Modelos de madurez de AppSec: OWASP SAMM

OWASP SAMM (Software Assurance Maturity Model) es un modelo abierto que, en su versión 2, ordena el trabajo de seguridad del software en cinco funciones de negocio (Gobierno, Diseño, Implementación, Verificación y Operaciones) y quince prácticas de seguridad, tres por función. Cada práctica se valora en niveles de madurez crecientes, del 0 (no se hace) al 3.

Para una persona de GRC el valor del modelo es doble: da un vocabulario común con el equipo técnico y permite comparar contra un objetivo sin discutir tecnologías. No dice qué herramienta comprar ni garantiza que un producto esté libre de fallos.

Una brecha se mide contra el objetivo, y se mide desde lo que se puede probar, no desde lo que se declara. Por eso la tabla trae tres columnas: el nivel que el equipo declaró, el nivel con evidencia y el nivel objetivo a doce meses.

Abre modelo_samm y evaluacion. Resta, práctica por práctica, el nivel con evidencia del nivel objetivo.

Las prácticas se agrupan por función de negocio, y un comité suele querer verlas así: una cifra por función. La tabla modelo_samm dice a qué función pertenece cada práctica. La suma de los niveles con evidencia de una función es una forma sencilla de compararla con otra.

Una autoevaluación puede ser honesta y estar equivocada: quien hace el trabajo recuerda que lo hizo, pero si no quedó un documento, un acta o un registro, el analista no puede sostenerlo ante un tercero. El hallazgo no acusa a nadie; marca que el nivel declarado no es el nivel defendible.

Busca en evaluacion una práctica donde el equipo declaró nivel 2 o más y la columna de evidencia dice que no existe ninguna.

El objetivo de un modelo de madurez no es subir todas las prácticas a la vez ni llegar al nivel 3 en todo. Se elige el nivel que el riesgo del negocio justifica, práctica por práctica, y se cierra primero lo que protege lo más valioso con el menor esfuerzo.