En este artículo aprenderás más sobre BSIMM y en qué se diferencia de SAMM. A la hora de evaluar tus prácticas de seguridad del software, existen distintos enfoques y metodologías que conviene tener en cuenta. Elegir entre un modelo prescriptivo y uno empírico puede influir mucho en la eficacia con la que implementas las medidas de seguridad.
¿Qué es BSIMM?
BSIMM, o Building Security In Maturity Model, es un marco integral para evaluar y mejorar las iniciativas de seguridad del software dentro de las organizaciones. BSIMM es un modelo basado en datos creado para ayudar a desarrollar software seguro. No es un marco único válido para todos, sino que evoluciona a partir de datos reales de las empresas que lo han implementado.
BSIMM te ofrece un conjunto empírico de prácticas obtenidas de la observación de numerosas organizaciones, lo que te permite comparar tus iniciativas de seguridad con los puntos de referencia del sector. Así puedes entender en qué punto te encuentras en cuanto a madurez de la seguridad del software y qué pasos debes dar para mejorar tus prácticas. Se estructura en torno a prácticas clave que varían en especificidad y profundidad, de modo que puedes adaptar tus mejoras de seguridad a los riesgos y necesidades particulares de tu organización.
¿Qué es SAMM?
SAMM, el Software Assurance Maturity Model, guía de forma sistemática a las organizaciones en la implementación y la medición de prácticas eficaces de seguridad del software. Ofrece una ruta estructurada y adaptada a las necesidades concretas de tu organización, pone el acento en la flexibilidad de la integración y se organiza en torno a cinco funciones de negocio: gobernanza, construcción, verificación, despliegue y operaciones. Cada función define una estrategia amplia de seguridad del software y aborda aspectos que van desde las políticas y el cumplimiento hasta los detalles técnicos del desarrollo y el mantenimiento.
En última instancia, SAMM busca fomentar una cultura consciente de la seguridad dentro de las organizaciones, de forma que las consideraciones de seguridad formen parte de cada fase del ciclo de vida del desarrollo de software. Al seguir SAMM no solo corriges vulnerabilidades: creas software sólido desde la base.
BSIMM frente a SAMM
Al comparar BSIMM y SAMM conviene reconocer que cada uno tiene su propia metodología y aplicación a la hora de reforzar la seguridad del software. Cada marco aporta ventajas distintas según las necesidades y el nivel de madurez de cada organización.
Orígenes y evolución
BSIMM nació de un estudio de 2008 sobre nueve grandes empresas cuyo objetivo era cuantificar las prácticas de seguridad del software a partir de datos reales. El modelo evoluciona cada año con las aportaciones de más de cien empresas. SAMM fue creado por OWASP en 2009 como un marco flexible para integrar la seguridad del software en los procesos existentes. Es un modelo pensado para personalizarse según las necesidades de cada organización.
Estructura de los niveles de madurez
BSIMM es un modelo descriptivo: refleja las prácticas observadas en distintas organizaciones y evalúa las tuyas frente a una escala de madurez basada en datos reales, sin prescribir actividades concretas. SAMM, en cambio, es un modelo prescriptivo. Organiza la madurez en tres niveles repartidos en doce prácticas, con actividades definidas en cada nivel, lo que aporta hitos claros para mejorar la seguridad.
Categorías y prácticas principales
BSIMM es empírico y se basa en las prácticas reales de distintas organizaciones. Clasifica esas prácticas en cuatro dominios y documenta lo siguiente:
- Gobernanza: BSIMM se centra en las políticas, las métricas y el cumplimiento. Esto incluye establecer y mantener políticas de seguridad, hacer seguimiento de las métricas de seguridad y garantizar el cumplimiento de las normas regulatorias e internas.
- Inteligencia: el dominio de inteligencia de BSIMM se ocupa de la identificación de amenazas y de las funciones de seguridad. Hace hincapié en comprender y documentar las amenazas que afectan a la organización e incorporar ese conocimiento a las medidas de seguridad.
- Puntos de contacto del SSDL: BSIMM abarca la ingeniería segura a lo largo de todo el ciclo de vida de desarrollo de software (SDLC). Integra prácticas de seguridad en cada fase del proceso de desarrollo para garantizar que el software se construya seguro desde la base.
- Despliegue: BSIMM incluye un dominio de despliegue centrado en desplegar y gestionar el software de forma segura en entornos de producción. Así se confirma que la seguridad se mantiene incluso después de terminar la fase de desarrollo.
SAMM es prescriptivo y aporta directrices para la implementación. Organiza las actividades en estas cinco funciones de negocio:
- Gobernanza: se centra en los métodos y las tareas relacionados con la gestión de las actividades de desarrollo de software de una organización. Aborda específicamente las cuestiones que afectan a los equipos multifuncionales implicados en el desarrollo y a los procesos de negocio definidos a nivel organizativo.
- Diseño: comprende los procesos y actividades que definen los objetivos de una organización y orientan la creación de software en los proyectos de desarrollo. Normalmente incluye la recopilación de requisitos, las especificaciones arquitectónicas de alto nivel y la planificación detallada del diseño.
- Implementación: incluye los métodos y las tareas para crear y desplegar componentes de software y corregir defectos. Estas actividades influyen de forma notable en el trabajo diario de los desarrolladores y les ayudan a entregar software fiable.
- Verificación: se centra en los métodos y las tareas relacionados con la comprobación y las pruebas de los artefactos generados durante el desarrollo de software. Suele implicar actividades de control de calidad, como las pruebas, además de otros procesos de revisión y evaluación.
- Operaciones: incluye las actividades que garantizan la confidencialidad, la integridad y la disponibilidad durante toda la vida operativa de una aplicación y de los datos asociados. Una mayor madurez en este ámbito refuerza la resiliencia de la organización frente a interrupciones operativas y su capacidad de respuesta ante cambios en el entorno operativo.
Métodos de evaluación y disponibilidad
BSIMM utiliza datos reales para medir la madurez y genera un cuadro de puntuación que permite compararse con las mejores prácticas del sector. SAMM ofrece un marco prescriptivo para realizar evaluaciones estructuradas y facilita la mejora progresiva en función del riesgo. Ambos modelos son de acceso público: SAMM es open source y BSIMM exige participar en su comunidad.
Cómo implementar BSIMM y SAMM en las organizaciones
Al plantearte BSIMM o SAMM, fíjate en la estructura y la cultura particulares de tu empresa, ya que son factores que condicionan la personalización y la eficacia del modelo.
Aspectos a tener en cuenta al implementar BSIMM
Antes de implementar BSIMM, evalúa con detalle las necesidades concretas y los niveles de madurez de tu organización. Es fundamental conocer tus prácticas actuales de seguridad del software para adaptar el marco BSIMM de forma eficaz.
Ten en cuenta estos pasos al implementar BSIMM:
- Evalúa las prácticas de seguridad actuales: identifica las medidas de seguridad existentes y las carencias para saber en qué puede ayudar BSIMM a mejorar.
- Fija objetivos claros: define metas, como reforzar la seguridad del código o mejorar el cumplimiento de las políticas de seguridad.
- Implica a las partes interesadas: confirma que participan las partes interesadas clave, incluidas la dirección y los equipos técnicos. Su implicación facilita una implementación fluida y fomenta una cultura de seguridad.
- Planifica la mejora continua: BSIMM es un proceso continuo. Las evaluaciones y actualizaciones periódicas son necesarias para adaptarse a un panorama de seguridad cambiante y a los cambios en la organización.
Proceso de implementación de SAMM
Para implementar SAMM, empieza por analizar tus prácticas de seguridad actuales y tus niveles de madurez, con el foco en la gobernanza, el diseño, la implementación, la verificación y las operaciones. Estos son otros aspectos que conviene valorar:
- Implica a las partes interesadas: implica a las partes interesadas de todos los departamentos para asegurar una comprensión amplia y el respaldo a las iniciativas de seguridad. Todo el mundo, desde la alta dirección hasta el personal técnico, debe entender su papel en la mejora de la postura de seguridad.
- Elabora una hoja de ruta: crea una hoja de ruta con los objetivos de seguridad a corto y largo plazo, alineados con las prácticas de SAMM. Incluye hitos y métricas de éxito concretos, y actualiza y revisa la hoja de ruta de forma periódica.
- Programas de formación y concienciación: ofrece formación continua para que todo el mundo esté al día de las últimas prácticas de seguridad y refuerza su importancia para mantener una postura de seguridad sólida.
Retos y ventajas de cada modelo
Entender los retos y las ventajas de BSIMM y SAMM te ayudará a definir tu estrategia para reforzar la postura de seguridad.
Escalabilidad
- El modelo basado en datos de BSIMM es escalable y resulta ideal para grandes organizaciones, aunque puede ser complicado para entidades más pequeñas.
- El marco flexible de SAMM escala bien en equipos pequeños y facilita los primeros pasos, pero puede aportar menos profundidad en entornos grandes.
Personalización
- SAMM permite un alto grado de personalización y adapta las prácticas a necesidades específicas, pero exige conocer a fondo los riesgos y las capacidades propias.
- BSIMM ofrece menos flexibilidad, aunque se beneficia de una metodología sólida y probada en el sector.
Complejidad de la implementación
- Implementar BSIMM implica comprender y medirse frente a más de 120 prácticas, lo que puede exigir muchos recursos.
- El modelo más sencillo de SAMM es más fácil de adoptar, pero puede resultar menos completo en entornos diversos.
Comunidad y soporte
- BSIMM cuenta con una comunidad sólida y una gran cantidad de datos empíricos, lo que ofrece excelentes oportunidades de comparación.
- SAMM, aunque también tiene una comunidad detrás, depende más de la aportación y la adaptación de cada organización, por lo que su eficacia varía según el compromiso y la experiencia del equipo que lo implementa.
¿Qué marco se ajusta mejor a tus necesidades? Mira Qué es BSIMM y cómo se compara con SAMM y descúbrelo.
BSIMM o SAMM: cómo decidir
BSIMM y su método prescriptivo basado en la medición están pensados para organizaciones que buscan puntos de referencia detallados frente a empresas de su sector. Esto resulta muy valioso si tu objetivo es crear un programa de seguridad que aspire a las mejores prácticas de sectores similares.
SAMM, por su parte, ofrece un modelo flexible y orientado a la mejora. Este enfoque puede encajar mejor en empresas que necesitan directrices adaptables, capaces de evolucionar con su panorama de seguridad. SAMM es especialmente eficaz si tu prioridad es integrar la seguridad en los procesos de desarrollo de software sin imponer demasiadas reglas.
También deberías valorar la madurez de tus prácticas de seguridad actuales. BSIMM es ideal si ya tienes algunas medidas de seguridad en marcha y quieres perfeccionarlas. Si estás creando nuevos marcos de seguridad desde cero, SAMM te ofrece una hoja de ruta estructurada pero personalizable.
