1 of 29

LECCIONES APRENDIDAS: LLEVANDO LA SEGURIDAD AL SIGUIENTE NIVEL EN UNA SOFTWARE HOUSE

OWASP LATAM TOUR 2013, MONTEVIDEO

Gerardo Canedo

@GerardoMCanedo

​

​

2 of 29

Sobre mi …

    • 10+ años Desarrollo
    • 5 años Arquitecto
    • 3 años vinculado a Seguridad

3 of 29

​

​

​

  • Soluciones de Software a Clientes
  • Desarrollo con GeneXus

​

4 of 29

Aquellos viejos tiempos …

  • Usuarios

​

  • Roles

​

  • Filtro datos

​

  • Botones habilitados por Rol

5 of 29

Aquellos viejos tiempos …

  1. El cliente tiene un Firewall
  2. La aplicación se publicaba en SSL (Internet)
  3. La aplicación no es accesible desde Internet
  4. La seguridad es un trabajo de Infraestructura
  5. Seguidad es un Gasto
  6. Nunca tuvimos problemas

6 of 29

Hasta que …

7 of 29

¿Cómo seguimos?

8 of 29

Siguiente Nivel

Aseguramiento de la Seguridad

Equipo de Seguridad

Capacitación

Concientizar

Buenas Prácticas

9 of 29

Equipo de Seguridad

  • Profesionales en Seguridad

​

  • Multidisciplinario
    • Gestión
    • Desarrollo
    • Test

​

10 of 29

Capacitación

​

​

​

​

​

​

  • Cursos y Posgrados

11 of 29

Concientizar

12 of 29

Buenas prácticas

Análisis de Riesgos

Revisión de Código

Test de Seguridad

13 of 29

Buenas prácticas

Análisis de Riesgos

Revisión de Código

Test de Seguridad

14 of 29

Análisis de Riesgos del Negocio

  • Determinar las amenazas para el negocio
  • Ayuda a determinar los controles a incorporar con el presupuesto destinado

15 of 29

Análisis de Riesgos de la Arquitectura

​

​

16 of 29

Buenas prácticas

Análisis de Riesgos

Revisión de Código

Test de Seguridad

17 of 29

¿Qué es GeneXus?

Modelo GeneXus

Especificador

Código Intermedio

Ruby

Ejecución

Desarrollo

18 of 29

Revisión de Código

Modelo GeneXus

Especificador

Código Intermedio

Ruby

Revisión

19 of 29

GeneXus Security Scanner

​

20 of 29

GeneXus Security Scanner

21 of 29

Buenas prácticas

Análisis de Riesgos

Revisión de Código

Test de Seguridad

22 of 29

Test de Seguridad

Código Intermedio

Modelo GeneXus

Especificador

Código Intermedio

Ruby

Pruebas

23 of 29

Autenticación y Autorización

24 of 29

Autenticación y Autorización

25 of 29

Mínima superficie de exposición

  • Aplicación
  • Pruebas
  • Objetos Viejos
  • Artefactos Test
  • Inicializaciones

Aplicación

26 of 29

Test de Seguridad

27 of 29

Test de Pentración

  • Aplicación Segura en ambiente de ejecución Seguro.

​

  • Realizado por equipo independiente a la construcción.

​

28 of 29

Lecciones aprendidas

  • La seguridad no se elige
  • Trasciende lo técnico
  • Equipo de Seguridad
  • Responsabilidad de todos
  • Capacitación continua
  • Se construye por medio de actividades en el desarrollo

​

​

​

​

​

​

29 of 29

¡MUCHAS GRACIAS!

Gerardo Canedo

gcanedo@genexusconsulting.com

@GerardoMCanedo

​