESIP aporta pruebas de seguridad sólidas y estructuradas que respaldan la documentación técnica y la evaluación de la conformidad de la CRA, pero esta última también impone obligaciones en materia de gestión de vulnerabilidades, notificación y ciclo de vida del producto que quedan fuera del ámbito de la evaluación SESIP. Podemos ayudarte a identificar qué aspectos cubre la certificación SESIP y cuáles aún deben abordarse.

Sí. SESIP 4 y SESIP 5 establecen una vía definida para la reutilización de plataformas y componentes certificados según SOG-IS o EUCC, lo que les permite aprovechar las correspondencias de SESIP con los ámbitos de los productos comerciales.

Sí. El programa TrustCB es compatible tanto con SESIP de GlobalPlatform como con la norma CEN/CENELEC EN 17927, y adaptamos las evaluaciones a la versión que mejor se ajuste a los requisitos de su mercado y de sus clientes.

Un perfil SESIP es un conjunto publicado de funcionalidades de seguridad que suelen ofrecerse para una categoría concreta de productos, definidas mediante el catálogo SESIP. Estas organizaciones, entre las que se incluyen GlobalPlatform y PSA Certified, han publicado diversos perfiles, y el uso de uno de ellos reduce el trabajo que supone redactar un objetivo de seguridad desde cero.