Patrones de diseño seguro reutilizables

Un patrón de diseño seguro es una solución probada a un problema que se repite, empaquetada para que cada equipo no la reinvente: un componente listo, sus pruebas y su revisión de seguridad hecha una vez. OWASP lo recomienda dentro de la prevención del diseño inseguro: mantener una biblioteca de patrones y componentes de referencia, el llamado camino pavimentado, para que lo seguro sea también lo más fácil.

El valor está en la escala. Si diez equipos escriben su propio control de autorización, hay diez sitios donde equivocarse y diez revisiones que hacer; si usan el mismo punto de decisión, hay uno. Por eso la revisión de un diseño empieza preguntando qué patrones usa y dónde se aparta, y cada desvío necesita una excepción con dueño, motivo, control que compense y fecha de vencimiento. Sin esos datos, una excepción es un permiso para siempre.

Apartarse de un patrón casi siempre tiene una justificación de calendario: «es más rápido hacerlo aquí». El problema aparece meses después, cuando la regla cambia en el servicio central y la copia local se queda atrás, o cuando nadie recuerda que existía.

Abre catalogo-patrones.txt y disenos.txt, y compara la línea de autorización de cada funcionalidad con el catálogo.

A veces el problema no es apartarse de un patrón, sino no usar uno que el riesgo pide. Un diseño que mueve dinero y reintenta cuando la pasarela tarda tiene un riesgo concreto: que un reintento repita un pago que sí llegó. El catálogo ya tiene la respuesta; el diseño no la menciona.

Lee el bloque de pagos de cada funcionalidad en disenos.txt y busca en el catálogo el patrón que cubre ese riesgo.

Una excepción bien pedida dice quién responde por el riesgo, por qué no se puede usar el patrón, qué se hace mientras tanto para compensar y cuándo se vuelve a revisar. Con eso, el comité puede aprobarla sabiendo lo que acepta. Sin eso, aprobarla es convertir un atajo de hoy en la deuda de siempre.

Abre excepciones.txt y lee la excepción que pidió el equipo de carga de facturas.