Seguridad en Desarrollo y DevSecOpsDevelopment Security and DevSecOps
SAST, DAST, dependencias, IaC scanning en CI/CD.SAST, DAST, dependency and IaC scanning within CI/CD.
¿Qué es este servicio?What is this service?
Es meter la seguridad dentro del proceso de desarrollo: análisis del código propio, revisión de las dependencias de terceros, pruebas contra la aplicación en ejecución, escaneo de la infraestructura definida como código y detección de secretos, todo dentro de la misma tubería que ya usa el equipo para construir y desplegar.
Embedding security inside the development process: analysis of first-party code, review of third-party dependencies, testing against the running application, scanning of infrastructure defined as code and secret detection, all inside the same pipeline the team already uses to build and deploy.
¿Para qué se usa?What is it used for?
Evita descubrir el problema en el pentest anual, cuando arreglarlo cuesta veinte veces más y obliga a rehacer una arquitectura. La mayor parte del código de una aplicación moderna no lo escribió el equipo propio: son librerías de terceros. Ese es hoy el punto de entrada más rentable para un atacante, y el único control que lo cubre es revisar las dependencias en cada build.
It avoids discovering the problem in the annual pentest, when fixing it costs twenty times more and means reworking an architecture. Most of the code in a modern application was not written by the in-house team: it is third-party libraries. That is today the most profitable entry point for an attacker, and the only control covering it is checking dependencies on every build.
Qué beneficios traeBenefits it delivers
- El fallo se detecta cuando el desarrollador todavía tiene el contexto fresco, que es cuando cuesta poco arreglarlo.
- Cubre las dependencias de terceros, que es donde está la mayoría del riesgo y donde casi nadie mira.
- Detecta credenciales pegadas en el código antes de que lleguen al repositorio, que es de donde salen la mitad de las filtraciones.
- Genera evidencia automática y continua para las auditorías, sin tener que recolectarla a mano cada año.
- The flaw is caught while the developer still has the context fresh, which is when it is cheap to fix.
- Covers third-party dependencies, where most of the risk sits and almost nobody looks.
- Detects credentials pasted into code before they reach the repository, the source of half the leaks.
- Produces automatic, continuous audit evidence without collecting it by hand once a year.
¿En qué momentos es obligatorio?When is it mandatory?
Costa RicaCosta Rica
- No hay obligación legal en Costa Rica de aplicar prácticas de desarrollo seguro.
- El Acuerdo CONASSIF 5-24 exige a las entidades supervisadas gobernar la gestión de la tecnología, y el ciclo de desarrollo forma parte de esa gestión.
- Si la aplicación trata datos personales, la Ley 8968 exige medidas de seguridad razonables sobre ese tratamiento.
- There is no legal obligation in Costa Rica to apply secure development practices.
- CONASSIF Agreement 5-24 requires supervised entities to govern technology management, and the development lifecycle is part of that.
- If the application handles personal data, Law 8968 requires reasonable security measures over that processing.
InternacionalInternational
- PCI-DSS exige desarrollar el software a medida siguiendo prácticas seguras y revisar el código antes de pasar a producción.
- PCI-DSS también obliga a inventariar los componentes de software propios y de terceros que se usan.
- ISO 27001 pide integrar la seguridad en el ciclo de vida de desarrollo y separar los entornos de prueba y producción.
- PCI-DSS requires bespoke software to be developed following secure practices and code to be reviewed before production.
- PCI-DSS also requires an inventory of the first-party and third-party software components in use.
- ISO 27001 calls for security to be integrated into the development lifecycle and for test and production environments to be separated.
Requisitos mínimosMinimum requirements
- Una tubería de integración continua donde enganchar los controles: si el equipo despliega a mano, primero hay que resolver eso.
- Acceso a los repositorios y permiso para modificar la configuración de la tubería.
- Un criterio acordado de qué rompe el build y qué solo avisa. Bloquear todo desde el día uno es la forma garantizada de que el equipo desactive el control.
- Alguien del lado de desarrollo con tiempo asignado para atender los hallazgos, no solo para recibirlos.
- A continuous integration pipeline to hook the controls into: if the team deploys by hand, that comes first.
- Access to the repositories and permission to change the pipeline configuration.
- An agreed rule on what breaks the build and what only warns. Blocking everything from day one is the guaranteed way to get the control switched off.
- Somebody on the development side with allocated time to address findings, not just receive them.
Plazo típico de entregaTypical delivery time
El rango habitual para la implementación inicial va de cuatro a doce semanas, según cuántos repositorios y tuberías haya y qué tan estandarizados estén. La parte técnica es la rápida; lo lento es el afinado, porque el primer escaneo de una aplicación con años encima devuelve miles de hallazgos y hay que priorizar antes de que el equipo los ignore en bloque.
The usual range for initial implementation runs from four to twelve weeks, depending on how many repositories and pipelines exist and how standardised they are. The technical part is the fast one; tuning is the slow part, because the first scan of an application with years behind it returns thousands of findings and they must be prioritised before the team dismisses them wholesale.
NomenclaturaTerminology
Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.