Seguridad en el Contexto de la Calidad del Software

Transcripción

1 Seguridad en el Contexto de la Calidad del Software Mario Céspedes S. IBM Software CTP

2 Las demandas para Calidad hoy Entregar más calidad y alto desempeño en menos tiempo Disminuir los costos: El QA no puede vivir en paz con la velocidad actual del cambio de software. El testing manual no logra escalar. No existe gran experiencia en el testing de desempeño y la resolución de cuellos de botella siguen siendo complejos. Proteger la IMAGEN de la organización: Una solución integrada que considere desde el testing funcional hasta el testing de seguridad para escenarios de negocio end-to-end. Buscar ciclos de prueba más cortos: La imperiosa necesidad de automatizar.

3 Administrar los Activos para Optimo Reuso Por qué gestionar los activos Aumentar la calidad de la reutilización de los activos de bien probado Aumentar el ROI de los Activos Menor costo por reuso Menor riesgo por el reuso de activos probados Qué hay que hacer Cadenas de responsabilidad to empower people Politicas que permitan guiar la organización para alcanzar sus metas Mecanismos Control que garanticen el cumplimiento Comunicación para mantener informado a todas las partes necesarias Medidas para evaluar la eficacia Asset Asset Asset Asset

4

5 La Realidad: La Mayoría de los Atacantes están Enfocándose en las Aplicaciones Web 75% 2/3 De Todos los Ataques sobre la seguridad de la Información son Dirigidos a la Capa Web De todas las Aplicaciones Web son Vulnerables **Gartner

6 Por que Existe el Problema de Seguridad? Causa Principal: Los Desarrolladores no están Entrenados para Desarrollar o Probar Código Seguro Las practicas de código seguro no son parte central en los objetivos de desarrollo En general, a los desarrolladores les falta conocimiento y les faltan herramientas para probar durante el desarrollo La seguridad de redes no hace nada una vez que la organización habilita una aplicación web Los Firewalls e IPS's(no IBM) no bloquean ataques a las aplicaciones (Los Puertos 80 y 443 están abiertos) Los escáneres de red no encuentran vulnerabilidades en las aplicaciones.

7 Automatización de las Pruebas de Seguridad IBM Rational AppScan Automatiza las Pruebas de Seguridad de Aplicaciones Web Escanea Aplicaciones Web Analiza (Identifica Problemas) Reporta (detallado y útil)

8

9 Nuestra visión de Calidad SDLC Coding Build QA Security Production Developers Developers Developers BuildForge RFT, RPT, RST AppScan BuildForge

10

11 Pruebas de Carga y Estress Son aquellas pruebas que permite someter una aplicación mediante la emulación del comportamiento de usuarios reales la generación de carga con el fin de encontrar los cuellos de botella del sistema Rational Performance Tester Performance Tester Agents System Under Test

12 Identificación de problemas de rendimiento durante la Ejecución de la prueba Página de informe de rendimiento muestra el tiempo medio de respuesta por página. Barra mas alta = Problema de rendimiento Las pruebas de performance encuentran los cuellos de botella

13 Desempeño & Estádisticas de recursos Los datos del monitoreo de los recursos se pueden mostrar en un mismo gráfico como datos de tiempo de respuesta en una sola vista facilitando la correlación de los recursos y respuesta

14 Como damos soporte a la norma ISO Rational Asset Manager Asset Inventory Ownership of assets Aceptable use of assets Rational Appscan Control Against malicious code Control Against mobile code Input data Validation Control Internal Procesing Output data validation Access Control to program source code Rational Software Analyzer Message Integrity

15 Calidad en los Test Aceptación de Sistemas

16 La automatización de pruebas tiene su propios desafíos Cómo implementar de manera efectiva la automatización de pruebas y reducir al mínimo gastos Costos: Obtener valor rapidamente y reducir los costos de mantención de largo plazo Complejidad: Asegurar que todo el software en la organización se prueba de manera efectiva, independiente de la plataforma, o del ambiente. Respuesta: Activar el equipo de pruebas para crear y ejecutar pruebas de manera eficiente y maximizar la capacidad de reutilizar y mejorar las secuencias de comandos existentes.

17 En consecuencia: En qué buscamos ayudarles? Disminuir los riesgos y los costos La colaboración es una herramienta que permite disminuir el retrabajo, costos de defectos, y fomentar un mejor aprovechamiento de los recursos Reducir el tiempo de entrega ( time to market ) Las automatizaciones inteligentes permiten reducir el error humano y mejorar la calidad operacional Brindar visibilidad para tomar decisiones Contar con métricas en tiempo real permite brindar la información necesaria respecto a la calidad concreta de los sistemas. Mejorar el valor en la calidad de sus sistemas

18 Solución IBM Rational para Calidad IBM Collaborative Application Lifecycle Management Rational Quality Manager Quality Dashboard Requirements Management Test Management Defect Management Create Plan Build Tests Manage Test Lab Execute Tests Report Results Best Practice Processes Collaboration Presentation: Mashups Discovery Search & Query Storage Administration: Users, projects, process Test Data Quality Functional Testing SAP Java Performance Testing Open Lifecycle Service Integrations Web Service Quality System z, i Code Quality.NET Security and Compliance Open Platform homegrown

19 El factor de Administración y Automatización No mal interpretar el complemento entre la administración y la automatización. Reutilización de activos de QA considerando diversas tecnologías Java,.NET, System z, System I, C++, Visual Basic 5-6, ADA, Web Services, BPEL, MQ, Sockets, HTTP Oracle E-Business Applications SAP Siebel Citrix Automatizaciones externas Open-Source: JUnit, JMeter, etc.. Adaptadores con código abierto Conectores para CA, HP

20 Productividad de equipo en zero-day Potenciar la automatización del testing mediante la suite IBM Rational sin necesidad de conocimiento programático: Rational Functional Tester Rational Performance Tester Rational Services Tester Rational AppScan Rational Software Analyzer Análisis de SLA (requerimientos no funcionales) para testing de desempeño Foco en el testing incremental desde la definición hasta la formación de prototipos Hacking-on-the-box : La capacidad de probar la seguridad de un sistema de forma automática

21 Procesos robustos soportan el Desarrollo de software de un negocio Exitoso Colaboración Automatizar Reportes Mejoras de un 25%-43% de productividad por colaboración (en días) Lograr los objetivos Incrementar el control Mejora continua optimizando Mejoras de un el 37%-65% de y eficiencia costos por automatización la (en midiendo semanas) el como trabajan las integración de flujos y progreso en tiempo personas Mejoras de 50%-70% su automatización por visibilidad (en pocos meses) real

22 MUCHAS GRACIAS!!