Red Hat Summit
Resumen
El equipo de Red Hat Product Security trabaja junto con el de ingeniería para promover la seguridad del desarrollo de software, lo que permite crear sistemas de alta calidad que satisfagan las necesidades empresariales de los clientes y cumplan con los requisitos de cumplimiento y los gubernamentales. El enfoque y la seguridad del ciclo de vida de desarrollo de Red Hat se ajustan a los marcos y los requisitos del sector, como los del Instituto Nacional de Estándares y Tecnología (NIST SSDF), la publicación SP-800-218, Supply-chain Levels for Software Artifacts (SLSA), la guía Open Web Application Security Project (OWASP) y las normas ISO.
La empresa gestiona la seguridad del software de manera eficiente al establecer prácticas de desarrollo seguras, las cuales usan los equipos de ingeniería para disminuir la cantidad de puntos vulnerables en las versiones nuevas, reforzar la cadena de suministro para reducir las amenazas, mitigar las posibles consecuencias negativas de los aspectos vulnerables que no se detectaron o abordaron y lidiar con sus causas para prevenir que vuelvan a surgir en el futuro.
Para obtener más información, lea:
Pruebas de seguridad del ciclo de vida de desarrollo de Red Hat
Como parte de la seguridad del ciclo de vida de desarrollo (SDL), Red Hat utiliza técnicas tanto manuales como automatizadas para analizar y probar el código fuente, lo que incluye la creación de modelos de amenazas, las pruebas de intrusión y el análisis de código estático y dinámico (SAST y DAST).
Las pruebas estructuradas incluyen las automatizadas, las manuales, las de puntos vulnerables y las de regresión. Según el marco normativo o la certificación que aplique, cierto software seleccionado debe someterse además a otras pruebas de seguridad más rigurosas.
El equipo de gestión de productos hace un seguimiento de todos los problemas que se descubren y les asigna un orden de prioridad con la orientación de Red Hat Product Security. Gracias a que nuestro código es open source, los clientes también pueden acceder al código fuente para llevar a cabo sus propias validaciones.
Además, las evaluaciones de seguridad de la cadena de suministro de software son fundamentales para la seguridad del ciclo de vida de desarrollo de Red Hat. Controlamos y reforzamos los sistemas de nuestra cadena de suministro de software, y les aplicamos parches, de manera detallada y conforme a las prácticas recomendadas del sector.
Garantía de seguridad de la cadena de suministro de software en Red Hat: un modelo de procesos de asociación
Los principios fundamentales de Red Hat de libertad, responsabilidad, valentía y compromiso son el centro de nuestros procesos y de las interacciones entre nosotros y con los clientes. En Product Security, aplicamos este enfoque abierto para crear una asociación de seguridad de productos y, así, facilitar la colaboración para lidiar con los problemas de seguridad que se relacionan directamente con la cadena de suministro de software.
En el programa Product Pipeline Partnership Security Program, incorporamos los procesos empresariales para abordar los problemas de seguridad tanto con medidas preventivas como con respuestas.Identificamos los puntos de contacto y los planes de derivación más importantes, impulsamos las relaciones empresariales interdisciplinarias y garantizamos que no haya duda alguna sobre las prioridades de los flujos de trabajo.
Gracias a una descripción clara de los procesos y la identificación de las personas importantes, se aumenta la participación y la concientización en toda la cadena de suministro. Esto genera una respuesta de seguridad más eficiente a los problemas y crea un sentido de colaboración y asociación en la empresa. Al utilizar este modelo colaborativo, los equipos pueden concentrarse en actividades cada vez más preventivas en la cadena de suministro, y la seguridad comienza a verse como una aliada en vez de un obstáculo.
