Estándar de proveedor de tecnología abierta y confiable

El estándar Open Trusted Technology Provider (O-TTPS) ( Mitigating Maliciously Tainted and Counterfeit Products ) es un estándar de The Open Group que también ha sido aprobado para su publicación como estándar de tecnología de la información por la Organización Internacional de Normalización y la Comisión Electrotécnica Internacional a través de ISO/IEC JTC 1 y ahora también se conoce como ISO/IEC 20243:2015. ^{[ 1 ]} El estándar consta de un conjunto de directrices, requisitos y recomendaciones que se alinean con las mejores prácticas para la seguridad de la cadena de suministro global y la integridad de los productos de tecnología de la información y la comunicación (TIC) comerciales listos para usar (COTS) . ^{[ 2 ] [ 3 ]} Actualmente se encuentra en la versión 1.1. ^{[ 4 ] [ 5 ]} También se ha publicado una traducción al chino. ^{[ 6 ]}

El O-TTPS se desarrolló en respuesta a un panorama cambiante y a la creciente sofisticación de los ciberataques a nivel mundial. ^{[ 7 ]} El objetivo es ayudar a los proveedores a crear productos con integridad y permitir que sus clientes tengan mayor confianza en los productos tecnológicos que compran. ^{[ 8 ]} Las organizaciones de los sectores público y privado dependen en gran medida de productos TIC COTS para operar. Estos productos suelen producirse a nivel mundial, con el desarrollo y la fabricación en diferentes sitios en varios países. ^{[ 9 ]} El O-TTPS está diseñado para mitigar el riesgo de componentes falsificados y contaminados y para ayudar a garantizar la integridad del producto y la seguridad de la cadena de suministro durante todo el ciclo de vida del producto. ^{[ 10 ] [ 11 ]}

El Foro de Tecnología Confiable (OTTF) de The Open Group es un foro internacional neutral respecto a los proveedores que utiliza un proceso formal basado en el consenso para la colaboración y la toma de decisiones sobre la creación de estándares y programas de certificación para la tecnología de la información, incluido el O-TTPS. ^{[ 12 ]} En el foro, los proveedores, integradores y distribuidores de TIC trabajan con organizaciones y gobiernos para desarrollar estándares que especifiquen métodos seguros de ingeniería y fabricación, junto con prácticas de seguridad en la cadena de suministro. ^{[ 13 ]}

La Guía de implementación para aprovechar los proveedores de tecnología abierta y confiable en la cadena de suministro ^{[ 14 ]} proporciona una correspondencia entre el Marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) ^{[ 15 ]} y las prácticas organizativas relacionadas que figuran en el O-TTPS. El NIST hizo referencia al O-TTPS en su Publicación especial 800-161, "Prácticas de gestión de riesgos de la cadena de suministro para sistemas y organizaciones de información federales", que proporciona orientación a las agencias federales sobre cómo identificar, evaluar y mitigar los riesgos de la cadena de suministro de TIC en todos los niveles de sus organizaciones. ^{[ 16 ]}

La norma, desarrollada por expertos de la industria dentro del Foro, especifica prácticas organizativas que brindan garantía contra productos falsificados y adulterados a lo largo del ciclo de vida de los productos COTS ICT. ^{[ 17 ]} El ciclo de vida descrito en la norma abarca las siguientes fases: diseño, abastecimiento, fabricación, cumplimiento, distribución, mantenimiento y eliminación.

Las organizaciones pueden obtener la certificación de conformidad con el estándar a través del Programa de Acreditación de Proveedores de Tecnología de Confianza de Open Group. ^{[ 18 ]} La conformidad con el estándar es evaluada por evaluadores externos reconocidos. ^{[ 19 ]} Una vez que una organización ha sido evaluada satisfactoriamente y cumple con el estándar, se la incluye públicamente en el Registro de Acreditación de Open Group. ^{[ 20 ]} El proceso de evaluación por parte de terceros se rige por la Política de Acreditación y los Procedimientos de Evaluación. ^{[ 21 ]}

El esfuerzo por establecer el estándar comenzó en enero de 2010 con una reunión organizada por The Open Group, en la que participaron importantes representantes de la industria, el Departamento de Defensa de los Estados Unidos y la NASA . El Open Trusted Technology Forum se lanzó formalmente en diciembre de 2010 para desarrollar estándares industriales y mejorar la seguridad de las cadenas de suministro globales y la integridad de los productos TIC comerciales. ^{[ 22 ]}

La primera publicación del Foro fue un documento técnico que describía el Marco de Tecnología Confiable en general en 2010. ^{[ 23 ]} El documento técnico se centraba principalmente en las mejores prácticas que siguen las organizaciones comerciales al desarrollar y distribuir sus productos TIC COTS. Este enfoque general se redujo a finales de 2010 y principios de 2011 para abordar las amenazas más importantes de productos falsificados y manipulados maliciosamente, lo que dio como resultado el O-TTPS, que se centra específicamente en esas amenazas.

La primera versión de O-TTPS se publicó en abril de 2013. ^{[ 24 ]} La versión 1.1 del estándar O-TTPS se publicó en julio de 2014. ^{[ 4 ]} Esta versión fue aprobada por ISO/IEC en 2015 como ISO/IEC 20243:2015.

El programa de acreditación O-TTPS comenzó en febrero de 2014. IBM fue la primera empresa en obtener la acreditación por conformidad con el estándar. ^{[ 25 ]}

El programa de estándares y acreditación se ha mencionado en testimonios presentados ante el Congreso de los Estados Unidos en relación con el riesgo de la cadena de suministro y la ciberseguridad. ^{[ 26 ] [ 27 ]} La Sección 888 de la Ley de Autorización de Defensa Nacional para el Año Fiscal 2016 (Estándares para la Adquisición de Tecnología de la Información Segura y Sistemas de Ciberseguridad) exige que el Secretario de Defensa de los Estados Unidos realice una evaluación de O-TTPS o estándares tecnológicos públicos y abiertos similares e informe a los Comités de Servicios Armados del Senado y la Cámara de Representantes de los Estados Unidos en el plazo de un año. ^{[ 28 ]}

• seguridad de la cadena de suministro
• Componentes electrónicos falsificados
• Organización Internacional de Normalización
• Productos comerciales listos para usar
• Tecnologías de la información y las comunicaciones

• http://csrc.nist.gov/scrm/references.html
• http://www.afcea.org/committees/cyber/documents/Supplychain.pdf
• https://www.networkworld.com/article/716997/malware-cybercrime-defense-department-wants-secure-global-high-tech-supply-chain.html
• http://www.computerworlduk.com/news/security/3343185/the-open-group-previews-o-ttps-security-standard-for-supply-chains/
• http://www.opengroup.org/subjectareas/trusted-technology
• http://www.infoworld.com/article/2613780/supply-chain-management/supply-chain-2013--stop-playing-whack-a-mole-with-security-threats.html
• http://washingtontechnology.com/microsites/2012/sewp-2012/04-program-office-takes-leadership-role.aspx
• https://www.dhs.gov/news/2011/01/06/securing-global-supply-chain
• http://blogs.ca.com/2013/04/12/the-launch-of-the-open-trusted-technology-provider-standard/?intcmp=searchresultclick&resultnum=1