Política de Ciclo de Vida de Desarrollo de Software Seguro
1. Propósito
Establecer requisitos para integrar la seguridad a lo largo del ciclo de vida de desarrollo de software para prevenir, detectar y remediar vulnerabilidades de seguridad en las aplicaciones desarrolladas y adquiridas por [ORGANIZATION].
2. Alcance
Esta política se aplica a todo el software desarrollado, personalizado o adquirido por [ORGANIZATION], incluyendo aplicaciones internas, aplicaciones web, APIs, aplicaciones móviles y scripts implementados en entornos de producción.
3. Política
3.1 Requisitos de Seguridad del SDLC
[ORGANIZACION] deberá integrar actividades de seguridad en cada fase del ciclo de vida de desarrollo de software: Requisitos (requisitos de seguridad, modelado de amenazas), Diseño (revisión de arquitectura segura, patrones de diseño de seguridad), Desarrollo (estándares de codificación segura, revisión de código por pares), Pruebas (pruebas de seguridad, escaneo de vulnerabilidades), Implementación (procedimientos de implementación segura, revisión de configuración) y Mantenimiento (gestión de parches, monitoreo continuo).
Se deberá documentar un proceso de SDLC seguro y comunicarlo a todos los equipos de desarrollo.
Los requisitos de seguridad deberán definirse para cada aplicación basándose en la clasificación de datos y la evaluación de riesgos.
3.2 Prácticas de Codificación Segura
Los desarrolladores deberán seguir estándares documentados de codificación segura basados en OWASP, CERT o guías equivalentes para su lenguaje de programación.
El código deberá desarrollarse para prevenir clases comunes de vulnerabilidades incluyendo: ataques de inyección (SQL, comandos, LDAP), scripting entre sitios (XSS), falsificación de solicitudes entre sitios (CSRF), deserialización insegura, autenticación rota y exposición de datos sensibles.
Las bibliotecas y componentes de terceros deberán rastrearse en una lista de materiales de software (SBOM) y monitorearse para vulnerabilidades conocidas.
Las credenciales codificadas de forma fija, claves API y secretos están prohibidos en el código fuente. Los secretos deberán gestionarse a través de soluciones aprobadas de gestión de secretos.
3.3 Pruebas de Seguridad
Las Pruebas de Seguridad de Aplicaciones Estáticas (SAST) deberán integrarse en el pipeline CI/CD y realizarse en todo el código antes de fusionarlo con la rama principal.
Las Pruebas de Seguridad de Aplicaciones Dinámicas (DAST) deberán realizarse en todas las aplicaciones web al menos [PERSONALIZAR: trimestral/mensualmente] y antes de cada lanzamiento importante.
El análisis de composición de software (SCA) deberá utilizarse para identificar vulnerabilidades en componentes y bibliotecas de terceros.
Las pruebas de penetración deberán realizarse en las aplicaciones críticas al menos [PERSONALIZAR: anualmente] por evaluadores calificados.
Las vulnerabilidades de seguridad identificadas a través de las pruebas deberán remediarse de acuerdo con los SLA de la Política de Gestión de Vulnerabilidades.
3.4 Seguridad en la Implementación
Las implementaciones en producción deberán seguir un proceso documentado y repetible utilizando automatización CI/CD cuando sea factible.
Los desarrolladores no deberán tener acceso directo a los entornos de producción. La implementación deberá realizarse a través de pipelines automatizados o por personal de operaciones designado.
Los entornos de producción deberán estar separados de los entornos de desarrollo, pruebas y aceptación sin credenciales compartidas.
Los procedimientos de reversión de implementaciones deberán documentarse y probarse para cada aplicación crítica.
4. Cumplimiento
El cumplimiento de esta política es obligatorio para todo el personal dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, controles automatizados y revisión de la gerencia.
Las excepciones a esta política deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Equipo de Seguridad], y revisarse al menos anualmente.
5. Aplicacion
Las violaciones a esta política pueden resultar en acciones disciplinarias que incluyen hasta la terminación del empleo o contrato, y pueden resultar en sanciones civiles o penales cuando se haya violado la ley aplicable.
[ORGANIZACION] se reserva el derecho de auditar el cumplimiento de esta política en cualquier momento, con o sin previo aviso.
6. Revisión y Actualización
Esta política será revisada al menos anualmente por [PERSONALIZAR: CISO/Propietario de la Política] y actualizada según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios o estructura organizaciónal.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación de la Política
Aprobado Por
Cargo
Fecha
Control de Documentos