El ciclo de vida del desarrollo de software (SDLC) es un proceso sistemático para desarrollar software que garantiza la calidad y la corrección del código. Su objetivo es producir software de alta calidad dentro del plazo y presupuesto estipulados, según las expectativas del cliente. Cada fase del SDLC tiene su propio proceso y entregables, que alimentan la siguiente fase. Algunos modelos populares de SDLC incluyen cascada, espiral, iterativo y ágil, entre otros.
Solo existen unos pocos modelos SDLC que abordan explícitamente la seguridad del software en detalle. Sin embargo, es necesario incorporar prácticas de desarrollo de software seguro en cada modelo SDLC. Existen diversas razones por las que las organizaciones deberían planificar la implementación de prácticas de desarrollo de software seguro, entre ellas:
- Para reducir el número de vulnerabilidades en el software publicado
- Para minimizar el impacto potencial de la explotación de vulnerabilidades no detectadas
- Abordar las causas fundamentales de las vulnerabilidades para evitar que se repitan.
Las vulnerabilidades no sólo incluyen errores causados por fallas de codificación, sino también debilidades causadas por configuraciones de seguridad inadecuadas, suposiciones de confianza incorrectas y análisis de riesgos desactualizados.
¿Qué es SSDF?
Instituto Nacional de Estándares y Tecnología (NIST) Ha desarrollado un Marco de Desarrollo de Software Seguro (SDSF) para fortalecer la resistencia del software a las vulnerabilidades. No define terminologías nuevas, sino que consolida las recomendaciones de buenas prácticas de larga data para el desarrollo de software seguro. En SSDF, el énfasis se centra en identificar las mejores prácticas, más que en las herramientas, técnicas y mecanismos utilizados para implementarlas.
Según el NIST, las prácticas del SSDF se dividen en cuatro categorías principales:
- Preparar la organización (PO)
Las organizaciones deben garantizar que su personal, procesos y tecnología estén preparados para realizar un desarrollo de software seguro a nivel organizacional. Muchas organizaciones también encontrarán prácticas de PO que pueden aplicarse a subconjuntos de su desarrollo de software, como grupos o proyectos de desarrollo individuales.
- Proteger el software (PS)
Las organizaciones deben proteger todos los componentes de software contra manipulaciones y accesos no autorizados.
- Produzca software bien seguro (PW)
Las organizaciones deben producir software bien seguro con vulnerabilidades de seguridad mínimas en sus lanzamientos.
- Responder a las vulnerabilidades (RV)
Las organizaciones deben identificar vulnerabilidades residuales en sus versiones de software y responder adecuadamente para abordarlas y evitar que ocurran vulnerabilidades similares en el futuro.
Cada definición de práctica incluye los siguientes elementos:
- Práctica
El nombre de la práctica y un identificador único, seguido de una breve explicación de qué es la práctica y por qué es beneficiosa.
- tareas
Una o más acciones que pueden ser necesarias para llevar a cabo una práctica.
- Ejemplos de implementación nocional
Uno o más ejemplos teóricos de tipos de herramientas, procesos u otros métodos que podrían utilizarse para implementar una tarea. No se requieren ejemplos ni combinaciones de ejemplos, y los ejemplos mencionados no son las únicas opciones viables. Algunos ejemplos podrían no ser aplicables a ciertas organizaciones y situaciones.
- Referencias
Referencias a uno o más documentos establecidos sobre prácticas de desarrollo seguro y su correspondencia con una tarea específica. No todas las referencias son aplicables a todos los casos de desarrollo de software.
El NIST recomienda sopesar el riesgo frente al costo, la viabilidad y la aplicabilidad al decidir qué prácticas implementar.
El SSDF no es una lista de verificación; más bien, lo guía para planificar e implementar un enfoque basado en riesgos para proteger el desarrollo de software.
Ventajas de SSDF:
- Puede ayudar a organizaciones de cualquier sector o comunidad, independientemente de su tamaño.
- Se puede aplicar a software desarrollado para respaldar la tecnología de la información (TI), los sistemas de control industrial (ICS), los sistemas ciberfísicos (CPS) o la Internet de las cosas (IoT).
- Se puede integrar en cualquier flujo de trabajo de desarrollo de software y cadena de herramientas automatizada existente; sin embargo, no debería tener un impacto negativo en las organizaciones que ya cuentan con prácticas sólidas de desarrollo de software seguro.
- Hace que las prácticas sean ampliamente aplicables, en lugar de ser específicas de tecnologías, plataformas, lenguajes de programación, modelos SDLC, entornos de desarrollo, entornos operativos, herramientas, etc. particulares.
Conclusión
Con la arquitectura SSDF del NIST, el desarrollo de software seguro se está convirtiendo rápidamente en una prioridad a gran escala. Si las organizaciones adoptan SSDF, les ayudará a protegerse de las vulnerabilidades del SDLC y a proteger sus cadenas de suministro de software.
Marco de desarrollo de software seguro (SSDF) versión 1.1: recomendaciones para mitigar el riesgo de vulnerabilidades de software
