Principios guías del software seguro

[pic 1]

Instituto tecnológico de Tlalnepantla

Ingeniería en tecnologías de la información y comunicación

Tecnologías en seguridad de software

T92

Ensayo 1.4 Principios guías del software seguro

Cortes Sánchez Manuel

18250060

[pic 2]

Índice

Introducción        3

Ensayo        4

Conclusión        7

Bibliografía        8

Introducción

La seguridad en el desarrollo de Software se ha convertido en uno de los objetivos esenciales dentro del esquema de ciberseguridad de las diferentes organizaciones a nivel mundial, en las organizaciones todavía operan con niveles limitados de ciberseguridad y resiliencia, teniendo en cuenta que, se estudiara una guía de principios y buenas prácticas para pruebas de seguridad de software en aplicaciones web de una empresa del sector privado, con el fin de fomentar, motivar, guiar y resaltar la importancia de la seguridad durante la fase de pruebas de una la aplicación web.

Ensayo

Como es bien se ha estado estudiando en los temas resientes el crecimiento y mudanza de la información y los datos a la nube o a plataformas digitales cabe denotar que el crecimiento de los incidentes de seguridad, como la fuga de datos, ocurre a igual o mayor velocidad. Hoy en día, muchas empresas todavía tienen un enfoque reactivo para la seguridad de la información, y se necesita el caso de un ataque o fuga de datos para considerar prácticas proactivas como la seguridad por diseño.

Es por eso que el desarrollo de software y la seguridad en este aspecto es de suma importancia y tenemos que aplicar la mayo seguridad, adecuada para llevar a buen puerto este tipo de procesos.

Lo anterior, indica que este sector tiene metas por cumplir en cada uno de los aspectos contemplados en las TIC, entre los cuales se debe contemplar los procesos y procedimientos para el cumplimiento de las normas en un proyecto de software; la seguridad física y lógica de las herramientas, juega un papel importante en la ejecución de estos proyectos, pues así como aumenta la industria también aumentan las amenazas, aún más cuando se conoce que los procesos de seguridad no son estáticos son dinámicos y cada vez son más creativos los ataques y costos más elevados, afectando la información y las herramientas que la administran. Como todos sabemos la seguridad de la información es el conjunto de medidas preventivas y reactivas de las organizaciones y sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de datos, pero cómo debemos resguardar y proteger la información no es muy claro, es por ello que se debe buscar la forma de guiar estos procesos hacia la seguridad pensado desde lo más insignificante a lo más grande entre el conjunto de medidas para establecer o brindar los medios de protección para la información.

Toda empresa debe garantizar la implementación de medidas necesarias para garantizar la seguridad de la información, pues este es el pilar para el correcto funcionamiento y cumplimiento de sus objetivos misionales, empezar desde lo particular para llegar a lo general contando con la participación de todas las personas involucradas en el desarrollo de la actividad, desde el usuario funcional quien necesita la herramienta hasta el usuario de calidad quien valida su correcto funcionamiento.
Con la implementación de pruebas de seguridad de software, se puede aportar los siguientes beneficios a la empresa:
● Establecer un procedimiento para la ejecución de pruebas de seguridad de software
● Experiencia y conocimiento para los desarrolladores de software
● Experiencia y conocimiento para el grupo de testing de software
● Identificación, corrección y depuración de fallos en el código desarrollado
● Uso de herramientas para la automatización del proceso de pruebas de seguridad
● Mitigación de los riesgos asociados a costos, pérdida de clientes, pérdida de reputación y confianza
● Inspirar confianza en los clientes y aumentar la satisfacción del cliente.

10 aspectos fundamentales para lograr un desarrollo seguro.

Cuando se habla de seguridad, tal como se expone en el libro Writing Secure Code los atacantes tienen una ventaja sobre los desarrolladores, y lo exponen en cuatro principios que lo ilustran muy bien:

1. Partir siempre de un modelo de permisos mínimos, es mejor ir escalando privilegios por demanda de acuerdo a los perfiles establecidos en las etapas de diseño.
2. Si se utiliza un lenguaje que no sea compilado, asegurarse de limpiar el código que se pone en producción, para que no contenga rutinas de pruebas, comentarios o cualquier tipo de mecanismo que pueda dar lugar a un acceso indebido.
3. Nunca confiar en los datos que ingresan a la aplicación, todo debe ser verificado para garantizar que lo que está ingresando a los sistemas es lo esperado y además evitar inyecciones de código.
4. Hacer un seguimiento de las tecnologías utilizadas para el desarrollo. Estas van evolucionando y cualquier mejora que se haga puede dejar obsoleta o inseguras versiones anteriores.
5. Todos los accesos que se hagan a los sistemas deben ser validados.
6. Para intercambiar información sensible utilizar protocolos para cifrar las comunicaciones, y en el caso de almacenamiento la información confidencial debería estar cifrada utilizando algoritmos fuertes y claves robustas.
7. Cualquier funcionalidad, campo, botón o menú nuevo debe agregarse de acuerdo a los requerimientos de diseño. De esta forma se evita tener porciones de código que resultan siendo innecesarias.
8. La información almacenada en dispositivos móviles debería ser la mínima, y más si se trata de contraseñas o datos de sesión. Este tipo de dispositivos son los más propensos a ser que se pierdan y por lo tanto su información puede ser expuestas más fácilmente.
9. Cualquier cambio que se haga debería quedar documentado, esto facilitará modificaciones futuras.
10. Poner más cuidado en los puntos más vulnerables, no hay que olvidar que el nivel máximo de seguridad viene dado por el punto más débil.

Finalmente, es muy importante resaltar que un atacante necesita solamente un pequeño error, una vulnerabilidad para lograr su cometido. Si dentro de la empresa se descuidan los temas de seguridad por acelerar la operatividad del negocio, podemos estar dejando la puerta abierta a que se comprometa la seguridad de la información. Ser responsables con los procesos es la mejor defensa, y no está de más preguntarse si es mejor invertir unas semanas más en desarrollo, que perder reputación y dinero en un instante por un incidente de seguridad.

...