CAPITULO 2 - INTRODUCCION

CAPITULO 2 - INTRODUCCION

1. MEDIR POSTURA DE SEGURIDAD

   • Objetivos de las Métricas y Mediciones: Establecer objetivos cuantificables para evaluar la seguridad de la aplicación.
     • 1) Medicion de vulnerabilidades: Cantidad total de vulnerabilidades detectadas en pruebas de seguridad para evaluar la postura de seguridad.
     • 2) Comparación con Línea Base: Evaluar mejoras comparando la cantidad de vulnerabilidades con una línea base establecida (ej. pruebas de penetración vs. pruebas de código).
     • 3) Objetivos de Reducción de Vulnerabilidades: Establecer metas para reducir la cantidad de vulnerabilidades a un nivel mínimo aceptable antes de la implementación en producción.

2. CATEGORIA Y GESTION DE DEFECTOS

   • Categorización y Gestión de Defectos: Clasificar y manejar defectos de seguridad identificados durante las pruebas.
     • 1) Clasificación por Causa Raíz: Identificar si los defectos son errores de diseño (fallas arquitectónicas) o errores de codificación (bugs de seguridad).
     • 2) Uso de CVSS: Utilizar el Sistema de Puntuación de Vulnerabilidad Común para evaluar la gravedad de las vulnerabilidades y priorizar la remediación.
     • 3) Gestión Integrada de Defectos: Aplicar procesos de gestión de defectos que aborden tanto problemas de seguridad como de calidad del software.

3. METRICAS , RIESGO Y GESTION

   • Métricas de Riesgo y Gestión: Utilizar métricas para evaluar y gestionar los riesgos asociados con las vulnerabilidades descubiertas.
     • 1) Evaluación de Riesgos: Evaluar el impacto y la probabilidad de las vulnerabilidades para determinar el nivel de riesgo.
     • 2) Apoyo a Decisiones de Gestión de Riesgos: Proporcionar datos que ayuden a tomar decisiones informadas sobre cómo gestionar y mitigar los riesgos identificados.

4. COMPARATIVOS , CONTENCION

   • Comparativos y Contención: Comparar resultados de pruebas en diferentes fases del ciclo de vida del desarrollo de software y aplicar medidas de contención.
     • 2) Comparación de Métricas: Comparar la eficacia de las pruebas de seguridad en diferentes etapas del SDLC para optimizar la detección y corrección de vulnerabilidades.
     • 1) Métricas de Contención: Utilizar métricas para evaluar la eficacia de la contención de vulnerabilidades y reducir los costos asociados con las correcciones tardías.

5. INFORMES , ANALISIS Y DATOS

   • Informes y Análisis de Datos: Generar informes detallados que apoyen el análisis de riesgos, costos y cumplimiento de estándares de seguridad.
     • 1) Contenido Detallado en Informes: Incluir categorización de vulnerabilidades, amenazas identificadas, y causas raíz de problemas de seguridad para facilitar el análisis.
     • 2) Apoyo al Cumplimiento de Estándares: Proporcionar datos que ayuden a cumplir con regulaciones y estándares de seguridad de la información.

6. CASO , NEGOCIO, STAKEHOLDERS

   • Casos de Negocio y Stakeholders: Identificar el valor de las métricas de pruebas de seguridad para diferentes partes interesadas y roles dentro de la organización.
     • 1) Valor para Stakeholders Clave: Demostrar el valor de las pruebas de seguridad para desarrolladores, gerentes de proyectos, oficinas de seguridad de la información, y auditores.
     • 2) Justificación de Inversiones en Seguridad: Utilizar métricas para justificar la inversión en recursos y herramientas de seguridad basadas en análisis de coste-beneficio y ROI en seguridad.