● ● ○ Abarca la captura de información que es utilizada para pensar como un atacante: modelado de amenazas, desarrollo de casos de abuso, clasificación de datos y patrones de ataque específicos de tecnología. ○ Se centra en la creación de patrones de seguridad, construcción de marcos de referencia de middleware, y creación y publicación de directrices de seguridad proactiva. ○ Consiste en la obtención de los requisitos de seguridad de la organización, determinación de qué paquetes de software comercial enlatado recomendar, creación de normas para controles de seguridad (tales como autenticación, validación de entrada) y tecnologías en uso, y la creación de un comité de revisión de normas. Puntos de Contacto con el SSDL ○ Abarca la captura de la arquitectura del software en diagramas concisos y la adopción de un proceso de análisis de riesgo de la misma. ○ Incluye el uso de herramientas de comprobación de código, desarrollo de reglas a medida, definición de perfiles por roles para el uso de aplicaciones, análisis manual, y resultados de seguimiento/medición. ○ Se refiere a las verificaciones previas al lanzamiento, incluida la integración de la seguridad dentro de los procesos de aseguramiento de calidad. Incluye el uso de herramientas de seguridad de caja negra, las pruebas de caja blanca guiadas por riesgos, la aplicación de un modelo de ataque y el análisis de cobertura de código. Despliegue ○ Implica la realización de pruebas de penetración y la retroalimentación con los resultados de las mismas a la gestión de incidentes de seguridad. ○ Se ocupa de la aplicación de parches del sistema operativo y la plataforma, los firewalls de aplicación en el ámbito web, la documentación de instalación y configuración, la monitorización de aplicaciones, la gestión de cambios y la firma del código. ○ Tiene a cargo el control de versiones, el seguimiento de defectos y las respectivas correcciones. Dentro de cada dominio hay tres prácticas, y todas las actividades en la iniciativa de seguridad de software se enmarcan en alguna de estas prácticas. El modelo a nivel dominios y prácticas se ve de esta forma: IF-2021-76718462-APN-DNCIB#JGM Página 34 de 35