Modelos de Madurez de Seguridad de Software

Modelos de Madurez de Seguridad de Software

1. Modelos de Madurez de
Seguridad de Software
Ciberseguridad

2. 1.- Ciclo de Vida del Software (SDLC)

3. Definición
•El ciclo de vida del software es el conjunto de etapas que sigue un sistema de
software desde que se concibe hasta que se retira del uso.
•Este ciclo proporciona una estructura para planificar, desarrollar, mantener y
finalizar un producto de software de manera organizada y controlada.

4. Etapas
•Se da de baja el software.
•Puede implicar migración a otro sistema.
•SRS / SSS
•Qué debe hacer el software
•Viabilidad y riesgos
•Arquitectura del sistema
•Interfaces, bases de datos,
estructuras de datos y
algoritmos.
•código fuente
•Verificación y validación
•Puede incluir capacitación,
instalación y configuración
•Actualizaciones, mejoras
y adaptaciones a nuevos entornos.

5. Validación y Verificación

6. Ejemplo : Modelo Incremental

7. Ejemplo : Modelo en Cascada

8. Ejemplo : Modelo en Espiral

9. Ejemplo : Modelo basado en prototipado

10. Ejemplo : Modelo Ágil

11. Ejemplo : Modelo RUP

12. Ejemplo : Modelo DevOps

13. 2.- Modelo de Madurez

14. Definición
•Herramienta que permite evaluar qué tan desarrollado o avanzado está un proceso,
una organización o una capacidad, y establecer un camino para mejorar
progresivamente.
•Un modelo de madurez define niveles escalonados que representan el progreso
desde un estado inicial (caótico o inmaduro) hasta uno óptimo (estable, eficiente y
medible).
Modelo de madurez Kanban
Business Process Maturity Model
CMMI

15. Características

16. Para que sirve un MM

17. Ejemplo : Modelo CMMI

18. Ejemplo : Modelo ISO/IEC 15504 (SPICE)

19. Ejemplo : Modelo TMMi (Testing Maturity
Model integration)

20. Ejemplo : Modelo MMS (Modelo de Madurez
de Software - latinoamericano)

21. Ejemplo : Modelo ISO/IEC 330xx(substituto
de ISO 15504)

22. Ejemplo : Modelo DevOps

23. Ejemplo : Modelo Agile

24. 3.- OWASP SAMM

25. Definición
•OWASP SAMM (Software Assurance Maturity Model) es un modelo de madurez
desarrollado por la organización OWASP (Open Worldwide Application Security
Project), diseñado para ayudar a las organizaciones a:
❖Evaluar
❖ Mejorar
❖ Gestionar sus prácticas de seguridad en el ciclo de vida del software (SDLC).

26. Alcance
❑Integrar la seguridad desde el inicio del desarrollo de software.
❑Adaptarse a diferentes tamaños de organización y metodologías (ágil, cascada, DevOps, etc.).
❑Proporcionar una ruta clara de mejora continua en la seguridad del software.

27. Para que sirve
❑Hacer un autodiagnóstico de madurez en seguridad.
❑Definir una hoja de ruta de mejora.
❑Alinear prácticas de desarrollo seguro con los objetivos de negocio.
❑Compararse frente a estándares o entre equipos/empresas.

28. Evolución
OpenSAMM
OpenSAMM
1.0
March2009
March2016
OWASP
SAMM1.1
February2017
OWASP
SAMM1.5
2018-2019
OWASP
SAMM2.0

29. Evolución
Versión 1 (2009)

30. Evolución
Versión 2 (2020)
Fuente: OWASP SAMM
3 ML
15
5
Funciónde
Negocio
Prácticade
Seguridad
Actividad Actividad
Prácticade
Seguridad
Actividad
ML: Maturity Level
Flujo Flujo

31. Evolución
Versión 2 (2019)
•Separación de Diseño y Operaciones
•Mayor claridad en actividades y objetivos
•Mejor alineación con metodologías ágiles y DevOps
•Mayor énfasis en riesgos y métricas de cumplimiento
•Materiales de soporte y documentación mejorados (guías, plantillas, herramientas).

32. Evolución

33. Evolución
•Objective
•Activities
•Assessment
•Results
•SuccessMetrics
•Costs
•Personnel
•RelatedLevels

34. Evaluación

35. 4.- Estructura OWASP SAMM

36. Formato

37. Estructura

38. Funciones

39. Funciones : Gobierno
•Es el marco de dirección y control que establece la base para que las demás funciones (Diseño,
Implementación, Verificación y Operaciones) integren buenas prácticas de seguridad.
•Su objetivo es garantizar que la seguridad del software esté integrada en la visión estratégica,
en lugar de tratarla como una actividad técnica aislada.
Strategy and
Metrics
Policy &
Compliance
Education and
Guidance
Prácticas de Seguridad:

40. Funciones : Diseño
•Es el proceso de anticipar amenazas y estructurar arquitecturas seguras, incluso antes de
escribir una línea de código. Se relaciona con la seguridad por diseño (security by design).
•Su objetivo es Reducir el riesgo desde la fase de diseño, tomando decisiones informadas que
mitiguen vulnerabilidades antes de que el software se implemente.
Prácticas de Seguridad:
Threat
Assessment
Security
Requirements
Security
Architecture

41. Funciones : Implementación
•En OWASP SAMM, la función de negocio Implementación (Implementation) se centra en asegurar que
el código fuente y los procesos de construcción del software se realicen de forma segura, controlada y
reproducible.
•Esta función busca garantizar la seguridad durante la codificación y el despliegue, aplicando buenas
prácticas de desarrollo seguro y control de versiones.
•Su objetivo es Reducir riesgos introducidos durante la codificación, construcción y despliegue de
software, asegurando que el producto final sea confiable y reproducible.
Prácticas de Seguridad:
Secure Build
Secure
Deployment
Defect
Management

42. Funciones : Verificación
•En OWASP SAMM, la función de negocio Verificación (Verification) tiene como objetivo asegurar que el
software cumpla con los requisitos de seguridad esperados, a través de actividades de pruebas y
revisiones técnicas.
•Verificación se refiere a la evaluación activa del software para detectar vulnerabilidades, validar
controles implementados y mejorar la calidad del código desde el punto de vista de seguridad.
•Su objetivo es Detectar y corregir fallos de seguridad antes del lanzamiento, asegurando que el
producto entregado sea robusto y confiable.
Prácticas de Seguridad:
Architecture
Assessment
Requirements-
driven testing
Security
Testing

43. Funciones : Operaciones
•En OWASP SAMM , la función de negocio Operaciones (Operations) se enfoca en mantener la
seguridad del software durante su ejecución y ciclo de vida en producción. Es decir, aborda cómo
se gestiona la seguridad una vez que el software está desplegado.
•Se trata de garantizar que los entornos donde el software se ejecuta (producción, staging, etc.) estén
protegidos, monitoreados y preparados para responder a incidentes.
•Su objetivo es Asegurar que el software siga siendo seguro en su entorno operativo, gestionando
cambios, vulnerabilidades y eventos de seguridad de forma proactiva
Prácticas de Seguridad:
Incident
Management
Environment
Management
Operational
Management

44. 5.- Niveles de Madurez

45. Niveles
Practica Incorporada
Mayor Eficiencia /
eficacia
Practica por
demanda
Practica incumplida •Vista Transparente en cada nivel
•Se ven mejoras detalladas
No
Muchas
Al menosla mitad
Pocas/Algunas

46. 6.- Roles OWASP SAMM

47. Roles

48. 7.- Auto Evaluación

49. Ciclo de Vida
Preparación
Evaluación
Eleccióndel
Objetivo
Definicióndel
Plan
Implementación
Mejorar

50. Preparación
•Asegurar un correcto inicio del proyecto.
DefinirelAlcance
IdentificarInteresados
Comunicar

51. Evaluación
•Identificar y comprender la madurez del alcance elegido en cada una de las 15 prácticas de
seguridad de software.
Evaluarlas prácticas
actuales
Determinarelnivel
de madurezactual

52. Elección del Objetivo
•Desarrolle un puntaje objetivo que pueda usar como criterio de medición para guiarlo en la
acción sobre las actividades más importantes para su situación.
•
DefinirelObjetivo
Estimarelimpacto

53. Definición del Plan
•Desarrolle o actualice su plan para llevar su organización al siguiente nivel.
Determinarel
cronogramade cambios
Desarrollar/actualizar el
plan de la hoja de ruta

54. Implementación
•Implementar el plan.
Implementar actividades. Implementar todas las actividades de este período. Considere su
impacto en los procesos, las personas, el conocimiento y las herramientas. El modelo SAMM
contiene consejos prescriptivos sobre cómo hacerlo. Los proyectos OWASP pueden facilitarlo.

55. Mejorar
•Asegúrese de que las mejoras estén disponibles y se utilicen eficazmente dentro de la
organización.
Evangelizar mejoras
Medir la efectividad

56. 8.- Ejercicio

57. Microsoft Excel Toolbox
https://github.com/owaspsamm/core/releases/tag/v2.1.0

58. Microsoft Excel Toolbox

59. Microsoft Excel Toolbox

60. Microsoft Excel Toolbox

61. Gracias