Conversatorio Ciberseguridad - Ingeniería de software seguro

 Copyright Cenfotec S.A. 2000..2015
Conversatorio Ciberseguridad, el lado
luminoso, oscuro, unificado y vivo:
Ingeniería de software seguro
Octavo Congreso ISACA 2015
Ciberseguridad: Más allá del riesgo, control y
cumplimiento
Ignacio Trejos Zelaya
Universidad Cenfotec y Cenfotec + TEC
ISACA Costa Rica

Temas
• Ingeniería del software
• Seguridad
• Desarrollo de software seguro
• Algunas técnicas
• Puesta en marcha
• Educación

Seis (sub-)disciplinas informáticas
CC SI IC
IS TI IT

1
2 345678
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
CE max
1
2345678
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
CS max
1
2345678
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
IS max
1
2345678
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
IT
1
2345678
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
SE

Ingeniería del software
Aspectos
Organizacionales
y Sistemas de
Información
Tecnologías de
aplicación
Métodos de
Software y
tecnologías
Infraestructura
de sistemas
Hardware de
computadoras y
arquitectura
Teorías
Principios
Innovación
Aplicación
Implantación
Configuración

¿Ingeniería del software?
• La ingeniería del software se ocupa de las teorías, métodos
y herramientas para el desarrollo profesional de software:
– comprende todos los aspectos de la producción de
software
– se ocupa de los problemas prácticos de desarrollar e
implantar software útil
• Los ingenieros del software adoptan un enfoque sistemático
y organizado para realizar su trabajo y utilizan técnicas y
herramientas apropiadas, dependiendo del problema por
resolver, las restricciones del desarrollo y los recursos
disponibles.
Sommerville

Finkelstein y Kramer, 2000
• “la rama de la Ingeniería de sistemas que trata del
desarrollo de grandes y complejos sistemas intensivos en
software. Se enfoca en:
– las metas del mundo real de tales sistemas, así como los
servicios que estos proveen y las restricciones sobre
ellos
– la especificación precisa del comportamiento y la
estructura de los sistemas, y la implementación de estas
especificaciones
– las actividades requeridas a fin de desarrollar un
aseguramiento de que se han satisfecho las
especificaciones y las metas del mundo real
– la evolución de tales sistemas en el tiempo y a través de
familias de sistemas
– los procesos, métodos y herramientas para el desarrollo
de sistemas intensivos en software de una manera
económica y oportuna.”

Seguridad, en español
• En inglés se distingue entre security y safety.
Ambas palabras se traducen a seguridad en
castellano. Sus connotaciones son distintas:
– Security: protección contra el peligro que se
origina “desde afuera” con la intención de
provocar algún daño (a personas, propiedades,
ambiente, etc.)
– Safety: protegerse de los daños que son
consecuencia de errores, fallas, accidentes,
equivocaciones u otros sucesos que carecen de
una provocación intencional

Seguridad (safety) vs seguridad (security)

Privacidad versus seguridad

Seguridad
• Dependencia de la tecnología
• Vulnerabilidades y deficiencias técnicas
• Los malos están tratando de hacer daño
• Talones de Aquiles: ignorancia e infundada
confianza
• Prevenir es mejor que curar

Seguridad de la información
• confidencialidad: “asegurar que la información es
accesible solamente a aquellos que tienen acceso
autorizado”. Las técnicas criptológicas ayudan a
implementar este tipo de protección.
• integridad: los datos se mantienen inalterados al
transmitirse, almacenarse y recuperarse. Solo
pueden ser alterados por aquellos autorizados
expresamente.
• disponibilidad: el grado en que un sistema está
en condiciones de dar servicio, cuando éste se
requiere en un momento arbitrario.

NIST: Riesgos informáticos

FoundStone: abordaje integral

Capers Jones: defectos

Integración temprana de la seguridad

Puntos de contacto, McGraw

Microsoft, temprano

Microsoft, 2005

Microsoft, 2012

Infosec S-SDLC

McGraw, 2006

McGraw, mapeos (2006)

FoundStone: consideraciones proceso

Reducir defectos

Casos de uso malintencionado

Requerimientos de seguridad (safety)

Casos de abuso informáticos

Árboles de ataque

Praxis Sytems

Seguridad en desarrollo ágil

Narrativas de usuario genéricas

(ISC)2: buenas prácticas

Herramientas para análisis

McGraw, Puesta en marcha (2006)

Educar

SEI CERT currículum

ACM & IEEE: Ingeniería del software

SEEK 2014: nueva área de conocimiento

Conversatorio Ciberseguridad - Ingeniería de software seguro

Recomendados

Recomendados

Más contenido relacionado

Similar a Conversatorio Ciberseguridad - Ingeniería de software seguro

Similar a Conversatorio Ciberseguridad - Ingeniería de software seguro (20)

Último

Último (7)

Conversatorio Ciberseguridad - Ingeniería de software seguro