Curso de Desarrollo Seguro para Empresas — Seguridad en el SDLC

Identificación de requisitos de seguridad según funcionalidad, clasificación de datos, exposición, criticidad, actores y activos protegidos.

Análisis de casos de uso legítimos, Abuse Cases y Misuse Cases para anticipar comportamientos maliciosos o inesperados.

Construcción de diagramas de flujo de datos con procesos, almacenes, flujos, Entry Points, Exit Points y Trust Boundaries.

Aplicación de STRIDE para analizar Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service y Elevation of Privilege.

Priorización de amenazas considerando probabilidad, impacto, exposición y relevancia para el contexto de negocio.

Actualización del threat model cuando cambien funcionalidades, integraciones, componentes, dependencias o arquitectura.

Arquitecturas con mínimo privilegio, separación entre frontend, backend, datos, administración y servicios públicos o internos.

Segmentación entre tenants, compartimentación de componentes críticos y reducción de confianza implícita entre servicios.

Validación en cada frontera de confianza, controles compensatorios y diseños que eviten Single Points of Compromise.

Architectural Decision Records, secure defaults, feature flags y mecanismos de desactivación segura como soporte de decisiones arquitectónicas.

Tratamiento de toda entrada externa como no confiable y validación mediante allowlisting de tipo, formato, longitud, rango, semántica y contexto.

Normalización y canonicalización de datos, diferenciando claramente validación, sanitización y transformación.

Output Encoding específico para HTML, JavaScript, URL y CSS, complementado con Content Security Policy cuando corresponda.

Prevención de SQL y NoSQL Injection mediante consultas parametrizadas, Prepared Statements y eliminación de concatenaciones inseguras.

Protección frente a LDAP, XPath, OS Command, Argument, Template, Expression Language, Header y CRLF Injection.

Prevención de Path/Directory Traversal mediante normalización, restricciones de rutas y control de recursos accesibles.

Prevención de SSRF mediante validación de destinos, restricción de protocolos y controles de egress.

Protección frente a XXE, deserialización insegura, Mass Assignment, Prototype Pollution, ReDoS y Open Redirect.

Seguridad en uploads mediante validación de nombre, extensión, contenido real y tamaño, almacenamiento no ejecutable y nombres generados por servidor.

Uso de schemas y Structured Outputs en interfaces máquina a máquina para restringir datos y evitar que contenido no confiable termine interpretándose como código, comandos o expresiones.

Diferenciación entre identidad, autenticación y autorización para identidades humanas, Service Accounts y Workload Identities.

Identidades únicas y trazables, eliminación de cuentas compartidas y aplicación de MFA, Passkeys y WebAuthn/FIDO2.

Protección de contraseñas mediante hashing adaptativo, Argon2id, salt individual y prohibición de almacenamiento reversible.

Defensa frente a credential stuffing, enumeración de usuarios y abuso mediante rate limiting, recuperación segura y reautenticación en acciones sensibles.

Gestión segura de sesiones mediante identificadores aleatorios, cookies Secure, HttpOnly y SameSite, expiración e invalidación correcta.

Protección frente a Session Fixation y CSRF, incluyendo rotación de sesiones después de cambios relevantes de privilegios.

Uso seguro de OAuth 2.x y OpenID Connect mediante Authorization Code Flow, PKCE, State y Nonce.

Validación de issuer, audience, expiración y algoritmos en tokens, entendiendo JWT como contenedor de claims y no como autorización automática.

Aplicación de RBAC, ABAC, ReBAC y Policy-Based Access Control según las necesidades del sistema.

Autorización server-side por objeto y función, Deny by Default, separación de roles, elevación temporal, Just-in-Time Access y registro de operaciones privilegiadas.

Clasificación, minimización, limitación de finalidad, retención y eliminación segura de información durante todo su ciclo de vida.

Protección de datos en tránsito mediante TLS correctamente configurado y validación de certificados, evitando desactivar controles en producción.

Cifrado de datos en reposo mediante algoritmos estándar, AEAD y alternativas modernas adecuadas al contexto.

Gestión segura de claves mediante KMS, HSM, Envelope Encryption, rotación, versionado, revocación y separación respecto de los datos.

Diferenciación entre hashing, cifrado, firma, tokenización, pseudonimización y masking según el objetivo de protección.

Uso de librerías criptográficas reconocidas, generadores criptográficamente seguros y prohibición de diseñar criptografía propia.

Protección de PII y otros datos sensibles en logs, trazas, backups, exports y sistemas auxiliares.

Bases de datos con cuentas específicas por aplicación, mínimo privilegio, conexiones cifradas y separación entre administración y ejecución.

Seguridad de datos multitenant mediante Row-Level Security cuando proceda, autorización por objeto, aislamiento y prevención de accesos cruzados o IDOR.

Protección de SQL, NoSQL, caches, object storage, colas y streams, incluyendo backups cifrados, restauración probada y uso de datos sintéticos o anonimizados en entornos inferiores.

Identificación de passwords, API keys, tokens, private keys, certificados, connection strings, signing keys, encryption keys y credenciales cloud como secretos.

Prohibición de hardcodear secretos o almacenarlos en repositorios Git, considerando también su persistencia en el historial.

Uso de Secret Managers y Vaults con gestión centralizada, control de acceso granular, auditoría, rotación, revocación y expiración.

Preferencia por Dynamic Secrets, credenciales de corta duración, Workload Identity y Federated Identity frente a claves permanentes.

Federación OIDC entre pipelines CI/CD y proveedores cloud para eliminar progresivamente credenciales persistentes.

Secret scanning en IDE, pre-commit, Pull Requests, CI e historial para detectar exposiciones antes y después de integrar cambios.

Respuesta ante filtraciones mediante revocación o rotación inmediata, evitando considerar suficiente eliminar el secreto del código.

Protección de secretos en pipelines y logs mediante masking, redaction y restricciones especiales para builds no confiables o procedentes de forks.

Prohibición de incluir secretos en imágenes de contenedor, aplicaciones web, aplicaciones móviles u otros artefactos distribuibles.

Separación de Development, Test, Preproduction y Production mediante credenciales, datos y configuración diferenciados, secure defaults, validación de arranque y mecanismos Break Glass controlados.

Aplicaciones web y SPA tratando el navegador como entorno no confiable y aplicando CSP, CORS restrictivo, protección CSRF, anti-clickjacking y controles equivalentes.

APIs REST con validación de método, path, headers y payload, versionado seguro, rate limiting, límites de paginación y autorización por objeto.

GraphQL con límites de profundidad y complejidad, autorización por resolver y objeto y control de introspection según riesgo.

gRPC mediante TLS/mTLS, autorización por método y validación rigurosa de mensajes Protobuf.

WebSockets con autenticación durante el handshake, autorización continuada y límites de tamaño, frecuencia y recursos.

Aplicaciones móviles sin secretos permanentes embebidos, utilizando Secure Storage y manteniendo la validación de seguridad en backend.

Aplicaciones de escritorio con firma de código, actualizaciones firmadas, validación criptográfica y protección de información local sensible.

Microservicios mediante identidad servicio a servicio, mínimo privilegio, segmentación, mTLS cuando proceda y eliminación de confianza transitiva.

Arquitecturas event-driven con autenticación de productores y consumidores, ACL, schemas, idempotencia, anti-replay y Dead Letter Queues controladas.

Serverless, batch, ETL y herramientas administrativas con IAM específico, validación de eventos y fuentes, límites de ejecución y confianza explícita independiente del lenguaje, framework o red utilizada.

Aplicación del Shared Responsibility Model y gestión de identidades cloud mediante roles específicos, MFA y mínimo privilegio.

Segmentación mediante Private Endpoints, Security Groups, controles de red, restricciones de egress y protección de metadata services.

Infrastructure as Code con Terraform, OpenTofu, Pulumi, CloudFormation o equivalentes para disponer de infraestructura reproducible y revisable.

Revisión de IaC mediante scanning, Policy-as-Code, detección de drift y controles automáticos previos al despliegue.

Contenedores con imágenes mínimas y mantenidas, pinning por digest, multi-stage builds y eliminación de componentes innecesarios del runtime.

Hardening del runtime mediante usuario no root, filesystem de solo lectura, reducción de capabilities y prohibición de privilegios innecesarios.

Aplicación de Seccomp, AppArmor, SELinux, límites de CPU/memoria y escaneo continuo de imágenes.

Kubernetes con RBAC mínimo, Service Accounts diferenciadas, Network Policies y separación de workloads con diferentes niveles de confianza.

Pod Security Standards, Admission Control, restricciones de registries y verificación de imágenes antes de su ejecución.

External Secret Stores, cifrado de Secrets, protección de etcd, Audit Logs y controles sobre configuración y recursos del clúster.

Inventario de código propio y componentes externos: dependencias directas y transitivas, frameworks, plugins, Actions, build tools, imágenes y scripts.

Uso de lockfiles, version pinning, hash pinning y registries o proxy registries de confianza para obtener builds predecibles.

Protección frente a Dependency Confusion, Typosquatting, Namespace Squatting, paquetes maliciosos y compromisos de mantenedores.

Evaluación del mantenimiento, comunidad, soporte y estado de abandono antes de introducir componentes en proyectos críticos.

Uso de SCA, Reachability Analysis y fuentes como CVE, CWE, CVSS, EPSS y catálogos de vulnerabilidades explotadas para priorizar riesgos.

Automatización controlada de actualizaciones de dependencias con revisión de cambios antes del merge y sin actualizaciones directas no supervisadas a producción.

Software Bill of Materials mediante SPDX o CycloneDX y uso de VEX para contextualizar vulnerabilidades y explotabilidad.

Repositorios de artefactos inmutables, firma de artefactos e imágenes y verificación antes del deployment.

Provenance, attestations, builders confiables, builds aislados y técnicas reproducibles o herméticas en entornos de mayor exigencia.

Aplicación de SLSA y gestión completa del ciclo de vida de componentes, incluida la retirada de versiones obsoletas y la evidencia verificable de cada release.

Protección de ramas, Pull Requests obligatorios, revisión independiente, CODEOWNERS y segregación entre desarrollo y aprobación.

Endurecimiento de workflows y pipelines, considerando CI/CD como infraestructura sensible que requiere control de acceso y monitorización.

Runners efímeros o segregados, mínimos privilegios y protección frente a accesos indiscriminados a recursos como Docker Socket.

Federación OIDC entre pipeline y cloud para sustituir credenciales persistentes por identidades temporales.

Integración de SAST, análisis de flujo y taint, security linters, SCA, secret scanning, IaC scanning y container scanning.

DAST autenticado, API Security Testing, IAST, fuzzing y Property-Based Testing como pruebas complementarias según el contexto.

Tests específicos de autenticación, autorización, aislamiento de tenants, validación, límites, errores y vulnerabilidades previamente corregidas.

Security Gates basados en severidad, explotabilidad, contexto y diferenciación entre vulnerabilidades nuevas y deuda histórica.

Gestión de suppressions y excepciones justificadas, temporales y trazables, con findings centralizados, deduplicados y formatos interoperables como SARIF.

Security Review manual y pentesting en componentes críticos, promoción del mismo artefacto entre entornos, segregación build/release y evidencias asociadas a cada versión.

Validación temprana, gestión centralizada de errores y uso de excepciones tipadas diferenciando fallos esperados de condiciones excepcionales.

Respuestas externas que eviten exponer stack traces, rutas, queries, secretos o detalles de infraestructura, manteniendo información diagnóstica en canales autorizados.

Fail Secure y Fail Closed en decisiones de seguridad, considerando explícitamente los compromisos entre disponibilidad y protección.

Limpieza de recursos, transacciones consistentes y rollback seguro frente a operaciones parciales o fallidas.

Timeouts, retries limitados, Exponential Backoff, Jitter, Circuit Breaker, Bulkheads y Backpressure para controlar fallos distribuidos.

Límites de concurrencia, tamaño, rate limiting y quotas para prevenir abuso y consumo ilimitado de recursos.

Idempotency Keys, protección frente a replay, Graceful Degradation, Health Checks, Readiness y Liveness.

Logging estructurado con Correlation IDs y Trace IDs para relacionar operaciones distribuidas y reconstruir incidentes.

Registro de eventos sensibles de autenticación, autorización, privilegios, administración y acceso a datos, ocultando tokens y PII y protegiendo la integridad de los logs.

Centralización, SIEM, alertas accionables, detección de anomalías, Distributed Tracing y métricas de saturación, latencia, errores y disponibilidad.

Inventario de aplicaciones, servicios y dependencias con ownership técnico y clasificación de criticidad claramente definidos.

Vulnerability Intake que consolide findings automáticos, hallazgos manuales y vulnerabilidades comunicadas por terceros.

Análisis mediante CVE, CWE, CVSS, EPSS, evidencia de explotación, reachability, exposición e impacto de negocio.

Priorización basada en riesgo con SLA de triage y corrección adaptados a criticidad y contexto.

Emergency Patching, hotfixes, backporting, controles compensatorios y virtual patching cuando la corrección inmediata no sea posible.

Validación de remediaciones mediante Security Regression Tests y Root Cause Analysis para evitar recurrencias.

Gestión de Security Debt mediante métricas de vulnerabilidades recurrentes, Mean Time to Remediate y Mean Time to Detect.

Coordinated Vulnerability Disclosure, `security.txt`, canales para investigadores, PSIRT y coordinación con mantenedores upstream.

Incident Response mediante detección, contención, erradicación y recuperación, incluyendo rotación de credenciales, revocación de certificados, invalidación de sesiones y rollback.

Preservación de evidencias, análisis forense, postmortem, actualización de threat models y pruebas, y gestión segura del End of Life de componentes.

Diferenciación entre autocompletado y agentes capaces de leer repositorios, editar archivos, ejecutar comandos, instalar dependencias, navegar y generar commits o Pull Requests.

Aplicación del mismo Secure SDLC al código humano y generado por IA, utilizando exclusivamente herramientas corporativamente autorizadas.

Clasificación de repositorios y control del código, contexto y datos que pueden enviarse a proveedores externos.

Exclusión explícita de secretos, `.env`, claves privadas y credenciales cloud mediante los mecanismos específicos del asistente utilizado.

Protección frente a prompt injection indirecto procedente de issues, Pull Requests, comentarios, documentación o contenido web consumido por el agente.

Sandboxing con restricciones sobre filesystem, directorios, red, comandos y privilegios administrativos.

Human Approval antes de operaciones sensibles o destructivas y revisión obligatoria de todos los diffs generados.

Protección de ramas, commits pequeños, revisión independiente de componentes críticos y prohibición de eliminar controles o tests para conseguir que una pipeline pase.

Verificación de paquetes sugeridos por IA frente a dependencias alucinadas, typosquatting, versiones vulnerables y CVE.

MCP y herramientas externas como nuevas fronteras de confianza: allowlists, mínimo privilegio, credenciales específicas, aprobación humana, trazabilidad y aplicación de SAST, SCA y secret scanning al código producido.

Arquitectura segura de aplicaciones LLM separando instrucciones, datos, autorización y controles, sin considerar el modelo una frontera de seguridad.

Aplicación de OWASP Top 10 for LLM Applications frente a Prompt Injection, Sensitive Information Disclosure, Supply Chain, Data/Model Poisoning, Excessive Agency y otros riesgos.

Validación de inputs y outputs mediante guardrails, DLP, Structured Outputs y schemas estrictos antes de utilizar contenido generado en código, SQL, HTML, shell o herramientas.

Prohibición de secretos en system prompts y aplicación de autorización externa al modelo para cualquier acción protegida.

Tool Calling mediante funciones permitidas, argumentos validados, identidades independientes, mínimo privilegio y diferenciación entre operaciones de lectura y modificación.

Human Approval para acciones irreversibles y límites de iteraciones, tokens, coste, concurrencia y tiempo, acompañados de Circuit Breakers y Kill Switches.

RAG seguro mediante validación durante ingestión, provenance, protección frente a Knowledge Base Poisoning y separación entre contenido recuperado e instrucciones.

ACL-aware retrieval, permisos previos a la recuperación, aislamiento entre tenants y protección de vector databases.

Security Evals, datasets adversariales, attack harnesses y pruebas de regresión frente a prompt injection, data leakage y tool misuse.

Gestión segura independiente del proveedor mediante identidad, credenciales, red, residencia, retención, auditoría, guardrails y aislamiento al utilizar plataformas como OpenAI, Claude, Gemini, Grok, Llama, Azure AI o Amazon Bedrock.

Definición de una aplicación representativa, sus objetivos de negocio, activos, actores, clasificación de datos, trust boundaries y diagrama de flujo.

Elaboración del threat model, identificación STRIDE, priorización de riesgos y definición de requisitos Secure by Design, Secure Defaults y mínimo privilegio.

Diseño de identidad, autenticación, sesiones, autorización, controles Object-Level y segregación de privilegios.

Diseño de validación de entradas, output encoding, consultas parametrizadas y controles frente a inyecciones y manipulación de datos.

Definición de protección de datos, cifrado, gestión de claves, seguridad de bases de datos, aislamiento de tenants y estrategia de backups.

Inventario y gestión de secretos, credenciales temporales, separación de entornos y revisión segura de configuración.

Inventario de dependencias, SCA, SBOM, provenance, firma y verificación de artefactos y controles de supply chain.

Revisión de cloud, contenedores, Kubernetes e Infrastructure as Code junto con un pipeline CI/CD que integre SAST, DAST, secret, IaC y container scanning, fuzzing y Security Gates.

Diseño de error handling, resiliencia, logging, observabilidad, Vulnerability Management, Incident Response, SLAs, rollback y divulgación coordinada de vulnerabilidades.

Integración segura de asistentes de programación y, cuando proceda, aplicaciones LLM/RAG/agénticas mediante permisos, aislamiento, guardrails, tool calling, Human Approval, ACL-aware retrieval, Security Evals y validación final de arquitectura, código, configuración, supply chain, runtime y operación.