Evaluación para la certificación SEAL

BlockSec determina el alcance a partir de los sistemas, las responsabilidades operativas y los riesgos de la organización, y lo confirma con el cliente. En la mayoría de los casos, un módulo solo se excluye cuando no resulta aplicable.

Una evaluación de un único módulo es adecuada cuando los demás módulos quedan realmente fuera de las operaciones de la organización. El resultado identifica los módulos evaluados y explica los motivos de las exclusiones.

Conviene comenzar con una descripción general de las operaciones y los sistemas de la organización, los responsables designados y las políticas y los registros operativos disponibles. BlockSec define las evidencias y el enfoque de verificación para los controles aplicables, teniendo en cuenta el tamaño y los riesgos del cliente. Las evidencias pueden incluir registros de firmantes, revisiones de acceso, configuraciones, entrevistas, registros de actividad y resultados de simulacros; los requisitos concretos se acuerdan para el proyecto.

No se deben enviar claves privadas, frases semilla ni secretos de producción a través de un formulario público de consulta.

BlockSec identifica los requisitos incumplidos y ofrece recomendaciones de remediación. El cliente realiza los cambios y BlockSec revisa las evidencias actualizadas dentro del ciclo de evaluación.

La orientación para la remediación y la nueva evaluación dentro del alcance acordado para el proyecto se incluyen sin coste adicional. Los controles incluidos en el alcance deben estar implementados o justificados como no aplicables antes de que se pueda emitir la certificación.

Los equipos pueden utilizar el marco público para revisar sus propias prácticas e identificar deficiencias. La autoevaluación no incluye la verificación independiente de un tercero ni genera una constancia oficial de certificación SEAL. La evaluación para la certificación la realiza una firma acreditada, que emite la certificación cuando se cumplen los requisitos.

• La certificación SEAL evalúa si los controles operativos incluidos en el alcance cumplen los requisitos del marco con evidencias suficientes.
• Las auditorías de código evalúan la seguridad de la implementación, el diseño y la arquitectura.
• Las pruebas de penetración blockchain evalúan si se pueden reproducir rutas explotables dentro de un entorno y unas reglas de actuación acordados.
• Las pruebas de seguridad blockchain evalúan la corrección y la resiliencia de la implementación en una infraestructura adaptada al proyecto mediante métodos como las pruebas diferenciales, el fuzzing y las pruebas de nodos o clústeres.

Estos servicios pueden examinar algunos de los mismos sistemas y utilizar métodos que se solapan, pero responden a objetivos de evaluación distintos. Las pruebas pueden aportar evidencias para algunos controles de certificación; por sí solas no completan una evaluación para la certificación SEAL. Los servicios pueden combinarse según el alcance.

No. BDSS comprueba configuraciones observables públicamente. La certificación de DNS y registrador de dominios también requiere evidencias de controles operativos, como el acceso al registrador, las aprobaciones de cambios, la monitorización y los procedimientos de recuperación. Las pruebas de penetración responden a una cuestión distinta: si se pueden combinar debilidades para crear una ruta explotable.

Las constancias de EAS pueden proporcionar evidencias de certificación verificables públicamente, mientras que los informes detallados de evaluación y los materiales de respaldo permanecen confidenciales conforme a las condiciones del proyecto.

La inclusión en el directorio y la divulgación de información que identifique al cliente requieren su aprobación. Las condiciones de divulgación, incluida cualquier información que se registre on-chain, se acuerdan antes de la emisión.

Las certificaciones tienen una vigencia limitada y requieren nuevas evaluaciones periódicas. La vigencia y las condiciones de las nuevas evaluaciones se confirman para cada proyecto. Los cambios importantes en la arquitectura o las operaciones deben dar lugar a una revisión del alcance, y la falta de conformidad sostenida puede llevar a la revocación.

No. La certificación confirma la conformidad con los requisitos operativos incluidos en el alcance en el momento de la evaluación. No garantiza que no se produzcan incidentes, no sustituye la monitorización continua ni supone una aprobación regulatoria.

Un proyecto suele durar entre uno y dos meses, según los módulos aplicables, las evidencias necesarias y su grado de preparación, así como la remediación que se requiera. Esta estimación no constituye un plazo fijo de finalización.

El alcance, las solicitudes de evidencias, el calendario, los entregables y el precio se acuerdan caso por caso tras el análisis inicial.