A DOC-ICP-10 estabelece o regulamento geral para a homologação de sistemas e equipamentos de certificação digital no âmbito da ICP-Brasil, ou seja, define as regras para verificar se determinado produto ou sistema atende aos requisitos técnicos e de segurança exigidos para ser utilizado na infraestrutura. Seus documentos complementares DOC-ICP-10.01 a 10.08 detalham diferentes partes desse processo: os procedimentos administrativos, a estrutura normativa e os níveis de segurança, além dos requisitos e ensaios específicos para cartões inteligentes, leitoras, tokens, softwares de assinatura/sigilo/autenticação, módulos de segurança criptográfica, bibliotecas criptográficas e outros equipamentos criptográficos.
DOC-ICP-10: Regulamento para Homologação de Sistemas e Equipamentos de Certificação Digital na ICP-Brasil
É o documento que estabelece a estrutura geral e as regras que devem ser observadas para que um sistema ou equipamento seja avaliado e homologado para utilização no âmbito da ICP-Brasil. A homologação tem como finalidade verificar a aderência do objeto aos padrões e especificações técnicas mínimos estabelecidos pela ICP-Brasil, com destaque para a interoperabilidade e para a confiabilidade dos recursos de segurança da informação. O documento apresenta, inicialmente, conceitos, princípios e disposições gerais, incluindo a definição dos objetos sujeitos à homologação e das responsabilidades dos participantes. Em seguida, dedica um capítulo específico ao processo de homologação, estabelecendo suas fases e a documentação que deve ser apresentada, e trata ainda da decisão sobre a homologação, sua formalização e dos efeitos decorrentes.
Na prática, o processo descrito pela DOC-ICP-10 funciona como uma avaliação formal de conformidade: o interessado apresenta o sistema ou equipamento para avaliação, acompanhado da documentação e do Laudo ou Certificado de Conformidade exigido para o objeto, e os ensaios são realizados por Laboratórios de Ensaios e Auditoria (LEAs) habilitados para essa atividade. O resultado desses ensaios fornece elementos para que o ITI, na condição de AC Raiz, tome a decisão quanto à homologação. O ITI defere a homologação quando o sistema ou equipamento demonstra aderência integral e incondicional a todos os requisitos obrigatórios aplicáveis, e a formaliza por Ato Declaratório. Por outro lado, a homologação é indeferida quando o Laudo ou Certificado de Conformidade apontar a não conformidade com qualquer requisito obrigatório; nesse caso, a parte interessada pode apresentar recurso administrativo nos termos previstos no DOC-ICP-10.01.
DOC-ICP-10.01: Procedimentos Administrativos para Homologação na ICP-Brasil
Estabelece o rito administrativo que deve ser seguido nos processos de homologação de sistemas e equipamentos de certificação digital. O documento define as partes envolvidas e suas responsabilidades, as regras de legitimidade e representação da parte interessada, os meios de comunicação, a organização e formação dos processos administrativos e os documentos necessários para sua instrução inicial. Também estabelece os procedimentos para que a parte interessada apresente formalmente o pedido de homologação ao ITI, incluindo formulários, termos e documentos destinados à sua habilitação jurídica.
O documento também descreve o fluxo de avaliação e decisão: após a instrução do processo, o objeto é submetido à avaliação de conformidade, realizada por laboratório ou organismo competente, cujo resultado é formalizado em Laudo ou Certificado de Conformidade. Com base nesse resultado, o ITI analisa o processo e decide pelo deferimento ou indeferimento da homologação, podendo formular exigências ou solicitar avaliações complementares. A DOC-ICP-10.01 trata ainda dos recursos contra as decisões, bem como de situações posteriores à homologação, como a reavaliação da conformidade e as hipóteses de suspensão ou cancelamento da homologação.
DOC-ICP-10.02: Estrutura Normativa Técnica e Níveis de Segurança de Homologação na ICP-Brasil
Estabelece como devem ser estruturados os requisitos técnicos e os critérios de avaliação aplicáveis aos processos de homologação de sistemas e equipamentos de certificação digital. O documento define conceitos fundamentais, como objeto de homologação, requisitos técnicos, recomendações, Níveis de Segurança de Homologação (NSH) e Laudo de Conformidade, deixando claro que os requisitos técnicos são obrigatórios e que a não conformidade com qualquer requisito obrigatório pode resultar no indeferimento da homologação.
A norma também define a estrutura dos documentos técnicos que orientam a avaliação, prevendo, para cada tipo de sistema ou equipamento, uma Instrução Normativa e os volumes do Manual de Condutas Técnicas (MCT), nos quais são detalhados os requisitos, a documentação a ser apresentada e os ensaios a serem realizados pelo LEA. Por fim, estabelece três Níveis de Segurança de Homologação, que representam diferentes graus de profundidade, rigor e confiança nos resultados dos ensaios, de acordo com as características e o contexto de utilização do objeto avaliado:
- NSH 1: Aplicável quando há necessidade de confiança no funcionamento do sistema ou equipamento, mas as ameaças à segurança e os problemas de interoperabilidade são pouco relevantes, com avaliação de profundidade básica e sem exigência de código-fonte.
- NSH 2: Aplicável quando ameaças à segurança e problemas de interoperabilidade são relevantes, exigindo uma avaliação de profundidade moderada, com informações de projeto, resultados de testes e depósito de partes do código-fonte.
- NSH 3: Aplicável quando ameaças à segurança ou problemas de interoperabilidade são críticos, exigindo uma avaliação de alta profundidade, incluindo informações detalhadas de projeto, partes do código-fonte e comprovação de práticas seguras de desenvolvimento e produção.
DOC-ICP-10.03: Padrões e Procedimentos Técnicos para Homologação de Cartões Inteligentes (Smart Cards), Leitoras de Cartões Inteligentes e Tokens Criptográficos
Estabelece os requisitos técnicos que esses dispositivos devem atender para serem homologados. O documento aborda características relacionadas à segurança, funcionamento, interfaces, mecanismos criptográficos e interoperabilidade dos dispositivos, além de especificar os elementos que devem ser apresentados para sua avaliação. Além de estabelecer os requisitos que o produto deve cumprir, o documento descreve como sua conformidade deve ser verificada, definindo os procedimentos e ensaios aplicáveis aos cartões, leitoras e tokens. Dessa forma, a avaliação não se limita à análise documental: o objeto é submetido a verificações técnicas destinadas a demonstrar que suas características e funcionalidades atendem aos requisitos obrigatórios estabelecidos para a homologação. O resultado dessa avaliação serve de base para a emissão do respectivo laudo de conformidade e para a decisão quanto à homologação.
DOC-ICP-10.04: Padrões e Procedimentos Técnicos para Homologação de Softwares de Assinatura Digital, Sigilo e Autenticação na ICP-Brasil
Estabelece os requisitos técnicos aplicáveis aos softwares que desempenham essas funções. O documento trata das características que devem ser verificadas no software, incluindo aspectos relacionados à implementação das funcionalidades criptográficas, utilização de certificados digitais, geração e verificação de assinaturas e mecanismos de segurança, além dos requisitos de documentação necessários para sua avaliação. O processo previsto no documento envolve a análise do software segundo os requisitos técnicos estabelecidos e a realização dos ensaios de conformidade correspondentes. São verificadas, entre outras características, as funcionalidades que o produto declara implementar e sua interação com os mecanismos e padrões utilizados na ICP-Brasil. O objetivo é demonstrar, de maneira verificável, que o software funciona de acordo com os requisitos estabelecidos e que suas funcionalidades de assinatura, sigilo ou autenticação estão implementadas de forma compatível com as exigências da infraestrutura.
DOC-ICP-10.05: Padrões e Procedimentos Técnicos para Homologação de Módulos de Segurança Criptográfica (MSC) na ICP-Brasil
Estabelece os requisitos técnicos e os procedimentos de avaliação aplicáveis aos Módulos de Segurança Criptográfica (MSC). Esses equipamentos desempenham funções relacionadas à proteção e ao processamento de informações e operações criptográficas, de modo que o documento concentra-se na avaliação de suas características de segurança, mecanismos criptográficos, controle de acesso, proteção das chaves e funcionamento do módulo. A homologação envolve a submissão do MSC aos ensaios técnicos definidos para verificar o atendimento aos requisitos obrigatórios. A avaliação busca comprovar, por meio de testes e evidências técnicas, que o módulo implementa adequadamente os mecanismos de segurança previstos e que suas funções criptográficas são executadas dentro das condições estabelecidas. Assim, o documento fornece os critérios objetivos utilizados para avaliar se um determinado MSC apresenta o nível de segurança e as características técnicas necessárias para sua homologação na ICP-Brasil.
DOC-ICP-10.06: Padrões e Procedimentos Técnicos para Homologação de Softwares de Bibliotecas Criptográficas e Softwares Provedores de Serviços Criptográficos na ICP-Brasil
Estabelece os requisitos para a avaliação de softwares que fornecem funções e serviços criptográficos utilizados por outras aplicações. O documento aborda aspectos relacionados à implementação e ao funcionamento dessas bibliotecas e provedores, incluindo suas funcionalidades criptográficas, interfaces, mecanismos de proteção e utilização dos algoritmos e parâmetros previstos para a ICP-Brasil. O processo de homologação consiste na verificação, por meio de análise técnica e ensaios, de que a biblioteca ou o software provedor implementa corretamente os serviços criptográficos a que se destina e atende aos requisitos obrigatórios definidos para sua categoria. São avaliadas tanto as funcionalidades oferecidas quanto os aspectos técnicos relevantes para sua utilização segura.
DOC-ICP-10.07: Critérios e Procedimentos para Credenciamento de Laboratórios de Ensaios e Auditoria Integrantes da ICP-Brasil
Está descontinuada e foi revogada pela IN nº 13/2021. Ela estabelecia os requisitos e procedimentos para o credenciamento dos Laboratórios de Ensaios e Auditoria (LEA) responsáveis pela realização das avaliações técnicas relacionadas aos processos de homologação. O documento tratava das condições que os laboratórios deveriam atender, de sua estrutura e capacidade técnica, dos procedimentos para solicitação e análise do credenciamento e das responsabilidades associadas à execução dos ensaios e à emissão dos respectivos laudos.
DOC-ICP-10.08: Padrões e Procedimentos Técnicos para Homologação de Equipamentos Criptográficos Não Contemplados em Manuais de Condutas Técnicas Específicos
Estabelece os requisitos e procedimentos aplicáveis a equipamentos criptográficos para os quais não existe um Manual de Condutas Técnicas específico. O documento permite, portanto, que esses equipamentos sejam submetidos a um processo formal de avaliação mesmo quando não se enquadram nas categorias que possuem requisitos técnicos próprios, estabelecendo os elementos necessários para caracterizar o objeto, definir sua avaliação e verificar suas funcionalidades e mecanismos de segurança. O processo previsto envolve a definição dos requisitos aplicáveis ao equipamento e a realização dos ensaios necessários para verificar sua conformidade, considerando as características e funcionalidades específicas do objeto apresentado.