Desarrollo seguro
Integrar la seguridad en el SDLC.
Desarrollo seguro se define por el resultado de NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 y NIS2. Editorial Con correspondencia editorial en SOC 2 y GDPR. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para HIPAA, Essential Eight, DORA, CPS 234 y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Definición del tema | PR.PS-06 |
| ISO 27001 | A.8.25A.8.26A.8.28A.8.29 | Secure development life cycle; Application security requirements; Secure coding… | Correspondencia | A.8.25: via PR.PS-06; NIST 800-53 map: SA-3, SA-15 A.8.26: via PR.PS-06 A.8.28: via PR.PS-06; NIST 800-53 map: SA-8, SA-11, SA-15 A.8.29: via PR.PS-06; NIST 800-53 map: SA-11 |
| CIS v8.1 | CIS 16.1CIS 16.2CIS 16.12CIS 16.3CIS 16.5CIS 16.8CIS 16.9CIS 16.11CIS 16.13CIS 16.14 | Establish and Maintain a Secure Application Development Process; Establish and Maintain a Process to Accept and Address Software Vulnerabilities; Implement Code-Level Security Checks… | Correspondencia | CIS 16.1: via PR.PS-06 CIS 16.2: A process to accept and address reports of software vulnerabilities, part of a secure development lifecycle. CIS 16.12: Code-level security checks (static and dynamic analysis) during development. CIS 16.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): root cause analysis of vulnerabilities. CIS 16.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): up-to-date, trusted third-party components. CIS 16.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): separate production and non-production systems. CIS 16.9: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): developer secure-coding training. CIS 16.11: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): vetted modules for security components. CIS 16.13: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): application penetration testing. CIS 16.14: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): threat modelling. |
| SOC 2 | CC8.1 | Change management for infrastructure, data and software | Editorial | CC8.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.2.16.2.26.2.3 | Bespoke and custom software developed securely; Developers trained in secure software development; Custom code reviewed before release | Correspondencia | 6.2.1: Bespoke and custom software developed securely; omitted from NIST's PCI references for PR.PS-06. 6.2.2: via PR.PS-06 6.2.3: via PR.PS-06 |
| CMMC | SC.L2-3.13.2 | Security Engineering | Correspondencia | SC.L2-3.13.2: via 800-171r2 Appendix D → SA-8 |
| 800-53 | SA-3SA-8SA-11SA-15 | System Development Life Cycle; Security and Privacy Engineering Principles; Developer Testing and Evaluation… | Correspondencia | SA-3: via PR.PS-06 SA-8: via PR.PS-06 SA-11: via PR.PS-06 SA-15: via PR.PS-06 |
| HIPAA | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de HIPAA está asignado a este tema en nuestros datos. |
| GDPR | Art.25(1) | Data protection by design and by default | Editorial | Art.25(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 6.2 | Secure development life cycle | Correspondencia | 6.2: via PR.PS-06; ENISA ISO map: A.8.25 |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de DORA está asignado a este tema en nuestros datos. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Desarrollo seguro
Las prácticas de desarrollo seguro integran la seguridad a lo largo de todo el ciclo de vida del desarrollo de software (SDLC) para identificar y remediar vulnerabilidades antes de que el código llegue a producción. Esto incluye el modelado de amenazas durante el diseño, los estándares de codificación segura, las pruebas estáticas de seguridad de aplicaciones (SAST), las pruebas dinámicas de seguridad de aplicaciones (DAST), el análisis de composición de software (SCA) para dependencias de terceros y los procesos de revisión de código. Desplazar la seguridad hacia la izquierda reduce los costes de remediación y evita que vulnerabilidades comunes, como los fallos de inyección, la autenticación rota y la deserialización insegura, lleguen a los entornos de producción.