ISO/IEC 27034.

Qué se propone hacer la norma ISO/IEC 27034

ISO/IEC 27034 es el miembro dedicado a la seguridad de las aplicaciones dentro de la familia ISO/IEC 27000. Mientras que ISO/IEC 27001 rige el sistema de gestión que dirige todo su programa de seguridad de la información, ISO/IEC 27034 estrecha el enfoque a una sola cosa: construir y operar aplicaciones seguras a lo largo de todo el ciclo de vida del software, desde los requisitos y el diseño hasta la construcción, las pruebas, el despliegue y el mantenimiento.

Es una norma de varias partes, lo que significa que las orientaciones se reparten en varios documentos en lugar de concentrarse en una única especificación certificable, y esa forma dice algo sobre su intención. Está pensada para informar cómo se realiza el desarrollo, no para entregar a un auditor una lista de verificación de casillas.

La razón por la que permanece en segundo plano mientras ISO/IEC 27001 acapara la atención es estructural. La mayor parte de una organización habla de políticas, registros de riesgos y certificados; ISO/IEC 27034 habla a las personas que escriben y entregan el código. Vive dentro del ciclo de vida de desarrollo de software (SDLC), de modo que su público son desarrolladores, arquitectos e ingenieros de seguridad de aplicaciones más que el equipo de cumplimiento. Eso la convierte en la norma ISO más fluida en el lenguaje de los equipos de desarrollo, y en la que tiene más probabilidades de encajar limpiamente con cómo funciona realmente una organización de ingeniería en el día a día.

La idea del control de seguridad de aplicaciones

El concepto organizador en ISO/IEC 27034 es tratar la seguridad de las aplicaciones como un conjunto de controles verificables entretejidos en el ciclo de vida, en lugar de como una revisión de seguridad añadida al final.

La norma plantea los requisitos de seguridad como algo que se deriva del contexto de la aplicación, de los datos que maneja y de las amenazas a las que se enfrenta, y que luego se arrastra a través del diseño, la implementación y la verificación, de modo que cada control tenga un punto definido donde se incorpora y un punto definido donde se comprueba.

El efecto práctico es que la seguridad deja de ser una barrera en la entrega y se convierte en una propiedad mantenida en cada etapa, que es exactamente el giro que la práctica moderna de desarrollo seguro lleva años impulsando.

Como la norma está orientada a procesos y modelada en torno al ciclo de vida, encaja cómodamente junto al material prescriptivo y práctico que los equipos ya usan. No sustituye al OWASP Application Security Verification Standard ni al OWASP Top 10; les da un marco de gobernanza del que colgar. También se combina de forma natural con la práctica del software bill of materials (SBOM), donde saber exactamente qué componentes se entregan en una aplicación es el control de la fase de mantenimiento que mantiene honesto el ciclo de vida tras la entrega. Usadas en conjunto, ISO/IEC 27034 aporta la estructura, y OWASP y el SBOM aportan las técnicas concretas y los inventarios.

Dónde encaja junto a ISO/IEC 27001

La forma más clara de posicionar ISO/IEC 27034 es como el detalle de la capa de aplicación bajo un sistema de gestión ISO/IEC 27001. ISO/IEC 27001 certifica que usted opera un sistema de gestión de seguridad de la información con evaluación de riesgos y mejora continua, y su conjunto de controles incluye expectativas de desarrollo seguro enunciadas a un nivel alto.

ISO/IEC 27034 es a donde acude para implementar realmente esas expectativas en ingeniería: cómo se capturan los requisitos seguros, cómo se verifican los controles, cómo viaja la seguridad a través del SDLC. Un equipo certificado en ISO/IEC 27001 puede usar ISO/IEC 27034 para dar sustancia a sus controles de desarrollo seguro, y una organización de desarrollo puede usar ISO/IEC 27034 para asegurarse de que el código que entrega resistiría ante ese sistema de gestión más amplio.

En la práctica, las organizaciones rara vez se certifican frente a ISO/IEC 27034 como lo hacen frente a ISO/IEC 27001. La adoptan como orientación, trasladan la estructura de ciclo de vida a su propio estándar de desarrollo seguro y la referencian cuando necesitan una base con autoridad para justificar por qué la seguridad de las aplicaciones se gestiona de la manera en que se gestiona. Para un equipo pequeño, el valor es el mismo que para una gran empresa: una manera reconocida y neutral respecto al proveedor de describir un SDLC seguro que auditores, clientes y desarrolladores aceptan por igual.