Secure by Design (guía conjunta de la CISA, 2023)

Resumen

La guía conjunta de la CISA, firmada con el FBI y la NSA y con las agencias de ciberseguridad de varios países aliados, pide a los fabricantes de software que asuman la seguridad de sus productos, en lugar de trasladar la carga a los clientes, y que los hagan seguros desde el diseño y por defecto. Se basa en tres principios: asumir la responsabilidad de los resultados de seguridad de los clientes, practicar una transparencia radical y rendir cuentas, y liderar el cambio desde la dirección. Para cada principio indica cómo pueden los fabricantes demostrar su aplicación a los clientes y al público, y sugiere a los clientes cómo exigir productos seguros. La versión actualizada de octubre de 2023 amplía la primera edición de abril de 2023 a partir de los comentarios recibidos.

Información

Jurisdicción

Estados Unidos

Organismo emisor

Cybersecurity and Infrastructure Security Agency (CISA)

Tipo

Directriz / marco / norma

Idiomas disponibles

inglés

Temas

• Seguridad del software y de las aplicaciones
• Cadena de suministro
• Diplomacia y cooperación internacional

Notas

La primera edición, del 13 de abril de 2023, estaba firmada por la CISA, el FBI y la NSA y por las agencias de Australia, Canadá, Reino Unido, Alemania, Países Bajos y Nueva Zelanda; la actualización del 16 de octubre de 2023 la firman 17 socios estadounidenses e internacionales, con ocho nuevas agencias. Con el mismo enfoque, la CISA lanzó el 8 de mayo de 2024 el Secure by Design Pledge, compromiso voluntario y no vinculante de los fabricantes de software empresarial (68 firmantes iniciales) de demostrar en un año avances en siete objetivos: autenticación multifactor, contraseñas por defecto, eliminación de clases enteras de vulnerabilidades, parches de seguridad, política de divulgación de vulnerabilidades, transparencia sobre los CVE y pruebas de intrusiones. Con el FBI publicó la guía Secure by Demand para los clientes (6 de agosto de 2024) y la lista Product Security Bad Practices de las prácticas de desarrollo más arriesgadas (primera versión de octubre de 2024, versión 2.0 del 17 de enero de 2025).

Cybersecurity and Infrastructure Security Agency (CISA). (2023). Secure by Design: Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software. https://www.cisa.gov/resources-tools/resources/secure-by-design

Cybersecurity and Infrastructure Security Agency (CISA). "Secure by Design: Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software." 16 October 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design.

@misc{us_cisa_secure_by_design_2023,
  author       = {{Cybersecurity and Infrastructure Security Agency (CISA)}},
  title        = {{Secure by Design: Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software}},
  year         = {2023},
  url          = {https://www.cisa.gov/resources-tools/resources/secure-by-design},
  urldate      = {2026-11-02}
}