La gu\u00eda \u201cShifting the Balance of Cybersecurity Risk: Principles and Approaches for Security-by-Design and -Default\u201d (Cambiar el equilibrio del riesgo de ciberseguridad: principios y enfoques para la seguridad por dise\u00f1o y por defecto) fue publicada recientemente por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), junto con la Agencia de Seguridad Nacional (NSA) de los EE.UU., el FBI y las autoridades de ciberseguridad de Nueva Zelanda, Pa\u00edses Bajos, Alemania, Reino Unido, Canad\u00e1 y Australia. Fue presentada como referencia, especialmente dirigida a los fabricantes de tecnolog\u00eda de la informaci\u00f3n, para incorporar la seguridad desde las primeras etapas del desarrollo de\u00a0software, con el objetivo de entregar productos m\u00e1s seguros a los clientes.\u00a0Fluid Attacks, compa\u00f1\u00eda especializada en realizar pruebas de seguridad integrales y continuas en aplicaciones y otros sistemas inform\u00e1ticos, nos explica la importancia de ejecutar lo sugerido en dicha gu\u00eda.<\/p>\n
Felipe G\u00f3mez, Director Regional de Fluid Attacks, se\u00f1ala que \u201cmuchos proveedores de tecnolog\u00eda todav\u00eda est\u00e1n rezagados en lo que respecta a asegurar o proteger los productos que desarrollan y comercializan; incluso se desentienden de esta responsabilidad. Por esta raz\u00f3n, suelen ser los clientes quienes deben responsabilizarse de monitorear su seguridad y de reducir y responder a los riesgos cibern\u00e9ticos. La gu\u00eda a la que nos referimos hace un llamado a los fabricantes de tecnolog\u00eda para que renueven sus programas de dise\u00f1o y desarrollo, y as\u00ed permitan que solamente sean enviados a los clientes productos seguros por dise\u00f1o y por defecto. Estos productos tendr\u00edan la seguridad de los clientes como objetivo fundamental y no requerir\u00edan cambios de configuraci\u00f3n ni pagos adicionales por funciones en pro de la seguridad\u201d.<\/p>\n
Seguridad por dise\u00f1o<\/strong><\/p>\n La seguridad por dise\u00f1o implica que los fabricantes reconozcan desde un principio a qu\u00e9 tipo de ciberamenazas se enfrentar\u00e1n sus productos y que en funci\u00f3n de ellas apliquen buenas pr\u00e1cticas de desarrollo e implementen los controles de seguridad necesarios. Esto requiere que la seguridad sea una prioridad empresarial y que se inviertan recursos en caracter\u00edsticas y mecanismos b\u00e1sicos que ubiquen la protecci\u00f3n del cliente por encima de todo. Si bien esto podr\u00eda aumentar los costos en las fases iniciales del ciclo de vida de desarrollo de\u00a0software, a largo plazo se reducir\u00edan los costos de mantenimiento y remediaci\u00f3n de vulnerabilidades.<\/p>\n De acuerdo con la gu\u00eda, para la seguridad por dise\u00f1o es \u00fatil recurrir a publicaciones como la\u00a0\u201cSecure Software Development Framework\u201d de NIST (Instituto Nacional de Est\u00e1ndares y Tecnolog\u00eda)\u00a0que sugieren pr\u00e1cticas que permiten a las empresas identificar, eliminar y prevenir vulnerabilidades de seguridad, as\u00ed como mitigar los riesgos que estas representan. Algunas pr\u00e1cticas recomendadas son las siguientes:<\/p>\n Seguridad por defecto<\/strong><\/p>\n En este punto, las agencias de ciberseguridad en su gu\u00eda hacen un llamado a los fabricantes para que suministren productos que los usuarios finales no tengan que esforzarse en proteger contra riesgos conocidos y prevalentes. Por defecto, sus productos deber\u00edan poseer configuraciones suficientemente seguras, como ocurre por ejemplo con los cinturones de seguridad en los autom\u00f3viles nuevos, y sus clientes no tendr\u00edan que pagar sumas de dinero adicionales por otros controles de seguridad.<\/p>\n Adem\u00e1s de las pr\u00e1cticas de seguridad por dise\u00f1o, la gu\u00eda sugiere que los fabricantes de tecnolog\u00eda inform\u00e1tica den prioridad a las configuraciones de seguridad por defecto para su\u00a0software, y proporciona recomendaciones como las siguientes:<\/p>\n \u201cPara incentivar el cumplimiento de lo estipulado en esta gu\u00eda, las agencias recomiendan a los clientes de fabricantes de\u00a0software, especialmente a sus directivos, comenzar a priorizar la adquisici\u00f3n de productos seguros por dise\u00f1o y por defecto. En Fluid Attacks sabemos que cada vez son m\u00e1s las organizaciones que vinculan su \u00e9xito con la seguridad de los productos y sistemas que desarrollan y\/o usan. Es por esto que, acorde con lo que se expone en la gu\u00eda, recomendamos, tanto para los proveedores como para los consumidores de tecnolog\u00eda inform\u00e1tica, la realizaci\u00f3n de pruebas integrales y continuas de seguridad con t\u00e9cnicas manuales y automatizadas que contribuyan a garantizar que sus productos sean lo suficientemente seguros, representando una m\u00ednima exposici\u00f3n al riesgo\u201d, concluye Felipe G\u00f3mez.<\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" La gu\u00eda \u201cShifting the Balance of Cybersecurity Risk: Principles and Approaches for Security-by-Design and -Default\u201d (Cambiar el equilibrio del riesgo de ciberseguridad: principios y enfoques para la seguridad por dise\u00f1o y por defecto) fue publicada recientemente por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), junto con la Agencia de Seguridad Nacional (NSA) de […]<\/p>\n","protected":false},"author":1,"featured_media":160864,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[46],"tags":[],"class_list":["post-160863","post","type-post","status-publish","format-standard","has-post-thumbnail","category-ciencia-computacion"],"acf":{"antetitulo":""},"yoast_head":"\n\n
\n