Curso de Desarrollo Seguro en C++ para Cumplimiento de CCN-STIC hasta 100% Bonificable a través de FUNDAE
Tu bonificación paso a paso
Forma a tu equipo sin costes mediante la bonificación estatal. Este programa de Desarrollo Seguro en C++ para Cumplimiento de CCN-STICpara empresas es subvencionable hasta el 100%.
Potencia las habilidades de edición y automatización de tus profesionales.
Accede a una formación avanzada en Desarrollo Seguro en C++ para Cumplimiento de CCN-STIC práctica y orientada a resultados.
Prepara a tu equipo para los retos documentales del entorno laboral actual.
Gestionamos gratis tu bonificación de este curso corporativo de Desarrollo Seguro en C++ para Cumplimiento de CCN-STIC ante FUNDAE.
Específico para C/C++ No se queda en seguridad web genérica: aborda memoria, punteros, enteros, concurrencia, undefined behavior, dependencias nativas, toolchains y fuzzing.
1
Orientado a SSDLC auditable Permite definir una metodología de desarrollo seguro con controles, responsables, gates, evidencias, métricas y hoja de ruta de adopción.
Personaliza el temario al 100% para tu equipo
Diseñamos una formación a medida utilizando los documentos y flujos de trabajo reales de tu empresa.
Nueva Plataforma de E-learningFormación en directo con plataforma de apoyo para reforzar el aprendizaje
Acceso a las grabaciones
Los alumnos podrán revisar las sesiones grabadas para repasar conceptos clave, recuperar explicaciones concretas o reforzar aquellos contenidos que necesiten después de la clase en directo.
Recursos formativos
Materiales, sesiones grabadas y documentación de apoyo quedan centralizados en la plataforma para que el equipo pueda consultarlos durante y después de la formación.
Confirmación de asistencia
La plataforma permite registrar y confirmar la asistencia de los participantes, facilitando el seguimiento de la formación y la gestión documental necesaria para la bonificación FUNDAE.
Programa formativo
Temario del curso
Encuentra todo el temario del curso aquí.
Temario
Explicar qué significa desarrollo seguro en C++ dentro de sistemas regulados, Defensa y software crítico.
Diferenciar desarrollo seguro, SSDLC, DevSecOps, cumplimiento CCN-STIC, auditoría técnica y hardening de producto.
Aclarar que cumplir no es solo pasar una herramienta, sino demostrar proceso, controles, evidencias y remediación.
Revisar el papel de CCN-STIC como referencia nacional de seguridad y buenas prácticas en entornos públicos y sensibles.
Situar NIST SSDF, OWASP SAMM, OWASP ASVS, CERT C/C++ y políticas internas como referencias complementarias.
Identificar por qué C/C++ exige controles específicos por gestión manual de memoria, rendimiento y bajo nivel.
Presentar el ciclo del curso: contexto, diagnóstico, requisitos, amenazas, arquitectura, código, herramientas y evidencias.
Preparar laboratorio con código vulnerable, repositorio Git, pipeline, herramientas de análisis y documentación base.
Revisar errores habituales: seguridad al final, evidencias improvisadas, excepciones sin caducidad y riesgos no trazados.
Crear checklist inicial para saber si el equipo dispone de metodología segura o solo de prácticas aisladas.
Explicar qué significa desarrollo seguro en C++ dentro de sistemas regulados, Defensa y software crítico.
Diferenciar desarrollo seguro, SSDLC, DevSecOps, cumplimiento CCN-STIC, auditoría técnica y hardening de producto.
Aclarar que cumplir no es solo pasar una herramienta, sino demostrar proceso, controles, evidencias y remediación.
Revisar el papel de CCN-STIC como referencia nacional de seguridad y buenas prácticas en entornos públicos y sensibles.
Situar NIST SSDF, OWASP SAMM, OWASP ASVS, CERT C/C++ y políticas internas como referencias complementarias.
Identificar por qué C/C++ exige controles específicos por gestión manual de memoria, rendimiento y bajo nivel.
Presentar el ciclo del curso: contexto, diagnóstico, requisitos, amenazas, arquitectura, código, herramientas y evidencias.
Preparar laboratorio con código vulnerable, repositorio Git, pipeline, herramientas de análisis y documentación base.
Revisar errores habituales: seguridad al final, evidencias improvisadas, excepciones sin caducidad y riesgos no trazados.
Crear checklist inicial para saber si el equipo dispone de metodología segura o solo de prácticas aisladas.
Crear gates por criticidad, rama, release, severidad y tipo de proyecto.
Separar warnings informativos de bloqueos obligatorios.
Proteger runners, credenciales, artefactos, logs y variables del pipeline.
Crear trazabilidad entre commit, análisis, vulnerabilidad, excepción y release.
Generar evidencias automáticas para cumplimiento.
Evitar pipelines que se pueden saltar para entregar más rápido.
Medir tiempos, fallos, hallazgos, deuda y cumplimiento de controles.
Taller: diseñar pipeline DevSecOps para proyecto C++ regulado.
Tema 31: Gestión de vulnerabilidades y remediación
Registrar vulnerabilidades de código, dependencias, configuración, build y diseño.
Clasificar hallazgos por severidad, explotabilidad, impacto, exposición y criticidad del sistema.
Definir SLAs de remediación por nivel de riesgo.
Crear tickets con evidencia, reproducción, componente afectado, owner y acción esperada.
Gestionar falsos positivos, duplicados y hallazgos no explotables con criterio.
Validar correcciones mediante prueba, revisión y análisis posterior.
Medir backlog, recurrencia, tiempo de cierre y vulnerabilidades por release.
Relacionar vulnerabilidades con riesgos, requisitos y auditorías.
Evitar cerrar hallazgos sin evidencia de corrección.
Taller: priorizar y remediar vulnerabilidades detectadas en código C++.
Tema 32: Excepciones, riesgos aceptados y deuda de seguridad
Diferenciar excepción técnica, falso positivo, riesgo aceptado, deuda de seguridad y remediación aplazada.
Definir proceso formal para aceptar riesgos con justificación, impacto, owner y caducidad.
Documentar controles compensatorios cuando una vulnerabilidad no puede corregirse inmediatamente.
Establecer quién puede aprobar excepciones según criticidad.
Evitar excepciones permanentes sin revisión.
Relacionar excepciones con release, auditoría, cliente y plan de remediación.
Crear registro de riesgos aceptados y seguimiento periódico.
Medir deuda de seguridad acumulada por componente o equipo.
Preparar evidencias para justificar decisiones ante auditoría.
Taller: redactar excepción aceptable y plan de remediación asociado.
Tema 33: Evidencias documentales y técnicas
Definir qué evidencias demuestran que existe una metodología de desarrollo seguro.
Crear evidencias de requisitos, threat model, revisión de arquitectura, SAST, SCA, fuzzing, sanitizers y code review.
Relacionar cada evidencia con control, fase, responsable, fecha, herramienta y resultado.
Preparar evidencias reutilizables para auditoría, cliente, seguridad y dirección técnica.
Evitar evidencias manuales sin trazabilidad, fecha o relación con el repositorio.
Generar evidencias automáticas desde CI/CD y herramientas.
Crear paquete de release seguro con informes, SBOM, resultados y excepciones.
Mantener evidencias bajo control de versiones o repositorio documental.
Definir retención y acceso a evidencias según sensibilidad.
Taller: construir dossier de evidencias SSDLC para un release C++.
Tema 34: Métricas, KPIs y seguimiento de madurez
Definir métricas útiles: cobertura de controles, hallazgos críticos, tiempo de remediación y análisis por release.
Medir adopción de SAST, SCA, sanitizers, fuzzing, revisión y threat modeling.
Crear indicadores de brechas frente a SSDLC y progreso de la hoja de ruta.
Evitar métricas vanidosas que no mejoran decisiones.
Medir deuda de seguridad por equipo, componente, release y severidad.
Crear dashboards para desarrollo, seguridad, calidad, dirección y auditoría.
Relacionar métricas con riesgo real y criticidad del sistema.
Revisar tendencias y causas recurrentes.
Usar métricas para priorizar formación, refactorización y automatización.
Taller: diseñar cuadro de mando SSDLC para desarrollo seguro C++.
Tema 35: Software heredado C++ y adopción gradual
Evaluar proyectos legacy sin paralizar entregas ni reescribir todo el sistema.
Identificar módulos críticos, superficies expuestas, dependencias antiguas y deuda de memoria.
Priorizar controles por riesgo: SCA, SAST, sanitizers, revisión y tests de regresión.
Crear estrategia de refactorización segura por zonas.
Añadir wrappers, validaciones y límites sin romper compatibilidad.
Gestionar compiladores antiguos, dependencias no mantenidas y toolchains cerradas.
Crear excepciones controladas para deuda que no puede resolverse de inmediato.
Mejorar evidencia y trazabilidad aunque el código sea antiguo.
Evitar aplicar estándares modernos de golpe sin plan de transición.
Taller: diseñar plan SSDLC para proyecto C++ heredado.
Tema 36: Entregas, release seguro y aceptación
Definir criterios mínimos de release seguro para sistemas regulados.
Revisar resultados de herramientas, pruebas, amenazas, requisitos y excepciones antes de liberar.
Crear checklist de release con controles bloqueantes y controles informativos.
Preparar paquete de evidencias de release.
Validar configuración, dependencias, compilación, artefactos, firmas y SBOM.
Gestionar autorización de release con riesgos abiertos.
Evitar liberar versiones con hallazgos críticos sin aprobación formal.
Trazar release con commit, build, artefacto, informes y evidencias.
Documentar limitaciones conocidas y acciones pendientes.
Taller: preparar aprobación de release seguro para componente C++.
Tema 37: Implantación organizativa y gestión del cambio
Planificar adopción de SSDLC sin bloquear productividad del equipo.
Definir quick wins: checklist, SAST básico, revisión de código, SCA y evidencias de pipeline.
Formar a desarrolladores en riesgos C++ y uso práctico de herramientas.
Crear security champions y rutinas ligeras de seguimiento.
Ajustar controles según criticidad, tamaño del equipo y madurez.
Evitar imponer procesos complejos sin soporte, formación ni automatización.
Comunicar beneficios: menos vulnerabilidades tardías, menos retrabajo y mejores evidencias.
Integrar seguridad en definición de done, pull requests y planificación.
Revisar adopción con métricas y feedback.
Taller: diseñar plan de cambio para implantar desarrollo seguro en equipo C++.
Tema 38: Roadmap de adaptación a SSDLC auditable
Evaluar brechas iniciales frente a CCN-STIC, SSDF, SAMM, ASVS, CERT C/C++ y políticas internas.
Priorizar acciones por riesgo, esfuerzo, impacto, urgencia contractual y capacidad del equipo.
Definir fases de implantación: diagnóstico, controles mínimos, automatización, evidencias y mejora continua.
Crear plan a 30, 60, 90 y 180 días.
Asignar owners, herramientas, entregables, métricas y dependencias.
Establecer hitos: guía de codificación, threat modeling, pipeline seguro, SBOM, fuzzing y dossier de evidencias.
Definir qué queda fuera del primer ciclo y cómo se gestionan riesgos residuales.
Preparar reporting ejecutivo para seguimiento.
Evitar roadmaps irreales que requieren madurez inexistente.
Taller: construir hoja de ruta inicial de adaptación SSDLC para el equipo.
Tema 39: Proyecto Final
Definir un proyecto C++ regulado con contexto de Defensa, criticidad, activos, amenazas y requisitos de cumplimiento.
Realizar diagnóstico inicial del proceso actual y detectar brechas frente a SSDLC, SSDF, SAMM, ASVS y CERT C/C++.
Crear matriz de controles por fase: requisitos, diseño, implementación, verificación, release y mantenimiento.
Redactar requisitos de seguridad y casos de abuso verificables para el componente seleccionado.
Elaborar modelo de amenazas con activos, actores, límites de confianza, flujos y mitigaciones.
Revisar arquitectura segura aplicando mínimo privilegio, defensa en profundidad y seguridad por defecto.
Analizar código C++ vulnerable y proponer correcciones sobre memoria, punteros, enteros, concurrencia y entradas.
Diseñar pipeline DevSecOps con SAST, SCA, sanitizers, fuzzing, code review, SBOM, gates y evidencias.
Preparar registro de vulnerabilidades, excepciones, riesgos aceptados y plan de remediación.
Presentar hoja de ruta SSDLC auditable con controles, owners, métricas, evidencias, prioridades y próximos pasos.
Perfiles profesionales
Pensado para quienes deben dominar Desarrollo Seguro en C++ para Cumplimiento de CCN-STIC en su día a día
Desarrolladores C/C++ en entornos críticos
Profesionales que escriben, mantienen o revisan código C/C++ y necesitan reducir vulnerabilidades relacionadas con memoria, punteros, concurrencia, entradas no confiables, dependencias, compilación y errores de implementación.
Arquitectos de software y responsables técnicos
Perfiles encargados de definir arquitectura, patrones, componentes, límites de confianza, superficies de ataque, dependencias, seguridad por defecto y criterios de aceptación técnica en proyectos regulados.
Equipos DevSecOps, CI/CD y plataforma
Preguntas frecuentes
Resolvemos todas tus dudas sobre nuestra formación en Desarrollo Seguro en C++ para Cumplimiento de CCN-STIC
Explora las respuestas a las preguntas que guian a nuestra comunidad. Aqui encontraras claridad sobre como funciona todo, desde el acceso hasta los detalles de los cursos. Si buscas respuestas, este es el lugar para comenzar.
No. Es una formación de apoyo para implantar desarrollo seguro, controles, evidencias y metodología auditable. La certificación o conformidad formal depende del proceso correspondiente.
Sí. Aunque se cubren marcos generales de SSDLC, el curso profundiza en riesgos propios de C/C++: memoria, punteros, enteros, concurrencia y dependencias.
Sí. NIST SSDF se usa como referencia para estructurar prácticas de desarrollo seguro integrables en el ciclo de vida.
Sí. OWASP SAMM se utiliza para diagnosticar madurez inicial, detectar brechas y construir una hoja de ruta de mejora.
Sí. ASVS se usa como referencia para convertir controles técnicos en requisitos verificables, adaptándolo cuando el software no sea web clásico.
Sí. Hay un bloque específico de threat modeling con activos, actores, límites de confianza, flujos, superficies de ataque y mitigaciones.
Sí. Se trabajan SAST, SCA, sanitizers, fuzzing, revisión de código, SBOM, CI/CD y gestión de vulnerabilidades, adaptando herramientas al entorno del cliente.
Sí. Se aborda fuzzing con enfoque práctico para parsers, protocolos, entradas externas, APIs y componentes C++ expuestos.
Sí. Incluye adopción gradual para legacy C++, priorización por riesgo, excepciones, refactorización segura y mejora incremental de evidencias.
Sí. El curso trabaja evidencias documentales y técnicas: requisitos, amenazas, análisis, pruebas, informes, excepciones, riesgos y releases.
Sí. Puede adaptarse a GitLab, GitHub, Azure DevOps, Jenkins, SonarQube, Coverity, Fortify, Snyk, Black Duck, clang-tidy u otras herramientas autorizadas.
Sí, puede plantearse como formación bonificable hasta el 100% por FUNDAE para empresas, siempre que se cumplan los requisitos administrativos, comunicación, asistencia y documentación.
No. Es una formación de apoyo para implantar desarrollo seguro, controles, evidencias y metodología auditable. La certificación o conformidad formal depende del proceso correspondiente.
Sí. Aunque se cubren marcos generales de SSDLC, el curso profundiza en riesgos propios de C/C++: memoria, punteros, enteros, concurrencia y dependencias.
Sí. NIST SSDF se usa como referencia para estructurar prácticas de desarrollo seguro integrables en el ciclo de vida.
Sí. OWASP SAMM se utiliza para diagnosticar madurez inicial, detectar brechas y construir una hoja de ruta de mejora.
Sí. ASVS se usa como referencia para convertir controles técnicos en requisitos verificables, adaptándolo cuando el software no sea web clásico.
Sí. Hay un bloque específico de threat modeling con activos, actores, límites de confianza, flujos, superficies de ataque y mitigaciones.
Sí. Se trabajan SAST, SCA, sanitizers, fuzzing, revisión de código, SBOM, CI/CD y gestión de vulnerabilidades, adaptando herramientas al entorno del cliente.
Sí. Se aborda fuzzing con enfoque práctico para parsers, protocolos, entradas externas, APIs y componentes C++ expuestos.
Sí. Incluye adopción gradual para legacy C++, priorización por riesgo, excepciones, refactorización segura y mejora incremental de evidencias.
Sí. El curso trabaja evidencias documentales y técnicas: requisitos, amenazas, análisis, pruebas, informes, excepciones, riesgos y releases.
Sí. Puede adaptarse a GitLab, GitHub, Azure DevOps, Jenkins, SonarQube, Coverity, Fortify, Snyk, Black Duck, clang-tidy u otras herramientas autorizadas.
Sí, puede plantearse como formación bonificable hasta el 100% por FUNDAE para empresas, siempre que se cumplan los requisitos administrativos, comunicación, asistencia y documentación.
Diseñemos hoy el curso que tu empresa necesita
Cuéntanos tus objetivos de negocio y prepararemos una propuesta formativa bonificable totalmente ad hoc
Integra DevSecOps real Incluye SAST, SCA, sanitizers, fuzzing, SBOM, revisión de código, pipelines, gates, vulnerabilidades, excepciones y remediación.
3
Útil para Defensa y sistemas regulados El enfoque contempla trazabilidad, gestión de riesgos, documentación, evidencias, controles verificables, auditoría técnica y preparación ante revisiones.
4
Reduce vulnerabilidades tempranamente Incorpora requisitos de seguridad, casos de abuso, modelado de amenazas y revisión de arquitectura antes de llegar a código o auditoría final.
5
Genera entregables aplicables El Proyecto Final produce diagnóstico, matriz de controles, threat model, pipeline seguro, registro de riesgos y roadmap de implantación.
Después de la formación en directo, los alumnos podrán acceder a ejercicios prácticos para aplicar lo trabajado en clase y consolidar el aprendizaje con actividades guiadas.
Acceso a las grabaciones
Los alumnos podrán revisar las sesiones grabadas para repasar conceptos clave, recuperar explicaciones concretas o reforzar aquellos contenidos que necesiten después de la clase en directo.
Recursos formativos
Materiales, sesiones grabadas y documentación de apoyo quedan centralizados en la plataforma para que el equipo pueda consultarlos durante y después de la formación.
Confirmación de asistencia
La plataforma permite registrar y confirmar la asistencia de los participantes, facilitando el seguimiento de la formación y la gestión documental necesaria para la bonificación FUNDAE.
Ejercicios prácticos
Después de la formación en directo, los alumnos podrán acceder a ejercicios prácticos para aplicar lo trabajado en clase y consolidar el aprendizaje con actividades guiadas.
Practica y mejora con nuestra plataforma
Una plataforma practica, con IA integrada y pensada para que mejores desarrollando. Se adapta a tu ritmo, te corrige al instante y te muestra tu progreso real.
Correccion magica
Feedback inteligente
Aprende de cada acierto y fallo con explicaciones claras
Profesionales que integran análisis estático, análisis de dependencias, sanitizers, fuzzing, gates de seguridad, SBOM, evidencias y remediación dentro de pipelines de desarrollo.
Equipos de seguridad, compliance y auditoría técnica
Perfiles que necesitan traducir requisitos CCN-STIC, NIST SSDF, OWASP SAMM, OWASP ASVS y políticas internas en controles verificables, evidencias técnicas y planes de mejora.
Responsables de calidad, testing y validación
Equipos que diseñan pruebas, revisiones, validaciones, criterios de aceptación, gestión de defectos, trazabilidad y pruebas de seguridad en software C/C++.
Jefes de proyecto, responsables de Defensa y sistemas regulados
Personas que deben coordinar entregables, riesgos, excepciones, evidencias, auditorías, hojas de ruta y adopción de una metodología de desarrollo seguro en equipos técnicos.
