15.3.93 DiarioOficialdelasComunidades Europeas N°C73/19
—existeelpeligrodequeloscontratistas primarios
recurranatercerospaísesenbuscadefuentesde
suministro másbaratas;
—aunquelasPYMEsecaractericen porsucapacidad
deadaptación alcambio,necesitanlaasistenciade
programas dediversificación ;—elniveldesuspérdidasdeempleospuedeparecer
reducidocuandosecomparaconlaspérdidasde
empleomasivasdelasgrandesempresas ,perosus
efectospuedensermuchomásacusados enlas
PYMEafectadas .
HechoenBruselas ,el27deenerode1993.
ElPresidente
delComitéEconómico ySocial
SusanneTIEMANN
Dictamensobrelapropuesta deRecomendación delConsejorelativaacriterioscomunesde
evaluación delaseguridadenlatecnología delainformación
(93/C73/05)
El29deseptiembre de1992,deconformidad conelartículo198delTratadoconstitutivo de
laComunidad Económica Europea,elConsejodecidióconsultar alComitéEconómico y
Socialsobrelapropuestamencionada arriba.
LaSeccióndeindustria ,comercio ,artesanía yservicios ,encargada deprepararlostrabajos
enesteasunto,aprobósudictamenel6deenerode1993(ponente :DameJocelynBarrow).
Ensu302°pleno(sesióndel27deenerode1993),elComitéEconómico ySocialhaaprobado
porunanimidad elsiguientedictamen .
1.Introducción
1.1.Lapropuestapresentada porlaComisióntiene
porobjetogarantizar unamayorconfianza delconsu­
midorenlaseguridaddelosproductos delatecnología
delainformación yestablecer unbaremoparapoder
evaluarlaseguridad delosproductos deTI(TI=
tecnología delainformación ).Porotraparte,constituye
unacontinuación deltrabajollevadoyaacaboenlos
Estadosmiembros ,EEUUyJapónsobreeldesarrollo
deloscriteriosdeevaluación delaseguridad delaTI.
1.2.Lapropuesta deRecomendación delConsejo
proponelosiguiente :
(i)adoptarporunperíodoinicialdedosañoslos
CriteriosdeEvaluación delaSeguridad enlaTec­
nologíadelaInformación (ITSEC)entodala
Comunidad ;
(ii)progresar enlaarmonización ynormalización
internacional dedichoscriterios,bajolosauspicios
delGrupodeAltosFuncionarios sobreSeguridad
enlosSistemasdeInformación (SOG-IS),y(iii)examinar losprogresosalcanzados unaveztrans­
curridoelperíodoinicialde2añosyproponer
lasmedidasadecuadas paralaComunidad conla
asistencia delSOG-IS .
1.3.ITSECcomprende criteriosnormalizados para
laevaluación delaseguridaddelosproductos ysistemas
deTI,abarcando tantoelhardware comoelsoftware .
1.4.Estoscriteriosdeberánseraplicados alospro­
ductosysistemasdeTI,deacuerdoconlossistemas
nacionales decertificación ,pororganismos nacionales
independientes eimparciales deevaluación ,apetición
deun«patrocinador »(normalmente elvendedor o
usuariodelproductoosistemadeTI).Porconsiguiente ,
lacertificación espuramente facultativa .
1.5.Laseguridadenlatecnología delainformación
tienetrescomponentes :
—confidencialidad —impedirladivulgación noauto­
rizadadelainformación ,

N°C73/20 DiarioOficialdelasComunidades Europeas 15.3.93
—integridad—impedirlamodificación noautorizada
delainformación ,
—disponibilidad —impedirlaretenciónnoautori­
zadadeinformación orecursos .
1.6.LoscriteriosITSECnoseocupandedispositivos
destinados aimpediramenazas físicasalaseguridad
(comocerrojosocubiertas),sinodelhardware ,elsoft­
wareyelfirmwaredelossistemasyproductos deTI.
1.7.Cuandounpatrocinador deseeobtenerunaeva­
luacióndelaseguridad desuproductoosistemade
TIdebedefinirel«objetivodeseguridad »paraese
productoosistemadeacuerdoconelcualseevaluará
elmismo.Esteobjetivodeseguridad debeestablecer
los«objetivosdeseguridad »pertinentes quedebacon­
seguirelproductoosistemadeTI,susnecesarias «fun­
cionesdestinadas alaseguridad »,cualesquiera «ame­
nazas»potenciales alproducto osistemadeTIy,
facultativamente ,los«mecanismos deseguridad »—la
lógicaoalgoritmos quellevanacabolafunciónde
seguridad .
1.8.Laevaluación sellevaacaboendosniveles :en
elprimeroseevalúasilaselección eincorporación
delasfuncionesdestinadas alaseguridadduranteel
desarrollo delsistemaoproducto yelmodoenque
éstosseempleansoncorrectos ;enelsegundoseevalúa
sielproductoosistemalograonocumplirlosobjetivos
deseguridad .
1.9.Elpatrocinador exigiráquelaconformidad yla
adecuadaaplicación delasfuncionesdestinadas ala
seguridad seevalúensobrelabasedeunniveldeevalua­
cióndeE0(mínimo )aE6(máximo).Cadanivelde
evaluación suponeunexamenmásrigurosodelpro­
ductoosistema .Posteriormente laevaluación dela
eficaciadelproductoosistemaparacumplirlosobjeti­
vosdeseguridad sebasaráenlaevaluación delaconfor­
midad,altiempoquelacapacidad delosmecanismos de
seguridadpararesistirunataquedirectoserácalificada
comobásica,mediaoalta.enreiteradas ocasiones enlaimportancia deestepro­
blema,especialmente ensudictamensobrelaspropues­
tasdeDirectivarelativasalaprotección delosindivi­
duosrespectoaltratamiento dedatospersonales yla
DecisióndelConsejoenmateriadeseguridad delos
sistemasdeinformación (!).
2.2.Laintroducción decriteriosnormalizados para
evaluarlosdispositivos deseguridadpermitiráqueel
usuario,unavezidentificados losriesgosqueleconcier­
nen,puedaelegirlosproductos osistemasadecuados
parasusnecesidades ,ayudándole asíanoinvertirmás
delacuentaendispositivos innecesarios yacontrolar
riesgos.
2.3.Seestablecerá asimismo unsistemadecertifica­
ciónquecontribuirá agarantizar quelasdeclaraciones
delproveedor respectoalaseguridadinherente asus
productos ysistemasdeTIrespondan alarealidad ;por
otraparte,laexistencia decriteriosnormalizados para
evaluarlacapacidad delasfuncionesdestinadas ala
seguridad incorporadas alosproductos parahacer
frenteaamenazas similaresfacilitalacomparación
entrediferentes productos .Estoesparticularmente
valiosoenmateriadecontratospúblicos,yestambién
deutilidadenelcomercio ylaindustriaprivada .
2.4.Losvendedores deproductos deseguridadque
sesometanalacorrespondiente evaluación deseguri­
dadpodríanincrementar laventadesusproductos
graciasalusoapropiado delacertificación ;porotro
lado,estaríanencondiciones deadaptarmásfácilmente
elfuturodesarrollo desusproductos alasexigencias
delmercado .
2.5.Laexistencia decriteriosnormalizados facili­
taríalaintroducción decódigosdeconductaodeuna
legislación queestablezca criteriosmínimosdeseguri­
dadaceptables enlossistemasyproductos deTI,siem­
preycuandoesténjustificados ,comoeselcaso,por
ejemplo,deláreadelaprotección dedatos.
2.6.Laexistencia decriteriosdeseguridad aumen­
taríalaconfianza enlosproductos ysistemascomunita­
riosfueradeEuropaeincrementaría lasexportaciones
delaCE.
2.7.Laarmonización deloscriterios estambién
deseableparafacilitarlalibrecirculación debienesen
laCEyreduciraunmínimoelrecursoalartículo36
porpartedelosEstadosmiembros yelnúmerode
demandas anteelTribunaldeJusticia .ElComitéyaha
subrayado laimportancia querevistelanormalización
paralarealización delmercadoúnicoensuInformey
Dictamen sobrelanormalización ylaeliminación de
lasbarrerastécnicasalcomercio (2).
2.8.ElComitéapreciaquealahoradeestablecer
loscriteriossehayantenidoencuentalosexistentes en1.10.Alconcluirlaevaluación ,elorganismo nacio­
nalindependiente atribuiráunacalificación deE0aE6
queconfirmará queelsistemaoproductodeTIha
satisfecho todosloscriteriosdeconformidad yque
resultaeficazalnivelindicado .
2.Observaciones generales
2.1.ElComitéacogefavorablemente lapropuesta y
apruebasusobjetivos .Losproductos ysistemasdeTI
desempeñan unpapelcadavezmásimportante enla
sociedad yeldañoquepodríaresultardeunamenor
seguridad haaumentado enconsecuencia .ElParla­
mentoEuropeoyelpropioComitéhanhechohincapié(')DOn°C159de17.6.1991.
(2)DOn°C14de20.I.1992.

15.3.93 DiarioOficialdelasComunidades Europeas N°C73/21
otrospaísesnoeuropeos ,enparticular losEstados
UnidosdeAmérica .ElComitéhapedidoyaenotras
ocasionesquesetenganencuentalasventajasdeuna
normalización aescalamundial afindeevitarlas
barrerastécnicasalcomercioconlospaísesnocomuni­
tarios;yreiteraquenodeseaquelosITSECeuropeos
constituyan unabarrerainvisiblealcomercio .
2.9.ElComitéapreciaquelosITSECsehayanesta­
blecidotrasconsultar alosfabricantes yusuariosde
productos ysistemasdeTI,ysubrayalaimportancia
deinstituirunaconsultapermanente .
3.Observaciones específicas
3.1.ElComitélamentaqueenelarticulado dela
Recomendación seempleeunlenguajetécnicotan
oscuroquehacequelapropuesta resulteinnecesaria­
mentedifícildeentender .
3.2.ElComitéacogefavorablemente laseparación
entrelosrequisitos deseguridad yfuncionalidad enlos
criteriosquepermitenlaaplicación delosITSECauna
ampliagamadeproductos osistemasdeTI.
3.3.ElComitéapruebaelpropósito de,unavez
transcurrido elperíododedosañosdecontrolporparte
delSOG-ISypreviaconsultaconlaindustria ylos
usuarios,examinarlosprogresosconseguidos enmate­riadeseguridad delossistemasdetecnología dela
información .Porotraparte,apruebatambiénlainten­
cióndeacometer elimportante objetivodelreconoci­
mientorecíprocodelacertificación nacionalentodala
Comunidad ,peroestimaquehabríaqueprestarmás
atenciónaalgunaspreocupaciones formuladas porlos
usuarios,comoporejemplolassiguientes :
a)lacuestióndesiesposibleonoquelasevaluaciones
seansuficientemente precisasenlaprácticaparaser
comercialmente útiles;
b)quéhacerconlasdiferencias —quepuedenser
numerosas —entrelosdiversos modelos decada
productodetecnología delainformación ;
c)quémetodologías aplicarenelprocesodeevalua­
ciónycómoconseguircoherencia entrelosorganis­
mosnacionales decertificación ;
d)lacuestióndesienelfuturoseexigiráquelos
sistemaspúblicosoprivadoscumplanunadetermi­
nadanormaconarregloalalegislación comunitaria
oaundeterminado códigodeconducta ,enrelación
porejemploconlossistemasqueutilizandatos
personales ,y
e)anteelrápidodesarrollo deestaindustria ,cómo
garantizar quelasevaluaciones deseguridad selle­
venacaboconsuficienterapidezyqueloscriterios
deevaluación seactualicen periódicamente .
HechoenBruselas ,el27deenerode1993.
ElPresidente
delComitéEconómico ySocial
SusanneTIEMANN