Política del CCN-CERT sobre l'intercanvi i el tractament de la informació

Com a CERT Governamental nacional espanyol, el CCN-CERT ha de compartir informació amb diverses comunitats i entitats. Amb aquest objectiu, s'estableixen unes condicions d'ús de compliment obligat per a tots els receptors que especifiquen com s'ha de compartir i gestionar aquesta informació (ja sigui de caràcter tècnic o no).

Per això, el CCN-CERT manté una política de doble etiquetatge a través de sengles classificacions reconegudes internacionalment:

• Etiquetatge TLP (Traffic Light Protocol)
• Etiquetatge PAP (Permissible Actions Protocol)

NOTA: aquestes classificacions no substitueixen les classificacions de protecció (com "Restringit" o "Difusió Limitada") ni les d'informació classificada (com "Confidencial", "Reservat" o "Secret")

Etiquetatge TLP

Disponible a www.first.org/tlp per a la difusió de la informació. El color assignat determina les condicions:

TLP:RED	Només per als destinataris designats. No s'ha de compartir amb ningú més. Si es considera necessari compartir-la, cal obtenir el consentiment explícit de l'autor.
TLP:AMBER+STRICT	Divulgació limitada, els destinataris només podran difondre aquesta informació sobre la base de la necessitat de conèixer dins de la seva organització.
TLP:AMBER	Divulgació limitada, els destinataris només podran difondre aquesta informació sobre la base de la necessitat de conèixer dins de la seva organització i organitzacions associades.
TLP:GREEN	Divulgació limitada, els destinataris poden difondre-la dins de la vostra comunitat. Els destinataris podran compartir la informació TLP: GREEN amb els seus iguals i amb organitzacions associades dins de la seva comunitat, però no s'ha de compartir en canals públics (com ara xarxes socials, llocs web o llistes de correu obertes).
TLP:CLEAR	Els destinataris podran difondre-la a tothom, no hi ha cap límit a la seva divulgació.

Etiquetatge PAP

El protocol TLP ha de ser complementat amb el PAP, que defineix què es pot fer amb la informació compartida, més enllà de qui la pot veure:

PAP:RED	La informació només es pot utilitzar de manera que no generi traçabilitat ni alertes visibles per a tercers.
PAP:AMBER	Només es permeten accions passives, com ara l'anàlisi o la verificació amb fonts de tercers (per exemple, VirusTotal). No es permet la interacció directa amb lobjectiu.
PAP:GREEN	Es permeten accions actives, com ara bloquejar comunicacions o interactuar amb l'objectiu de manera controlada.
PAP:CLEAR	Sense restriccions.