Declaración de prácticas de certificación
La Declaración de prácticas de certificación de STAQO describirá las prácticas y procedimientos operativos utilizados para implementar los requisitos de política de certificados aplicables.
Esta página resume el alcance y la estructura previstos para la Política de Certificados de STAQO. La versión oficial, su fecha de entrada en vigor y el registro de publicación se mostrarán aquí una vez aprobada la política formal.
Aún no establecida
Aún no establecida
Política de certificados
STAQO WORLD CERTIFICATION LLC
Política de Certificados
1. Finalidad de la CPS
Una Declaración de prácticas de certificación describe cómo se implementan en la práctica los requisitos de la política de certificados.
Puede explicar los procedimientos operativos de identificación, verificación, emisión de certificados, gestión de claves, estado del certificado, revocación, seguridad, registros, gestión de incidentes y administración de la política.
La CPS formal de STAQO debe aplicarse únicamente a los servicios y perfiles de certificado expresamente identificados en el documento aprobado.
Este resumen no autoriza la emisión de certificados ni crea derechos para el suscriptor, la parte que confía o el servicio.
2. Relación con la Política de certificados
Política de certificados
Define los requisitos de la política, los fines previstos de los certificados, las expectativas de los participantes y las reglas de alto nivel.
- ¿Para qué está previsto el certificado?
- ¿Qué política se aplica?
- ¿Qué participantes y responsabilidades intervienen?
- ¿Qué reglas de ciclo de vida y de uso se aplican?
Declaración de prácticas de certificación
Describe las prácticas y procedimientos operativos utilizados para implementar la Política de certificados aplicable.
- ¿Cómo se implementan los requisitos?
- ¿Cómo se realizan la verificación y la emisión?
- ¿Cómo se gestionan los sistemas y las operaciones?
- ¿Cómo se gestionan operativamente los incidentes y la revocación?
La Política de certificados y la Declaración de prácticas de certificación deberán leerse conjuntamente una vez que ambos documentos se publiquen formalmente.
3. Alcance previsto de la CPS
La CPS definitiva puede abordar las siguientes áreas operativas, sujetas a aprobación formal.
• Organización y funciones
Describir las entidades, funciones y responsabilidades implicadas en las operaciones de certificados.
• Identificación y verificación
Describir cómo se revisa la información aplicable de identidad, organización, dominio y técnica.
• Solicitud de certificado
Describir cómo se reciben y procesan las solicitudes de certificado.
• Emisión y aceptación
Describir los procedimientos de aprobación, emisión, entrega y aceptación.
• Operaciones del ciclo de vida
Describir los procedimientos de renovación, renovación de claves, sustitución, caducidad y revocación.
• Estado del certificado
Describir cómo se pone a disposición la información de estado y revocación del certificado.
• Controles de seguridad
Describir los controles físicos, de personal, procedimentales y técnicos.
• Registros y auditoría
Describir las prácticas de registro, conservación de registros, auditoría y revisión.
• Gestión de incidentes
Describir los procedimientos ante compromisos, incidentes de seguridad, recuperación y continuidad.
• Administración
Describir la titularidad, aprobación, modificación, publicación y control de versiones de la CPS.
4. Funciones organizativas
Autoridad de política
La persona u organización que inicia una solicitud de certificado.
Autoridad específica aún no identificada públicamente.
Función de registro
La función responsable de las actividades de identificación y verificación aplicables.
Estructura operativa aún no confirmada públicamente.
Suscriptor
La persona u organización que establece la relación de certificado aplicable y acepta las responsabilidades correspondientes.
Sujeto del certificado
La persona u organización que establece la relación de certificado aplicable y acepta las responsabilidades correspondientes.
Parte que confía
Una persona o sistema que evalúa un certificado y la información de estado relacionada al decidir si confiar en él.
La CPS definitiva debe describir las responsabilidades operativas y las interacciones de las funciones aplicables.
5. Prácticas de identificación y verificación
La CPS formal debe describir cómo se implementan los requisitos aplicables de identificación y verificación para cada perfil de certificado aprobado.
Verificación del control del dominio
- Verificación de la identidad individual
- Verificación de la identidad de la organización
- Autoridad del representante
- Validación de la solicitud de certificado
- Validación de la información del sujeto
- Reverificación
- Tratamiento de información incompleta o incoherente
- Registro relacionado con la verificación
Este resumen no establece requisitos específicos de evidencia, métodos de validación, niveles de verificación ni criterios de aprobación.
6. Solicitud y emisión de certificados
Presentación de la solicitud
Se presenta una solicitud a través de un proceso aprobado.
Revisión de la información
Se revisa la información pertinente de la solicitud y del sujeto del certificado.
Verificación
Se completan las comprobaciones aplicables de identidad, organización, dominio o técnicas.
Decisión de aprobación
La solicitud se evalúa conforme a la política y los procedimientos aplicables.
Emisión del certificado
El certificado se genera una vez satisfechos los requisitos aplicables.
Uso operativo
El certificado se emite una vez cumplidas las condiciones aplicables.
Entrega y activación
El certificado o la credencial se entrega y se activa mediante el método aprobado.
Los métodos exactos de presentación, las reglas de aprobación, los plazos de emisión, los métodos de entrega y los procedimientos de activación deben definirse en la CPS aprobada.
7. Aceptación y uso del certificado
La CPS formal debe describir cualquier procedimiento de revisión, aceptación y activación del certificado aplicable tras la emisión.
- Revisión de la información del certificado
- Confirmación de los datos correctos del sujeto
- Aceptación de los términos aplicables
- Activación o configuración de la credencial
- Uso aprobado del certificado
- Protección de las claves privadas
- Notificación de información incorrecta
- Notificación de compromiso sospechado
Un certificado debe utilizarse únicamente para la finalidad y el alcance permitidos por la política, la configuración del servicio y el acuerdo aplicables.
8. Renovación, renovación de claves y sustitución
Renovación
El uso continuado puede requerir un nuevo certificado antes de la caducidad.
Renovación de claves
Puede requerirse un certificado de sustitución cuando se genera un nuevo par de claves.
Sustitución
Puede requerirse una sustitución cuando cambian la información, el acceso, la autoridad o las condiciones técnicas.
Reverificación
Puede requerirse una verificación actualizada en función del perfil y las circunstancias.
Este resumen no establece los requisitos exactos de elegibilidad, plazos, verificación y proceso.
9. Revocación y estado del certificado
Posibles motivos de revocación
- Sospecha de compromiso de la clave privada
- Uso no autorizado
- Información incorrecta del certificado
- Pérdida de autoridad
- Cambio material en la información del sujeto
- Incumplimiento de los requisitos aplicables
- Incidente de seguridad
- Requisito legal u operativo
La CPS formal también puede describir
- Sospecha de compromiso de la clave privada
- Uso no autorizado
- Información incorrecta del certificado
- Pérdida de autoridad
- Cambio material en la información del sujeto
- Incumplimiento de los requisitos aplicables
- Incidente de seguridad
- Requisito legal u operativo
Un certificado debe utilizarse únicamente para la finalidad y el alcance permitidos por la política, la configuración del servicio y el acuerdo aplicables.
10. Instalaciones y controles físicos
Una CPS formal puede describir las protecciones físicas aplicadas a los sistemas operativos, registros y entornos criptográficos pertinentes.
- Acceso al emplazamiento
- Controles de entrada física
- Protección ambiental
- Energía y comunicaciones
- Almacenamiento de soportes
- Eliminación segura
- Instalaciones de respaldo
- Recuperación ante desastres
Este resumen no confirma ninguna ubicación de instalaciones, disposición de centro de datos, medida de seguridad física ni emplazamiento de recuperación.
11. Controles de personal y procedimentales
Una CPS formal puede describir las funciones de confianza, los procedimientos de autorización y los controles operativos utilizados en las actividades relacionadas con certificados.
- Funciones de confianza
- Segregación de funciones
- Autoridad de aprobación
- Formación
- Revisiones de acceso
- Verificación de antecedentes
- Sanciones
- Controles de contratistas
- Gestión de cambios
- Procedimientos de varias personas
Este resumen no establece ningún requisito específico de verificación de personal, control dual, procedimiento de varias personas o formación.
12. Controles técnicos de seguridad
Generación de claves
Describir cómo se generan y protegen las claves aplicables.
Protección de la clave privada
Describir cómo se almacenan y se accede a las claves sensibles.
Controles criptográficos
Describir los algoritmos aprobados, las longitudes de clave y los métodos de firma.
Control de acceso
Describir cómo se restringe el acceso al sistema y operativo.
Seguridad del sistema
Describir las protecciones pertinentes de plataforma, red y aplicación.
Gestión de cambios
Describir cómo se controlan los cambios en los sistemas críticos.
Copia de seguridad y recuperación
Describir cómo pueden restaurarse la información y los servicios críticos.
Respuesta ante compromiso de clave
Describir los procedimientos ante un compromiso sospechado o confirmado.
Este resumen no establece ningún algoritmo, longitud de clave, módulo de hardware, arquitectura de seguridad o estándar criptográfico.
13. Registro, supervisión y documentación
Una CPS formal puede describir los registros mantenidos para las operaciones de certificados, los eventos de seguridad, las actividades de verificación y la administración de la política.
- Registros de solicitud
- Registros de verificación
- Registros de emisión
- Registros de estado del certificado
- Acciones administrativas
- Eventos de seguridad
- Eventos de acceso
- Cambios en el sistema
- Evidencia de auditoría
- Conservación y eliminación
Este resumen no establece las fuentes de registro concretas, las capacidades de supervisión, los formatos de registro ni los periodos de conservación.
14. Incidentes y continuidad del negocio
Gestión de incidentes de seguridad
Describir cómo se identifican, revisan y escalan los incidentes sospechados.
Compromiso de clave
Describir la respuesta ante un compromiso sospechado o confirmado.
Interrupción del servicio
Describir cómo se gestionan las operaciones de certificados durante una interrupción.
Recuperación
Describir cómo pueden restaurarse los sistemas, registros y operaciones pertinentes.
Continuidad del negocio
Describir la planificación de continuidad para las funciones críticas de certificados.
Cese de actividad
Describir cómo se gestionan las operaciones y los registros si un servicio o autoridad cesara su actividad.
Este resumen no establece ningún tiempo de recuperación, compromiso de continuidad del servicio, diseño de recuperación ante desastres o proceso de cese de actividad.
15. Cumplimiento y auditoría
Una CPS formal puede describir las revisiones internas, evaluaciones externas o actividades de cumplimiento aplicables a las operaciones de certificados.
- Revisiones de controles internos
- Revisiones de cumplimiento de la política
- Registros de emisión
- Evaluaciones técnicas
- Auditorías externas
- Acciones correctivas
- Informes de auditoría
- Frecuencia de la revisión
- Alcance de la evaluación
Este resumen no establece las fuentes de registro concretas, las capacidades de supervisión, los formatos de registro ni los periodos de conservación.
16. Disposiciones legales y operativas
Declaraciones y garantías
La CPS formal puede describir las declaraciones operativas realizadas por los participantes aplicables.
Exenciones de responsabilidad
El documento formal puede describir limitaciones relacionadas con las operaciones de certificados y las dependencias externas.
Responsabilidad
Las disposiciones de responsabilidad aplicables deben definirse mediante la política y los documentos contractuales aprobados.
Confidencialidad
Los registros operativos y la información confidencial pueden requerir una protección específica.
Privacidad
La información personal debe tratarse conforme a los avisos de privacidad y los requisitos de servicio aplicables.
Propiedad intelectual
Pueden abordarse los derechos aplicables sobre documentos, software y elementos relacionados con certificados.
Acuerdos aplicables
Los suscriptores, organizaciones, usuarios de la API o partes que confían pueden estar sujetos a acuerdos independientes.
Este resumen no crea derechos legales definitivos, garantías, indemnizaciones ni límites de responsabilidad.
17. Administración de la CPS
La CPS formal deberá identificar en su momento al propietario de la CPS, la autoridad de aprobación, el proceso de revisión, el procedimiento de modificación, las reglas de control de versiones, el método de publicación y la vía de contacto, así como la relación con la Política de certificados, incluido el proceso de cambio material y el tratamiento de versiones sustituidas.
18. Limitaciones actuales
Transparencia
- La Declaración de prácticas de certificación formal aún no se ha publicado.
- Esta página no confirma ninguna arquitectura de CA o RA.
- Aquí no se establece ningún procedimiento de verificación.
- Aquí no se establece ningún plazo de emisión.
- Aquí no se publica ningún servicio de estado del certificado.
- Aquí no se establece ningún control criptográfico.
- Aquí no se establece ningún control de instalaciones, personal o registro.
- No se reivindica ninguna condición de auditoría o acreditación.
- Esta página no crea ningún acuerdo con el suscriptor o con la parte que confía.
19. Documentos de confianza relacionados
Política de certificados
Requisitos de la política, finalidades previstas del certificado y responsabilidades de los participantes.
Servicios de certificados
Información general sobre solicitudes de certificados, verificación y ciclo de vida.
Requisitos de verificación de organización
Información general sobre consideraciones de verificación basadas en la organización.
Revocación y soporte
Orientación para inquietudes sobre credenciales, compromiso y preguntas relacionadas con la revocación.
Política de privacidad
Información sobre el tratamiento de información personal a través del sitio web de STAQO.
Requisitos de identidad del firmante
Información general sobre los requisitos de identidad para las credenciales de firma digital.
¿Qué es una Declaración de prácticas de certificación?
¿Está actualmente publicada la CPS de STAQO?
¿Es esta página la CPS definitiva?
¿Cuál es la diferencia entre la Política de certificados y la CPS?
¿Describe esta página la arquitectura de CA de STAQO?
¿Confirma esta página los controles criptográficos de STAQO?
¿Confirma esta página los controles físicos o de personal?
¿Confirma esta página los procedimientos de revocación o de servicios de estado?
¿Confirma esta página una auditoría o acreditación?
¿Dónde se publicará la CPS definitiva?
Una firma digital es un método criptográfico que utiliza un certificado digital y una clave privada para asociar a un firmante con un documento y respaldar la validación de su integridad.
¿Cómo puedo plantear una pregunta sobre la CPS?
Para preguntas sobre la Declaración de prácticas de certificación, el estado de publicación o los documentos de confianza relacionados, utiliza la página de contacto de STAQO.
No envíe claves privadas, contraseñas, secretos de API ni credenciales confidenciales a través de formularios de contacto generales.
