El proyecto europeo COBALT, en el que participa la Universidad de Murcia (UMU), ha desarrollado una solución para agilizar y automatizar las auditorías de ciberseguridad. La iniciativa propone un modelo común de certificación y herramientas para recopilar y gestionar evidencias de seguridad de forma continua.
Las empresas deben demostrar que sus productos y servicios digitales cumplen requisitos que varían según el sector, el país y la normativa aplicable. Las auditorías pueden exigir tiempo y recursos, especialmente a las pequeñas y medianas empresas, y sus resultados pueden quedar desactualizados cuando cambia el sistema.
Un modelo común de certificación
El grupo de investigación Cybersecurity and Intelligence Team de la UMU, dirigido por Antonio F. Skarmeta, ha contribuido al diseño de la arquitectura de COBALT y al desarrollo de una tecnología blockchain para registrar evidencias de seguridad.
Uno de los resultados del proyecto es un modelo estandarizado para describir sistemas de software y organizar su información de seguridad en un formato común. Los datos y las evidencias pueden reutilizarse y procesarse automáticamente en distintas fases de la certificación, lo que evita repetir tareas y reduce la posibilidad de errores humanos.
El modelo se apoya en estándares internacionales y marcos de referencia de la Organización Internacional de Normalización (ISO), el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) y la Agencia de la Unión Europea para la Ciberseguridad (ENISA). También incorpora gemelos digitales de seguridad, representaciones virtuales de sistemas reales que permiten supervisar su estado y recopilar evidencias de forma continua.
Registro de evidencias con blockchain
El equipo de la UMU ha desarrollado CCM-Ledger, un registro descentralizado basado en blockchain. El sistema permite que fabricantes, operadores y entidades certificadoras registren evidencias relacionadas con la seguridad de productos y servicios digitales.
La tecnología mantiene un registro verificable de la información incorporada y permite detectar posibles alteraciones de los datos. Además, incluye controles de acceso para que cada participante consulte únicamente la información que tiene autorizada.
COBALT se ha validado en dos pilotos: una aplicación de inteligencia artificial industrial desplegada en la nube y alineada con la Ley de Inteligencia Artificial y el esquema europeo de certificación en la nube (EUCS), y la certificación de servicios de computación cuántica, un ámbito en el que aún no existen normativas consolidadas. La tecnología está ya a disposición de las empresas para su aplicación en auditorías digitales de software.
Materiales educativos y consorcio
La investigadora y docente Sara N. Matheu ha incorporado contenidos del proyecto en las asignaturas «Seguridad software y ciclo de vida del software seguro», del Máster en Ciberseguridad, y «Diseño y desarrollo de software seguro», del Máster en Ingeniería del Software. Los materiales están publicados en abierto en Zenodo.
La microcredencial universitaria en Auditorías de Seguridad en Aplicaciones Web también pone en valor las certificaciones y normas de ciberseguridad y presenta COBALT como un referente del sector.
El proyecto, que concluye este mes de octubre, está coordinado por el Centro Nacional de Investigación Científica Demokritos, de Grecia, y cuenta con un presupuesto de casi seis millones de euros. El consorcio reúne a 14 socios de siete países: Fraunhofer, Robert Bosch, Bosch Global Software Technologies, TÜV SÜD, la Universitat Politècnica de Catalunya, el CTTC, eBOS, Red Alert Labs, ECSO, Practin, la Universidad Mediterránea Helénica, Inqbit y la Universidad de Murcia.
COBALT ha recibido financiación del programa de investigación e innovación Horizonte Europa de la Unión Europea, en virtud del acuerdo de subvención nº 101119602. Más información: https://horizon-cobalt.eu/
