Uno Dos Tres

¿Y qué hay sobre las razones para no adoptar alguna metodología de desarrollo seguro? La encuesta de Errata arroja algunos motivos: “seguirlas consumen mucho tiempo”, “desconocimiento de la existencia de estas metodologías”, “muy costoso seguirlas”, “requiere muchos recursos”, “innecesario”.

También resalta un dato curioso: corporaciones con grupos grandes de desarrolladores (~100) no adoptan estas metodologías tan rápido como aquéllas que tienen pocos codificadores (~10).

En fin, olvídense de la encuesta. Volteemos a nuestras áreas de TI. ¿Qué se hace ahí? ¿Se siguen metodologías de desarrollo de software seguro? Si sí, compartan! Si no es así, las razones son algunas de las listadas aquí (innecesario, costoso, inútil)?

Recuerden que el hecho de no seguir una de estas metodologías no está mal si así lo decidieron de manera consciente, lo que implicaría un riesgo es no analizar qué otros controles compensatorios pueden existir (como por ejemplo un firewall de nivel aplicación para proteger las web-apps).

Para los que no siguen una metodología de desarrollo seguro o incorporan controles compensatorios, no pretendo convencerlos con una encuestita, supongo que tendrán que vivirlo.

Finalmente, algunas citas interesantes sobre este tema:

“The root cause of software vul­nerabilities is found in the early stages of the software development life cycle. The majority of vulnerabili­ties could easily be taken out at this stage”.- Marisa Fagan (Errata)

“It’s no secret that soft­ware companies value features over security”.- Marisa Fagan (Errata)

Nota: un libro que me encuentro leyendo actualmente es el de “Software Security Testing” de Chris Wysopal. Existen muchos otros más en Amazon muy recomendables (échenme un tweet si les interesa).

Fausto Cepeda es ingeniero en Sistemas Computacionales por el ITESM, CCM. Es Maestro de Seguridad de la Información por la Universidad de Londres en el Reino Unido. Ha sido Consultor de Seguridad y actualmente es Analista de Sistemas en la Oficina de Seguridad Informática del Banco de México. También cuenta con la certificación de seguridad CISSP (Certified Information Systems Security Professional.

...