SEC11-BP08 Creación de un programa que integre la propiedad de la seguridad en los equipos de la carga de trabajo
Elabore un programa o un mecanismo que permita a los equipos de creadores tomar decisiones de seguridad sobre el software que crean. Aun así, su equipo de seguridad debe validar estas decisiones durante una revisión, pero integrar la propiedad de la seguridad en los equipos de creadores permite crear cargas de trabajo más rápidas y seguras. Este mecanismo también fomenta una cultura de propiedad que repercute positivamente en el funcionamiento de los sistemas que se crean.
Resultado deseado: ha integrado la propiedad de la seguridad y la toma de decisiones en sus equipos. Ha formado a sus equipos sobre cómo pensar en la seguridad o los ha ampliado con personal de seguridad integrado o asociado. Como resultado, sus equipos toman decisiones de seguridad de mayor calidad en una fase más temprana del ciclo de desarrollo.
Patrones comunes de uso no recomendados:
-
Dejar todas las decisiones del diseño de la seguridad en manos del equipo de seguridad.
-
No hacer frente a los requisitos de seguridad con suficiente antelación en el proceso de desarrollo.
-
No obtener comentarios de los creadores y del personal de seguridad sobre el funcionamiento del programa.
Beneficios de establecer esta práctica recomendada:
-
Reducción del tiempo necesario para completar las revisiones de seguridad.
-
Reducción de los problemas de seguridad que solo se detectan en la fase de revisión de la seguridad.
-
Mejora de la calidad general del software que se programa.
-
Oportunidad de identificar y comprender problemas sistémicos o áreas de mejora de alto valor.
-
Reducción de la cantidad de tareas que es necesario repetir debido a los resultados de la revisión de seguridad.
-
Mejora de la percepción de la función de seguridad.
Nivel de riesgo expuesto si no se establece esta práctica recomendada: bajo
Guía para la implementación
Comience con las directrices que se proporcionan en SEC11-BP01 Formación en seguridad de las aplicaciones. A continuación, identifique el modelo operativo para el programa que crea que puede funcionar mejor para su organización. Los dos modelos principales son formar a los desarrolladores o integrar al personal de seguridad en los equipos de creadores. Una vez que haya decidido el enfoque inicial, deberá llevar a cabo una prueba piloto con uno o un pequeño grupo de equipos de carga de trabajo para comprobar que el modelo funciona en su organización. El apoyo de los líderes de los departamentos de creación y seguridad de la organización contribuye a la implantación y al éxito del programa. A medida que cree este programa, es importante elegir métricas que sirvan para mostrar el valor del programa. Aprender de cómo AWS ha tratado este problema es una buena experiencia de aprendizaje. Esta práctica recomendada se centra en gran medida en la cultura y el cambio organizativo. Las herramientas que emplee deben apoyar la colaboración entre las comunidades de creadores y de seguridad.
Pasos para la implementación
-
Empiece por formar a los desarrolladores en la seguridad para las aplicaciones.
-
Cree una comunidad y un programa de incorporación para educar a los desarrolladores.
-
Elija un nombre para el programa. Los más utilizados son Guardians, Champions o Advocates.
-
Identifique el modelo que se va a utilizar: formar a los desarrolladores, incorporar ingenieros de seguridad o tener roles de seguridad afines.
-
Identifique a los patrocinadores del proyecto entre los encargados de la seguridad, los desarrolladores y, quizá, otros grupos pertinentes.
-
Haga un seguimiento del número de personas que participan en el programa, el tiempo necesario para las revisiones y los comentarios de los desarrolladores y el personal de seguridad. Utilice estas métricas para hacer mejoras.
Recursos
Prácticas recomendadas relacionadas:
Documentos relacionados:
Videos relacionados:
