BlockSec evalúa la seguridad operativa de los proyectos de criptoactivos conforme al marco SEAL, revisando los controles y las evidencias que los respaldan para determinar si se cumplen los requisitos de certificación.
BlockSec forma parte del primer grupo de firmas evaluadoras acreditadas por SEAL y es actualmente la única firma evaluadora acreditada con sede en Asia.
SEAL mantiene el marco y acredita a las firmas evaluadoras. BlockSec realiza la evaluación y emite la certificación y su constancia on-chain asociada a través de EAS cuando se cumplen los requisitos incluidos en el alcance.
SEAL Certifications es un programa de certificación de seguridad operativa para protocolos de criptoactivos. Su marco público abarca seis módulos:
El alcance depende de los módulos aplicables a las operaciones de la organización.
La seguridad operativa depende de la aprobación de transacciones, el acceso privilegiado, el control de cambios de dominios y la respuesta a incidentes. Una auditoría de código examina la seguridad de la implementación; una evaluación para la certificación SEAL examina estas prácticas operativas conforme a requisitos definidos y evidencias de respaldo.
La evaluación documenta los controles implementados y las deficiencias pendientes para la remediación interna y la diligencia debida de terceros.
La certificación confirma la conformidad con los requisitos incluidos en el alcance en el momento de la evaluación; no garantiza la prevención de incidentes.
BlockSec determina los módulos aplicables a partir de los sistemas, las responsabilidades operativas y los riesgos de la organización, y confirma el alcance con el cliente. En la mayoría de los casos, un módulo solo se excluye cuando no resulta aplicable.
Las solicitudes de evidencias y los métodos de verificación se adaptan al cliente y a los controles incluidos en el alcance, mediante documentación, registros operativos, configuraciones, entrevistas y evidencias de pruebas cuando corresponde.
Evaluamos:
Comprobamos que las autorizaciones de firma estén actualizadas, que las reglas de aprobación se ajusten al modelo de riesgo previsto y que los responsables designados puedan ejecutar acciones de emergencia.
La evaluación está dirigida a equipos de protocolos de criptoactivos responsables de:
Los equipos pueden utilizar el marco para:
BlockSec identifica los módulos aplicables; las exclusiones requieren motivos documentados y las preferencias por sí solas no determinan el alcance.
Cada proyecto sigue cinco pasos: definición del alcance, recopilación de evidencias, evaluación, remediación y nueva evaluación, y certificación cuando se cumplen los requisitos. Las solicitudes de evidencias, los métodos de verificación, el calendario, los entregables y el precio se acuerdan caso por caso tras el análisis inicial.
BlockSec identifica los módulos y controles aplicables y confirma con el cliente:
La definición del alcance documenta:
BlockSec combina la revisión de cada control con el análisis técnico de los sistemas y las configuraciones que sustentan las prácticas operativas.
Nuestra guía de evaluación vincula los controles de los seis módulos con los pasos de revisión y las solicitudes de evidencias.
Esto ayuda a definir el alcance, preparar los materiales pertinentes y hacer un seguimiento de los requisitos pendientes durante la remediación y la nueva evaluación.
Contrastamos los procedimientos documentados con las configuraciones, los registros operativos y los resultados de pruebas pertinentes.
La revisión comprueba si las evidencias respaldan la implementación declarada e identifica incoherencias que requieren aclaración o remediación.
BlockSec DNS Security Scanner (BDSS), desarrollado a partir del módulo de DNS y registrador de dominios de SEAL, facilita la comprobación de configuraciones observables públicamente.
El acceso al registrador, las aprobaciones de cambios, las prácticas de monitorización y los mecanismos de recuperación se evalúan mediante evidencias operativas.
BlockSec determina el alcance a partir de los sistemas, las responsabilidades operativas y los riesgos de la organización, y lo confirma con el cliente. En la mayoría de los casos, un módulo solo se excluye cuando no resulta aplicable.
Una evaluación de un único módulo es adecuada cuando los demás módulos quedan realmente fuera de las operaciones de la organización. El resultado identifica los módulos evaluados y explica los motivos de las exclusiones.
Conviene comenzar con una descripción general de las operaciones y los sistemas de la organización, los responsables designados y las políticas y los registros operativos disponibles. BlockSec define las evidencias y el enfoque de verificación para los controles aplicables, teniendo en cuenta el tamaño y los riesgos del cliente. Las evidencias pueden incluir registros de firmantes, revisiones de acceso, configuraciones, entrevistas, registros de actividad y resultados de simulacros; los requisitos concretos se acuerdan para el proyecto.
No se deben enviar claves privadas, frases semilla ni secretos de producción a través de un formulario público de consulta.
BlockSec identifica los requisitos incumplidos y ofrece recomendaciones de remediación. El cliente realiza los cambios y BlockSec revisa las evidencias actualizadas dentro del ciclo de evaluación.
La orientación para la remediación y la nueva evaluación dentro del alcance acordado para el proyecto se incluyen sin coste adicional. Los controles incluidos en el alcance deben estar implementados o justificados como no aplicables antes de que se pueda emitir la certificación.
Los equipos pueden utilizar el marco público para revisar sus propias prácticas e identificar deficiencias. La autoevaluación no incluye la verificación independiente de un tercero ni genera una constancia oficial de certificación SEAL. La evaluación para la certificación la realiza una firma acreditada, que emite la certificación cuando se cumplen los requisitos.
Estos servicios pueden examinar algunos de los mismos sistemas y utilizar métodos que se solapan, pero responden a objetivos de evaluación distintos. Las pruebas pueden aportar evidencias para algunos controles de certificación; por sí solas no completan una evaluación para la certificación SEAL. Los servicios pueden combinarse según el alcance.
No. BDSS comprueba configuraciones observables públicamente. La certificación de DNS y registrador de dominios también requiere evidencias de controles operativos, como el acceso al registrador, las aprobaciones de cambios, la monitorización y los procedimientos de recuperación. Las pruebas de penetración responden a una cuestión distinta: si se pueden combinar debilidades para crear una ruta explotable.
Las constancias de EAS pueden proporcionar evidencias de certificación verificables públicamente, mientras que los informes detallados de evaluación y los materiales de respaldo permanecen confidenciales conforme a las condiciones del proyecto.
La inclusión en el directorio y la divulgación de información que identifique al cliente requieren su aprobación. Las condiciones de divulgación, incluida cualquier información que se registre on-chain, se acuerdan antes de la emisión.
Las certificaciones tienen una vigencia limitada y requieren nuevas evaluaciones periódicas. La vigencia y las condiciones de las nuevas evaluaciones se confirman para cada proyecto. Los cambios importantes en la arquitectura o las operaciones deben dar lugar a una revisión del alcance, y la falta de conformidad sostenida puede llevar a la revocación.
No. La certificación confirma la conformidad con los requisitos operativos incluidos en el alcance en el momento de la evaluación. No garantiza que no se produzcan incidentes, no sustituye la monitorización continua ni supone una aprobación regulatoria.
Un proyecto suele durar entre uno y dos meses, según los módulos aplicables, las evidencias necesarias y su grado de preparación, así como la remediación que se requiera. Esta estimación no constituye un plazo fijo de finalización.
El alcance, las solicitudes de evidencias, el calendario, los entregables y el precio se acuerdan caso por caso tras el análisis inicial.
Compartan una breve descripción de las operaciones de la organización y los sistemas pertinentes. BlockSec analizará con ustedes los módulos aplicables, el alcance de la evaluación, la preparación de evidencias, el calendario y el presupuesto.
