¿Qué es la certificación SEAL? Garantía de seguridad operativa para el sector cripto

SEAL Certifications es un programa de certificación de seguridad operativa de código abierto publicado por Security Alliance (SEAL). Su versión de referencia actual, v0.0.1, organiza 99 requisitos operativos específicos, denominados controles, en seis módulos que abarcan las personas, las cuentas, los firmantes, los dominios, la infraestructura, los procesos de tesorería y las capacidades de respuesta relacionados con un protocolo cripto [1, 2].

BlockSec es una de las primeras firmas evaluadoras acreditadas del programa y, actualmente, la única con sede en Asia. Como firma evaluadora acreditada por SEAL, definimos el alcance con el cliente, evaluamos los controles seleccionados y sus evidencias, documentamos las deficiencias y determinamos si se han cumplido los requisitos incluidos en el alcance. Cuando se cumplen, emitimos la atestación en cadena bajo nuestra acreditación de SEAL [4].

Este artículo explica por qué una organización podría solicitar la certificación SEAL, qué significa la certificación obtenida, qué módulos pueden corresponder, cómo realizamos la evaluación y cómo puede prepararse un equipo para el proceso.

1. Por qué solicitar la certificación SEAL

La justificación de SEAL para este marco es que la principal fuente de ataques exitosos en el sector cripto ha pasado de las vulnerabilidades de los contratos inteligentes a las fallas operativas [1]. En una evaluación, esto dirige la atención a los controles relacionados con firmantes, carteras multifirma, dominios, credenciales, supervisión de la infraestructura y respuesta a incidentes. Una evaluación para la certificación SEAL pregunta si esos controles funcionan en la práctica y pueden demostrarse con evidencias, lo que ofrece a las organizaciones cripto una perspectiva independiente sobre qué controles cumplen los requisitos de referencia y dónde persisten las deficiencias [1, 3].

La certificación SEAL responde a una pregunta de aseguramiento: ¿se han evaluado de forma independiente los controles operativos incluidos en un alcance acordado y se ha determinado que cumplen unos requisitos de referencia públicos de seguridad operativa específicos del sector cripto? Las organizaciones cripto, como protocolos, plataformas de intercambio, plataformas de pago y custodios, pueden necesitar esta garantía cuando inversores, equipos encargados de admisiones a cotización, responsables de cumplimiento, órganos de gobierno interno, aseguradoras o responsables de diligencia debida solicitan pruebas independientes de sus controles operativos. El resultado identifica los módulos y límites evaluados y registra si ese alcance cumplió los requisitos de referencia [5, 6].

El alcance de esa garantía se entiende mejor al compararla con otras actividades de seguridad. La evaluación puede examinar evidencias operativas relacionadas con el código para los controles de repositorios, CI/CD e infraestructura: permisos, ajustes de protección de ramas, registros de revisión de código, resultados de análisis de seguridad, controles de los procesos automatizados y configuraciones de infraestructura [7]. No revisa el código fuente para detectar vulnerabilidades de implementación ni determinar si la lógica del protocolo es correcta [1]. Otras actividades de seguridad abordan esos objetivos y otros relacionados: la auditoría de código evalúa el código fuente en busca de vulnerabilidades de implementación y fallos en la lógica del protocolo; las pruebas de penetración evalúan si pueden reproducirse vías de ataque explotables en un entorno acordado; los programas de recompensas por errores ofrecen un canal continuo para recibir hallazgos externos; y la supervisión continua facilita la detección y la respuesta permanentes.

La certificación SEAL es un programa de evaluación independiente. La certificación solo se emite cuando el alcance seleccionado cumple los requisitos de SEAL [6]. La auditoría de código, las pruebas de penetración, los programas de recompensas por errores y la supervisión continua son actividades separadas; ninguna es un requisito previo para la certificación.

La misma distinción se aplica a estándares de aseguramiento más amplios. Según la publicación de SEAL en la que solicitaba comentarios, SOC 2 e ISO 27001 siguen siendo valiosos y, con el tiempo, serán necesarios para muchas organizaciones, pero no se diseñaron en torno a modelos operativos específicos del sector cripto, como equipos pequeños y distribuidos que controlan un valor considerable en cadena [5]. El marco de SEAL ofrece un punto de partida más específico para los controles operativos del sector cripto y puede complementar esos estándares más amplios.

2. Qué acredita la certificación

El resultado de una certificación SEAL se aplica a los controles operativos, módulos y límites seleccionados para el proceso. Cuando los controles seleccionados cumplen los requisitos de SEAL, una firma evaluadora acreditada por SEAL, como BlockSec, emite la atestación en cadena a través de Ethereum Attestation Service, junto con la insignia de SEAL correspondiente, bajo su acreditación [4]. La atestación es pública; los informes de evaluación detallados y las evidencias permanecen confidenciales entre la firma evaluadora y el cliente [1]. La tabla distingue entre las conclusiones respaldadas por un resultado favorable y las afirmaciones que quedan fuera de su alcance.

Estos límites siguen vigentes después de la emisión. Una atestación SEAL no indica que un protocolo esté libre de problemas de seguridad [1]. Tiene una validez limitada, requiere reevaluaciones periódicas y puede revocarse tras un incumplimiento sostenido; SEAL no publica un período de validez fijo [1].

3. Qué abarca el marco

Los seis módulos pueden evaluarse por separado o en conjunto. Los requisitos de referencia actuales contienen 99 controles [1, 2]. La columna Cuándo puede corresponder es una guía editorial basada en las definiciones de los módulos, no una regla oficial de SEAL para determinar el alcance; confirmamos el alcance final con el cliente durante el proceso.

Los módulos siguen estando conectados desde el punto de vista operativo incluso cuando se evalúan por separado. Algunos controles de DevOps e infraestructura y de DNS y registrador dependen de las prácticas de seguridad de cuentas definidas en Identidad y cuentas. Los requisitos de respuesta a incidentes también aparecen en varios módulos, por ejemplo, para coordinar a los firmantes de una cartera multifirma o recuperar cuentas durante un incidente [2].

Estas referencias entre módulos afectan a las evidencias necesarias para un control incluido en el alcance; no certifican automáticamente el módulo al que se hace referencia, no establecen un orden de certificación obligatorio ni amplían el proceso. Una atestación de DNS y registrador no se convierte en una atestación de Identidad y cuentas solo porque un control de DNS dependa de prácticas de seguridad de cuentas. La atestación se aplica únicamente a los módulos y límites identificados en su alcance [1, 6].

4. Cómo funciona la evaluación

SEAL mantiene el marco y gestiona el programa de certificación. Como firma evaluadora acreditada por SEAL, realizamos cada evaluación de cliente en cinco pasos [1, 4]:

Figura 1. Un proceso de certificación SEAL avanza desde un alcance acordado hasta la revisión de evidencias, la subsanación y la reevaluación antes de que se emita una atestación.

1. Definición del alcance. Acordamos con el cliente qué módulos, controles, sistemas, operaciones y límites organizativos se incluyen en el alcance.

2. Recopilación de evidencias. El cliente proporciona material que muestra cómo se diseñan, asignan, aplican y revisan los controles incluidos en el alcance.

3. Evaluación. Evaluamos esas evidencias conforme a los requisitos publicados por SEAL e identificamos los elementos de respaldo ausentes o insuficientes.

4. Subsanación, si es necesaria. Si el alcance acordado no cumple los requisitos de referencia, proporcionamos un informe de deficiencias. El cliente subsana las deficiencias identificadas y presenta evidencias actualizadas para su reevaluación.

5. Certificación. Cuando el alcance acordado cumple los requisitos de referencia, emitimos la atestación formal en cadena bajo nuestra acreditación de SEAL.

La recopilación de evidencias y la evaluación se complementan: el cliente proporciona materiales de respaldo y BlockSec evalúa si demuestran que cada control funciona en la práctica. Las directrices de certificación de SEAL agrupan las evidencias de respaldo en cinco categorías, resumidas a continuación con ejemplos de las directrices y los requisitos de referencia de los módulos [2, 3, 7]:

A partir de esas evidencias, BlockSec registra cada control incluido en el alcance como Implementado, Parcialmente implementado, No implementado o N/A con justificación. La certificación formal exige que los controles del alcance acordado estén Implementados o se justifique su clasificación como N/A, con evidencias que respalden las afirmaciones. Por tanto, la decisión global de certificación es binaria para todo el alcance acordado, aunque la evaluación subyacente se realice control por control [3, 6].

5. Cómo prepararse

Antes de iniciar un proceso de certificación SEAL, prepare cuatro elementos:

1. Un alcance propuesto: los módulos, sistemas, entidades, equipos y límites pertinentes para la certificación que se pretende obtener.

2. Una autoevaluación control por control: qué requisitos parecen estar Implementados, Parcialmente implementados, No implementados o clasificados como N/A, con el fundamento de cada respuesta.

3. Un inventario de evidencias: procedimientos existentes, registros operativos, resultados de pruebas, registros de responsables y artefactos técnicos vinculados al alcance propuesto.

4. Participantes designados: las personas responsables de las decisiones sobre el alcance, la recopilación de evidencias y la coordinación de las subsanaciones.

Como el marco y las listas de verificación son públicos, un equipo puede empezar este trabajo antes de iniciar un proceso formal. La autoevaluación resulta útil para detectar procesos no documentados, evidencias operativas ausentes, controles sin responsable asignado y tareas de subsanación conocidas. Sigue siendo una comprobación interna: no se verifica de forma independiente ni produce una atestación SEAL [1, 3].

Estos cuatro elementos respaldan la definición inicial del alcance; la solicitud detallada de materiales depende de los módulos seleccionados. Los nombres de los módulos anteriores definen áreas temáticas, no una secuencia de certificación obligatoria. Se publicarán artículos específicos con orientación sobre los controles de cada módulo. Póngase en contacto con nosotros [需实证:CONTACT_OR_RELEVANT_PAGE_URL] para hablar sobre la selección de módulos, la preparación de evidencias y el alcance del proceso.

Referencias

1. Security Alliance, Marco de certificación SEAL: descripción general. Justificación del marco, módulos, definición independiente del alcance, proceso de evaluación, autoevaluación, atestación e insignia, confidencialidad, reevaluación y revocación. https://frameworks.securityalliance.org/certs/overview/

2. Security Alliance, Exportar todas las certificaciones (XLSX). Cantidades actuales de controles por módulo y referencias entre módulos, verificadas con la exportación oficial disponible en la descripción general del marco de certificación SEAL; consultado en septiembre de 2026. https://frameworks.securityalliance.org/certs/overview/

3. Security Alliance, Directrices de certificación. Estado por control, criterios de certificación y categorías de evidencia. https://frameworks.securityalliance.org/certs/certification-guidelines/

4. Security Alliance, Acreditación de auditores; y SEAL Certifications. Proceso de acreditación, responsabilidades de las firmas evaluadoras, estado del programa e información pública actual sobre los socios. https://frameworks.securityalliance.org/certs/certified-partners/ y https://securityalliance.org/our-work/certifications

5. Security Alliance Radar, Solicitud de comentarios: SEAL Certifications. Madurez de la seguridad de los contratos, relación con SOC 2 e ISO 27001, modularidad y justificación de la verificabilidad. https://radar.securityalliance.org/request-for-comments-seal-certifications/

6. Security Alliance Radar, SEAL Certifications: ya disponible (Isaac Patka, 2 de junio de 2026). Descripción general de los seis ámbitos y de la decisión única de aprobación o rechazo para todo el alcance acordado. https://radar.securityalliance.org/seal-certifications-auditor-accreditations-protocol-assessments/

7. Security Alliance, SFC: DevOps e infraestructura. Requisitos de referencia públicos para permisos de repositorios, protección de ramas, controles de revisión y análisis de código, CI/CD, gestión de la cadena de suministro y configuración de infraestructura. https://frameworks.securityalliance.org/certs/sfc-devops-infrastructure/