5. Durante el Análisis de Requerimientos A continuación, se listan actividades de seguridad que se pueden integrar a una etapa de análisis de requerimientos. 5.1 Clasificación de Activos. ¿Qué se está defendiendo? La actividad de clasificación de activos consiste en identificar los elementos de la aplicación que ameritan defenderse y estimar su valor para la organización. Ejemplos de activos son: información sensible, componentes de software y servicios. 5.2 Casos de Abuso Algún atacante intentará vulnerar los controles de seguridad establecidos o la política de uso aceptable. Los casos de abuso enumeran situaciones en las que un atacante intenta vulnerar la seguridad de la aplicación. Esta práctica se realiza en paralelo al estudio de casos de uso. 5.3 Requerimientos de Seguridad ¿Qué no debe hacer la aplicación ante un ataque? Los requerimientos de seguridad definen restricciones sobre la funcionalidad de la aplicación, en base a las reglas de la organización, los activos a defenderse y las posibles amenazas. Se recomienda formular los requerimientos de seguridad en forma explícita, precisa, completa y no conflictiva y usando afirmaciones positivas para validar su cumplimiento. 5.4 Requerimientos de Privacidad Algunos requerimientos de seguridad refieren específicamente a la confidencialidad sobre elementos de la aplicación, como código fuente o datos privados. Se debe optar por minimizar los datos privados almacenados en sistemas informáticos y justificar explícitamente su almacenamiento. 5.5 Requerimientos Arbitrarios Refieren al tipo de requerimientos que pueden disminuir la seguridad de la aplicación. Generalmente son incorporados por intervención de personal no especializado. Si bien las aplicaciones desarrolladas deben adaptarse a los procesos de la organización, los expertos deberán decidir sobre la inclusión de requerimientos y su impacto sobre la aplicación a producirse. 5.6 Análisis de Riesgos. Consiste en estimar la probabilidad de que ocurran ciertos eventos, y evaluar cuál sería el impacto de los mismos para la organización. Permite administrar la asignación de recursos limitados para protegerse de un abanico ilimitado de amenazas posibles. Ofrece planes de acción racionales ante un futuro incierto. 5.7 Priorización de Requerimientos Es necesario establecer prioridades relativas entre los requerimientos enumerados, para decidir en qué orden se los incorpora al diseño y cuales son descartados. IF-2021-76718462-APN-DNCIB#JGM Página 12 de 35