Política de requisitos de seguridad de aplicaciones

La Política de requisitos de seguridad de aplicaciones (P25) proporciona un mandato organizativo integral para incorporar controles de seguridad sólidos en cada etapa del ciclo de vida de las aplicaciones. Su propósito principal es aplicar requisitos obligatorios de seguridad a nivel de aplicación para todo el software desarrollado, adquirido, integrado o desplegado por la organización. La política es aplicable no solo a soluciones desarrolladas internamente, sino también a SaaS, herramientas a medida y herramientas obtenidas externamente. Esta amplia aplicabilidad garantiza que todo activo tecnológico que respalde operaciones empresariales críticas, el acceso de clientes o el tratamiento de datos regulados esté protegido de acuerdo con los principios de desarrollo seguro, los requisitos legales y el perfil de riesgo de la organización. En cuanto al alcance, la política cubre aplicaciones en todos los entornos, incluidos desarrollo, pruebas, preproducción, entorno de producción y entorno de recuperación ante desastres, independientemente de si están alojadas en las instalaciones, en centros de datos privados o en la nube. El conjunto de partes responsables también es amplio: desde el Director de Seguridad de la Información (CISO), que es propietario de la política y la alinea con la estrategia de la organización, pasando por los responsables de seguridad de aplicaciones y los responsables de DevSecOps encargados de definir y validar controles de seguridad, hasta desarrolladores, ingenieros, propietarios de producto, equipos de TI y de seguridad de la información, y proveedores terceros o proveedores de software. Todos los grupos deben cumplir los requisitos, garantizando una cadena de rendición de cuentas y cumplimiento. Los objetivos clave de la política incluyen definir requisitos de seguridad funcionales y no funcionales de línea base; aplicar mecanismos de autenticación, autorización y control de acceso seguros; integrar protecciones como validación de entradas, codificación de salidas y una gestión robusta de errores y sesiones; y aplicar un escrutinio especial a la seguridad de interfaces de programación de aplicaciones, componentes de terceros e integraciones externas. La protección de datos se aborda mediante cifrado, clasificación de datos y protocolos de conservación definidos, con una prohibición estricta de credenciales no cifradas o datos sensibles. La política también prescribe pruebas de seguridad periódicas, incluidas revisión de código, pruebas de penetración y monitorización continua del cumplimiento, para proporcionar detección temprana y mitigación de vulnerabilidades. Se especifica un marco de gobernanza sólido, que exige validación de controles documentada en la fase de planificación o adquisición para todas las nuevas aplicaciones, la inclusión de requisitos en contratos y acuerdos de nivel de servicio, y una gestión estructurada de excepciones basada en el riesgo. Se exige el uso de tecnologías seguras (incluidas SAST, DAST, IAST y SCA), pruebas de penetración anuales para aplicaciones de alto riesgo y RASP o WAF cuando esté justificado por el riesgo. Cualquier excepción debe solicitarse formalmente con análisis de riesgos, controles compensatorios, un plan de remediación y documentación completa. El incumplimiento o la elusión de controles puede dar lugar a la retirada de aplicaciones, la suspensión de accesos o el escalado a Recursos Humanos (RR. HH.), Legal y Cumplimiento o Gestión de proveedores. La política se revisa al menos anualmente o en respuesta a incidentes de seguridad, cambios normativos o cambios importantes en las prácticas de desarrollo, y todas las revisiones están sujetas a sistemas de control de versiones y distribución a los equipos pertinentes. Por último, el documento se mapea cuidadosamente con un conjunto de políticas relacionadas, como la política de seguridad de la información, la Política de control de acceso, la P05 Política de gestión de cambios, las políticas de protección de datos, desarrollo seguro y la Política de respuesta a incidentes (P30), garantizando un enfoque por capas y coherente para el riesgo empresarial y el cumplimiento.