Desarrollo de Software

Desarrollo de Código Seguro
22 y 27 de Septiembre de 2004

Facultad Regional Concepción del Uruguay
Universidad Tecnológica Nacional

Gabriel Arellano
arellanog@frcu.utn.edu.ar

Alejandro de Brito Fontes

Seguridad en el
Ciclo de Vida del Software
– Conceptos Introductorios.
– Seguridad en las Distintas
Etapas del Ciclo de Vida.
– Otras Técnicas de Ingeniería
que Favorecen laSeguridad
del Código.

debritoa@frcu.utn.edu.ar

Introducción

Rational Unified Process

Así como un proyecto de software no comienza con la
codificación, la incorporación de seguridad en un proyecto
de software no comienza con la implementación de
tecnologías de seguridad. Las medidas de seguridad deben
incorporarse desde la primera etapa del proyecto.

Síntomas de problemas en unproyecto de desarrollo:

Es por ello que necesitamos revisar nuestra metodología de
diseño para hacerla “consciente de la seguridad”.

• Software dificil de mantener o expandir.

La metodología elegida es Rational Unified Process. Hemos
elegido esta metodología porque, a nuestro entender, es
una de las que mejor se adapta a la incorporación de
medidas y procedimientos de seguridad así comoa las
prácticas de diseño que comentaremos luego.

• Falta de comprensión de las necesidades del cliente.
• Imposibilidad de manejar cambios en los requerimientos.
• Módulos que no pueden funcionar juntos.
• Descubrimiento tardío de errores serios de diseño.
• Software de poca calidad.
• Software de performance inaceptable.
• Imposibilidad de deshacer cambios.
• Proceso de construcción ylanzamiento poco confiable.

Rational Unified Process
Causas de problemas en un proyecto de desarrollo:
• Manejo no planificado de requerimientos.
• Comunicación imprecisa y ambigua.

Rational Unified Process
Si se tratan las causas, no solo se eliminan los síntomas,
sino que se está en mejor posición de desarrollar y
mantener software de calidad de manera repetible y
predecible.

•Demasiada complejidad.

RUP se basa para esto en seis buenas prácticas:

• Inconsistencias no detectadas en requerimientos,
diseños e implementación.
• Pruebas insuficientes.

• Desarrollar software de manera iterativa.
• Manejar los requerimientos.

• Fallo al atacar los riegos.

• Usar arquitecturas basadas en componentes.
• Modelar visualmente el software.

• Propagación decambios descontrolada.

• Verificar constantemente la calidad del software.

• Automatización insuficiente.

• Controlar los cambios del software.

• Evaluación subjetiva del estado del proyecto.

Rational Unified Process

Seguridad en RUP

Rational Unified Process consta de cuatro etapas:

Etapa de incepción:

• Incepción: donde se definen la visión, el caso de
negocio y elalcance del proyecto.

En la etapa de incepción la seguridad no es aún un
tópico de discusión a menos que el objetivo sea un
producto de seguridad. Aún si es demasiado temprano
para discutir riesgos o tecnologías de seguridad.

• Elaboración: donde se definen la planificación, las
características y el diseño de alto nivel.
• Construcción: donde se construye el producto y se
hacen refinamientosal diseño.
• Transición: donde el producto se deja listo para el
cliente, esto incluye lanzamiento, entrega, capacitación y
soporte.

Si embargo puede ser útil reconocer la importancia de la
seguridad para las etapas posteriores e inlcuir un
miembro del equipo que sea responsable por los
aspectos de seguridad.

Seguridad en RUP

Seguridad en RUP

Etapa de elaboración:

Etapa deelaboración:

Obtención de requerimientos: qué información de
seguridad deberíamos recolectar en este etapa?

Identificación de activos: debemos determinar qué
vamos a proteger. Esto no es tarea fácil ya que tenemos
activos que pueden ser tangibles o intangibles.

•
•
•
•

Determinar los activos.
Determinar los actores. (Dueños de los datos)
Determinar los casos de uso. (Roles de...