Jesus Luna Garcia talked about the certification of cloud services in Europe

1. MEDINA - towards continuous (automated)
certification of cloud services in Europe
Dr. Jesus Luna Garcia
Robert Bosch GmbH / Technical Manager H2020 MEDINA
This project has received funding from the European
Union’s Horizon 2020 research and innovation
programme under grant agreement No 952633

2. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
Agenda
MEDINA – Continuous Certification for Cloud Security
 Background
 H2020 MEDINA In a Nutshell
 What comes next?
 Q&A
2

3. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
EU Cybersecurity Certification Scheme for Cloud Services
Background
 The EU Cybersecurity Act (EUCSA, April-2019), proposes the creation of cybersecurity certification
schemes which include the notions of:
− Levels of assurance (Basic, Substantial, High)
− Continuous cybersecurity compliance (Art. 54(j))
 Three EUCSA-derived certification schemes are under preparation by ENISA:
− EUCC – Cybersecurity Certification Scheme for Common Criteria
− EUCS - Cybersecurity Certification Scheme for Cloud Services
− EU5G - Cybersecurity Certification Scheme for 5G
3

4. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
EUCS and the Automation of Compliance Monitoring
Background
 EUCS proposes “continuous monitoring” with automation (only for CS-High, i.e. < 8% requirements):
4
Source:
https://www.enisa.europa.eu/publications/eucs-cloud-service-scheme

5. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
EUCS and the Automation of Compliance Monitoring
Background
 Example: OPS-05 Protection Against Malware - Implementation
5
Source: https://www.enisa.europa.eu/publications/eucs-cloud-service-scheme

6. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
In a Nutshell
H2020 MEDINA
 Goal: provide a security framework for achieving continuous audit-based certification in EUCS,
through automation and trustworthy evidence-management methods.
6
 MEDINA focuses on the EUCS
requirements where some degree of
automated monitoring is needed.
 MEDINA can be extended to other EUCS
requirements and certification schemes
(e.g., BSI C5:2020).

7. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
Who is who?
H2020 MEDINA
 1st November 2020 – 30th October 2023
 EU Budget 4,480,308.75€
7

8. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
Approach
H2020 MEDINA
Topic Approach (Keywords)
Automation of compliance
assessments
• Assessment based on machine-readable EUCS metrics
• CSP-neutral / -native technical evidence collectors
• NLP for assessing security policies (e.g., PDF)
Trustworthy evidence
management
• Blockchain-based evidence vault
• RBAC authorization model
Certificate management • Risk-based automation of certificate life-cycle
• Backtracking/visualization of non-compliances
• SSI enabled (selective disclosure of attributes)
• Connection to ENISA Certification Website (wip)
Standardization • EUCS: CEN CENELEC EUCS1
• Metrics: ISO/IEC 27004, NIST SP 800-55rev2
• Automation: NIST OSCAL, ETSI CYBER
8

9. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
H2020 MEDINA
Framework
Auditors
CSPs
CAB,
NCCA

10. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
H2020 MEDINA
ToC Initialization
14.03.2023

11. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
H2020 MEDINA
Ev. Collection
14.03.2023
Technical evidence
collectors (e.g.,
configuration)

12. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
H2020 MEDINA
Ev. Collection
14.03.2023
NLP evidence
collectors (e.g.,
documents)

13. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
H2020 MEDINA
Cert. Management
CSPs
CAB, NCCA

14. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
What comes next?
H2020 MEDINA
 MEDINA aims to facilitate adoption of EUCS,
specifically for automated monitoring, while paving the
road for continuous certification.
− Most of the proposed framework has been developed
and integrated (link)
 (Lots of) ongoing discussions to finalize EUCS1 at
CEN CENELEC
 H2020 MEDINA is finishing Oct-2023, but then
Horizon Europe COBALT is starting 
− Automated compliance monitoring of AI-enabled services
in alignment to AI Act
− Focus on cybersecurity aspects of AI (not trustworthiness
as a whole!)
14

15. Intern | Robert Bosch GmbH | 15-03-2023
© Robert Bosch GmbH 2022. Alle Rechte vorbehalten, auch bzgl. jeder Verfügung, Verwertung, Reproduktion, Bearbeitung, Weitergabe sowie für den Fall von Schutzrechtsanmeldungen.
H2020 MEDINA
Do you want to know more?
15
• Further details are available in
our public reporting
(deliverables) at
https://medina-
project.eu/public-deliverables
• Communication materials are
available at https://medina-
project.eu/communication-
materials
• Framework demonstrator
https://www.youtube.com/watc
h?v=fRFE61GZ3ZY

16. Thanks!
jesus.lunagarcia@de.bosch.com
16
This project has received funding from the European
Union’s Horizon 2020 research and innovation
programme under grant agreement No 952633