1 LECCIONES APRENDIDAS: LLEVANDO LA SEGURIDAD AL SIGUIENTE NIVEL EN UNA SOFTWARE HOUSE OWASP LATAM TOUR 2013, MONTEVIDEO Gerardo Canedo @GerardoMCanedo

2 Sobre mi … o 10+ años Desarrollo o 5 años Arquitecto o 3 años vinculado a Seguridad

3 o Soluciones de Software a Clientes o Desarrollo con GeneXus

4 Aquellos viejos tiempos … o Usuarios o Roles o Filtro datos o Botones habilitados por Rol

5 Aquellos viejos tiempos … 1. El cliente tiene un Firewall 2. La aplicación se publicaba en SSL (Internet) 3. La aplicación no es accesible desde Internet 4. La seguridad es un trabajo de Infraestructura 5. Seguidad es un Gasto 6. Nunca tuvimos problemas

6 Hasta que …

7 ¿Cómo seguimos?

8 Siguiente Nivel Aseguramiento de la Seguridad Equipo de Seguridad Capacitación Concientizar Buenas Prácticas

9 Equipo de Seguridad o Profesionales en Seguridad o Multidisciplinario o Gestión o Desarrollo o Test

10 Capacitación o Cursos y Posgrados

11 Concientizar

12 Buenas prácticas Análisis de Riesgos Revisión de Código Test de Seguridad

13 Buenas prácticas Análisis de Riesgos Revisión de Código Test de Seguridad

14 Análisis de Riesgos del Negocio o Determinar las amenazas para el negocio o Ayuda a determinar los controles a incorporar con el presupuesto destinado

15 Análisis de Riesgos de la Arquitectura

16 Buenas prácticas Análisis de Riesgos Revisión de Código Test de Seguridad

17 ¿Qué es GeneXus? Modelo GeneXus Especificador Código Intermedio Ruby Ejecución Desarrollo

18 Revisión de Código Modelo GeneXus Especificador Código Intermedio Ruby Revisión

19 GeneXus Security Scanner o http://wiki.gxtechnical.com/commwiki/servlet/hwiki?Securit y+Scanner+extension+user+manual http://wiki.gxtechnical.com/commwiki/servlet/hwiki?Securit y+Scanner+extension+user+manual

20 GeneXus Security Scanner

21 Buenas prácticas Análisis de Riesgos Revisión de Código Test de Seguridad

22 Código Intermedio Modelo GeneXus Especificador Código Intermedio Ruby Pruebas

23 Autenticación y Autorización

24

25 Mínima superficie de exposición Aplicación Pruebas Objetos Viejos Artefactos Test Inicializaciones Aplicación

26 Test de Seguridad

27 Test de Pentración o Aplicación Segura en ambiente de ejecución Seguro. o Realizado por equipo independiente a la construcción.

28 Lecciones aprendidas o La seguridad no se elige o Trasciende lo técnico o Equipo de Seguridad o Responsabilidad de todos o Capacitación continua o Se construye por medio de actividades en el desarrollo

29 ¡MUCHAS GRACIAS! Gerardo Canedo [email protected] @GerardoMCanedo