Mantener un certificado
Un agente cambia después de certificarse, y los ataques contra él también. Un certificado CTS-1 solo sigue activo mientras el agente siga aprobando.
Pruebas trimestrales
Cada tres meses Caudals prueba de nuevo el sistema certificado. Cada nueva prueba usa más o menos una cuarta parte del conjunto operativo original, casos nuevos sacados de preguntas y documentación recientes, y un conjunto de ataques renovado con las técnicas publicadas desde la ronda anterior.
El listón es el mismo que en la certificación: ningún hallazgo crítico o alto. Si aparece uno, tienes 30 días para corregirlo y superar una nueva prueba de los requisitos afectados. La fecha de la última prueba aparece en la entrada del registro.
Comunicar los cambios
Avisa a Caudals antes de que cualquiera de estos cambios llegue a producción. Probamos los requisitos a los que afecta, normalmente en unos días.
- Un modelo distinto o una nueva versión mayor del mismo modelo.
- Un cambio importante en el prompt de sistema o en las barreras de seguridad.
- Una fuente de conocimiento nueva, o la retirada de una.
- Una herramienta nueva, o permisos más amplios para una que ya existía.
- Un canal, un idioma o un grupo de usuarios nuevo.
Las actualizaciones rutinarias del contenido de la base de conocimiento no hay que comunicarlas. Las cubre la prueba trimestral.
Comunicar los incidentes
Si el sistema certificado se ve implicado en un incidente que indica que un requisito ha dejado de cumplirse, como una exposición de datos, una acción no autorizada o una respuesta dañina a gran escala, avisa a Caudals en un plazo de cinco días laborables. Revisamos lo ocurrido y decidimos si hace falta una nueva prueba.
Recertificación anual
Un certificado es válido doce meses. La recertificación empieza unas ocho semanas antes de que caduque y sigue los mismos pasos que la certificación, con un conjunto de pruebas nuevo y con la versión de CTS-1 vigente en ese momento. El nuevo certificado conserva el mismo número con un nuevo periodo de validez.
Estado del certificado
| Estado | Significado |
|---|---|
| Activo | El sistema está certificado y sus pruebas están al día. |
| Suspendido | Se está resolviendo un hallazgo que impide la certificación, un cambio no comunicado o una prueba que no se hizo. La insignia no se puede usar mientras el certificado está suspendido. |
| Retirado | Caudals o el titular han dado por terminado el certificado. |
| Caducado | Han pasado los doce meses sin recertificación. |
Los certificados suspendidos, retirados o caducados siguen en el registro con su estado y la fecha.
Suspensión y retirada
Caudals suspende un certificado cuando un hallazgo crítico o alto no se corrige en 30 días, cuando no se comunicó un cambio sustancial, cuando no se hace una prueba trimestral o cuando la insignia se usa fuera de sus normas. Un certificado suspendido se restablece cuando se resuelve la causa y los requisitos afectados aprueban. Si no se resuelve en 90 días, el certificado se retira.
Quejas y recursos
El titular que no esté de acuerdo con un hallazgo o con una decisión puede recurrir por escrito en un plazo de 30 días. El recurso lo revisa alguien que no participó en la decisión original. Cualquier persona puede comunicar una preocupación sobre un sistema certificado o sobre un mal uso de la insignia en [email protected].