Anexo 2 - Introducción a BSIMM Introducción El BSIMM (Building Security In Maturity Model) es un modelo de madurez que sirve para orientar a una organización que desarrolla software con respecto a las acciones que puede encarar con el fin de hacerlo más seguro. En este documento hacemos una introducción somera del modelo y de las formas en que se utiliza. Modelos de madurez Los modelos de madurez son herramientas para evaluar objetivamente los procesos propios con respecto a algún criterio en particular. En algunos casos, existen certificaciones y son requeridas (por ejemplo CMMI). Califican las iniciativas por niveles de madurez, en una o más dimensiones. Permiten abordar la evaluación de los procesos propios y dan información sobre iniciativas que permitirían mejorarlos. Iniciativas de seguridad de software Llamamos “iniciativa de seguridad de software” a todas las actividades llevadas a cabo con el propósito de construir software seguro. Es un programa aplicado a toda la organización, cuyo objetivo es inculcar, medir, gestionar y hacer evolucionar actividades de seguridad del software en forma coordinada. También es conocido como “programa empresarial de seguridad del software” El modelo BSIMM BSIMM es un modelo de madurez de iniciativas de seguridad de software, basado en relevar las iniciativas de una cantidad de empresas. Es un modelo descriptivo, más que prescriptivo, y por lo tanto normalmente no se certifica; se utiliza como ayuda para guiar la iniciativa de seguridad de software. Al mismo tiempo, proporciona un panorama de qué están haciendo al respecto los diferentes actores. Modelo de referencia BSIMM presenta un modelo de referencia, en el que las actividades de una iniciativa de seguridad de software se dividen en cuatro grandes dominios: Gobernanza, Inteligencia, Puntos de contacto con el SSDL, y Despliegue. ● ● Gobernanza: ○ Abarca la planificación, asignación de roles y responsabilidades, identificación de metas de seguridad del software, determinación de presupuestos e identificación de métricas y puertas de control. ○ Se centra en la identificación de controles para el cumplimiento de marcos regulatorios (PCI DSS, BCRA, HIPAA); el desarrollo de controles contractuales, tanto internos como con terceras partes; la definición de la política de seguridad del software de la organización y su auditoría. ○ Desarrollo de planes de capacitación básica en seguridad del software y orientada a los diferentes roles del proceso de desarrollo de software y tecnología. Inteligencia IF-2021-76718462-APN-DNCIB#JGM Página 33 de 35