Seguridad por diseño
Desarrollo seguro de software
Desarrollamos y mantenemos aplicaciones dentro de un sistema certificado en el Esquema Nacional de Seguridad categoría MEDIA. Cada cambio pasa por análisis automáticos de seguridad antes de llegar a producción: es la garantía de calidad de nuestro software a medida y de nuestros productos.
Enfoque
La seguridad, dentro del ciclo de desarrollo
Nuestra certificación ENS tiene como alcance precisamente los sistemas de información que dan soporte al desarrollo y mantenimiento de aplicaciones informáticas. La seguridad no se revisa al final: se comprueba de forma automática en cada cambio y deja evidencias auditables.
- Requisitos de seguridad desde el diseño: control de acceso, registro de actividad y protección de la información.
- Análisis automáticos que bloquean la integración cuando encuentran problemas graves.
- Resultados publicados en cada revisión e informes conservados como evidencia.
- Lo que no se ha podido analizar se indica expresamente: no se da por bueno.
- El código escrito con ayuda de la IA lo revisa un desarrollador y pasa los mismos análisis (uso seguro de la IA).
Pipeline de seguridad
Qué comprobamos en cada cambio
Los análisis se ejecutan en nuestros pipelines de integración continua. Si un análisis no supera su umbral, el cambio no se integra hasta corregirlo o justificarlo.
-
Revisión
Cambio revisado
Todo cambio entra por una petición de integración (pull request) en la que se ejecutan los análisis y se publican sus resultados.
No se integra sin revisión ni sin los análisis.
-
SAST
Análisis estático con Semgrep
Reglas de código, cumplimiento, infraestructura y secretos, más reglas propias referenciadas a medidas del ENS e ISO/IEC 27001.
Bloquea los hallazgos de gravedad alta.
-
SCA
Dependencias e imágenes con Trivy
Busca CVE conocidas en los paquetes y en las imágenes de contenedor que se ponen en producción.
Bloquea las CVE altas o críticas con arreglo disponible.
-
DAST
Pruebas dinámicas con OWASP ZAP
Prueba la aplicación en ejecución, sin credenciales (caja negra) y autenticada (caja gris).
Bloquea los hallazgos de riesgo alto.
El escaneo dinámico activo solo se lanza contra entornos efímeros o de preproducción cuyos datos se pueden perder, nunca contra los datos reales de un cliente. Las excepciones a una CVE sin arreglo compatible se aceptan con su motivo documentado.
Configuración segura
Cabeceras, políticas e infraestructura
Las aplicaciones web se publican con cabeceras de seguridad restrictivas. Esta misma web se sirve con ellas y sin recursos de terceros.
- Política de seguridad de contenidos (CSP) estricta, sin scripts ni estilos en línea
- HTTPS obligatorio con HSTS
- Protección frente a la inserción en marcos de otros sitios
- Permisos del navegador limitados (cámara, micrófono, ubicación, pagos)
- Política de referencia y aislamiento entre orígenes
- Control del tipo de contenido (nosniff)
Infraestructura como código revisada
Los ficheros de despliegue también pasan por el análisis estático, con reglas propias alineadas con las medidas de configuración de seguridad del ENS: imágenes con versión fija, secretos fuera del código, bases de datos no expuestas, contenedores sin privilegios y redes internas cifradas.
En productos como CIGES el acceso admite directorio corporativo (LDAP) o inicio de sesión único y doble factor; en ACAE, además, queda registro de las acciones de cada usuario.
Gestión de vulnerabilidades
Vulnerabilidades con identificador CVE
Somos Autoridad de Numeración de CVE (CNA), con la supervisión de INCIBE. Cuando se descubre una vulnerabilidad en uno de nuestros productos, la corregimos, avisamos a los clientes afectados antes de su divulgación pública y la publicamos con su identificador CVE y la versión que la corrige.
Preguntas frecuentes
Dudas sobre el desarrollo seguro
¿Qué diferencia hay entre SAST, SCA y DAST?
El SAST analiza el código fuente sin ejecutarlo; el SCA revisa las librerías y las imágenes de terceros en busca de vulnerabilidades conocidas (CVE); el DAST ataca la aplicación en ejecución como lo haría un usuario externo. Se complementan: cada uno detecta problemas que los otros no ven.
¿Qué medidas del ENS cubre el desarrollo seguro?
Principalmente las de protección de las aplicaciones informáticas: desarrollo de aplicaciones (mp.sw.1) y aceptación y puesta en servicio (mp.sw.2), además de la configuración de seguridad y la gestión de vulnerabilidades del marco operacional. En ISO/IEC 27001:2022 se corresponden con los controles de ciclo de vida de desarrollo seguro, codificación segura y pruebas de seguridad.
¿Qué pasa si se descubre una vulnerabilidad en un producto vuestro?
Se evalúa, se corrige y se avisa a los clientes afectados antes de la divulgación pública, conforme a nuestra política de divulgación de vulnerabilidades. Como Autoridad de Numeración de CVE, le asignamos un identificador CVE y la publicamos en el listado de vulnerabilidades.
¿Podéis aplicar este proceso a un desarrollo a medida para mi organización?
Sí. Los proyectos de software a medida se desarrollan con el mismo proceso, dentro del alcance de nuestra certificación ENS MEDIA.
¿Necesitas software seguro para tu organización?
Desarrollamos aplicaciones a medida dentro de un sistema certificado en el ENS categoría MEDIA.
