Seguridad En aplicaciones de Software-6&Gartner

¿Qué es la Matriz de Gartner?

Es una representación gráfica que mapea a diferentes empresas en un plano de dos ejes, ofreciendo una radiografía clara del estado del mercado en un momento dado.

¿Cuáles son los dos ejes de evaluación en la Matriz de Gartner?

1. Capacidad de ejecutar (eje vertical) 2. Integridad de visión (eje horizontal)

¿Cuáles son los cuatro cuadrantes que integran la Matriz de Gartner?

1. Líderes 2. Retadores u Aspirantes 3. Visionarios 4. Jugadores de Nicho

¿Cuál es la utilidad principal de la Matriz de Gartner para un comprador o inversionista?

Ayuda a entender el desempeño y propuesta de las soluciones tecnológicas antes de realizar compras o inversiones.

¿Por qué el mercado de Application Security Testing (AST) requiere el uso de la Matriz de Gartner?

Porque el mercado está saturado de proveedores que ofrecen diversas herramientas de SAST, DAST y SCA, dificultando la selección.

¿De qué manera la IA generativa impacta la seguridad en el desarrollo de software?

Acelera la introducción de código inseguro en el desarrollo, generando nuevas clases de riesgos de seguridad.

¿A cuánto ascendió el gasto global en herramientas de AST entre 2022 y 2023, y cuál es la proyección para 2025?

Alcanzó 3.4 mil millones de dólares (2022-2023) y se proyecta en 5.1 mil millones de dólares para 2025.

¿Qué disciplinas centrales de seguridad de aplicaciones analiza la evaluación de Gartner?

SAST (análisis estático), DAST (análisis dinámico) y SCA (análisis de componentes de terceros).

¿Qué significa la sigla DevSecOps?

Desarrollo + Seguridad + Operaciones.

¿Cuál es el principio fundamental de DevSecOps respecto a la seguridad?

Integra la seguridad desde el inicio del desarrollo, haciendo que sea responsabilidad de todo el equipo y no solo una fase final.

¿Cuáles son las principales recomendaciones y beneficios prácticos de DevSecOps?

1. Automatizar pruebas de seguridad en CI/CD. 2. Realizar revisiones de código y vulnerabilidades. 3. Mantener dependencias actualizadas. 4. Corregir fallos antes de producción para reducir costos y riesgos.

SAST (Static Application Security Testing): Definición y momento de aplicación

Herramienta que analiza el código fuente antes de ejecutarlo para advertir sobre posibles fallos como Inyección SQL.

SCA (Software Composition Analysis): Definición

Analiza las librerías y componentes de terceros que instalamos en un proyecto para avisar sobre vulnerabilidades reportadas.

DAST (Dynamic Application Security Testing): Definición y momento de aplicación

Analiza la aplicación directamente en ejecución para detectar problemas dinámicos como fallos en sesiones o Cross-Site Scripting (XSS).

¿Qué función cumple la herramienta IaC (Infrastructure as Code) en la seguridad de aplicaciones?

Permite detectar configuraciones inseguras en los archivos de infraestructura antes de realizar el despliegue.

¿Qué es un SBOM (Software Bill of Materials)?

Es un inventario detallado de todos los componentes de software utilizados en un proyecto.

¿Qué tecnologías de seguridad abarca la solución de Checkmarx según Gartner 2025?

SAST, SCA y DAST.

¿Qué áreas de análisis abarca la herramienta Snyk según Gartner 2025?

SAST, Open Source, IaC y SCA.

¿Qué disciplinas de prueba de seguridad cubre Veracode según Gartner 2025?

SAST, SCA y DAST.

¿En qué capacidades de evaluación se enfoca Black Duck según Gartner 2025?

SBOM y SCA.

¿Qué es un Plan de Contingencia en el contexto empresarial?

Es una estrategia que reúne procedimientos, técnicas y medidas que una empresa ejecuta ante un evento inesperado para garantizar su correcto funcionamiento.

¿Por qué se dice que el plan de contingencia cumple una función preventiva?

Porque es una estrategia diseñada con antelación y de forma premeditada para controlar riesgos y optimizar recursos antes de que ocurra una crisis.

Al identificar situaciones amenazantes para la empresa, ¿cuáles son las dos variables clave que se deben evaluar?

1. La gravedad del impacto. 2. La probabilidad de ocurrencia.

¿Cuáles son las ventajas principales de contar con un Plan de Contingencia?

1. Optimización de recursos materiales y humanos. 2. Distribución de funciones y ahorro de tiempo. 3. Disminución del impacto de situaciones negativas. 4. Establecimiento de pautas de control adecuado.

¿Qué elementos integran la estructura básica de un Plan de Contingencia?

Secciones para recopilar datos de la empresa, posibles riesgos, análisis, recursos disponibles y acciones a ejecutar.

¿Cuál es el Paso 1 para elaborar un plan de contingencia?

Identificar los riesgos y amenazas.

¿Cuál es el Paso 2 para elaborar un plan de contingencia?

Evaluar el porcentaje de gravedad y de probabilidad de cada riesgo.

¿Cuál es el Paso 3 para elaborar un plan de contingencia?

Ordenar los riesgos relevados según su nivel de prioridad.

¿Cuál es el Paso 4 para elaborar un plan de contingencia?

Planear las acciones y medidas concretas a tomar.

¿Cuáles son los dos errores más frecuentes al crear un Plan de Contingencia?

1. No contar con el apoyo directo de los ejecutivos de la empresa. 2. Terminar el documento y archivarlo a un lado hasta que surja una emergencia.

En un plan de contingencia por fallos de seguridad informática en una empresa contable, ¿qué departamentos intervienen prioritariamente?

Ingeniería, Administración Web, y Atención / Gestión de Redes Sociales.

Ante una pérdida masiva de clientes por alta competencia, ¿qué consecuencias estratégicas enfrenta una empresa informática?

Problemas de liquidez financiera y pérdida de posicionamiento en el mercado.

¿Qué acciones operativas contempla un plan de contingencia frente a la pérdida acelerada de clientes?

Mejorar las funciones del producto, lanzar promociones de precio, utilizar fondos de reserva e involucrar a Desarrollo, Marketing y Ventas.

¿Qué define el concepto de Continuidad del Negocio?

Es la capacidad organizacional para sobrevivir ante desastres o riesgos internos/externos y restablecer el desarrollo normal de sus actividades.

¿Cómo define Rodrigo Ferrer la Continuidad del Negocio?

Sostener en niveles previamente definidos y aceptados los productos y servicios críticos del negocio ante la materialización de un desastre o riesgo.

¿Cuál es la norma internacional utilizada para implementar un Sistema de Gestión de Continuidad del Negocio (SGCN)?

Norma ISO 22301.

¿Qué beneficios aporta la norma ISO 22301 a una organización?

Permite establecer, implementar, mantener y mejorar el SGCN, garantizando coherencia con las políticas internas y facilitando auditorías de conformidad.

¿Cuáles frentes organizacionales debe abarcar un Plan de Continuidad del Negocio (PCN)?

Infraestructura, recurso humano, sistemas industriales, estrategias de comunicación y tecnología.

¿En qué consiste específicamente un Plan de Continuidad TIC?

Se enfoca exclusivamente en gestionar y mitigar riesgos tecnológicos que puedan acarrear pérdidas operativas o financieras severas.

¿Qué función cumple el software Pirani ISMS Suite en la continuidad de negocio?

Ayuda a las organizaciones a gestionar de forma adecuada sus activos de información y evaluar las amenazas a las que están expuestos.

¿Cuáles son las 6 etapas de la Gestión de Continuidad del Negocio?

Etapa 1: Creación del programa Etapa 2: Comprensión de la compañía Etapa 3: Definición de estrategias Etapa 4: Elaboración y ejecución de una respuesta Etapa 5: Cumplir los acuerdos pactados Etapa 6: Cultura organizacional

¿Por qué es crucial mantener actualizado el Plan de Contingencia?

Porque las amenazas e infraestructura cambian continuamente; sin actualización constante, pierde efectividad ante situaciones imprevistas.

_____ realiza pruebas dinámicas en una aplicación en tiempo de ejecución, mientras que _____ analiza el código fuente sin ejecutarlo.

DAST / SAST

El análisis de vulnerabilidades en librerías de código abierto y componentes de terceros se realiza mediante herramientas de tipo _____.

SCA (Software Composition Analysis)

¿Cuál es el propósito esencial de los Planes de Recuperación dentro de la continuidad del negocio?

Restablecer los sistemas de información y operaciones críticas tras la ocurrencia de un desastre o incidente grave.

¿Qué diferencia existe entre un riesgo provocado y un evento fortuito en la continuidad del negocio?

El riesgo provocado es generado deliberadamente (ej. ciberataques), mientras que el fortuito surge por acontecimientos inesperados internos o externos (ej. desastres naturales).

¿Cómo contribuye la automatización en CI/CD a la filosofía DevSecOps?

Permite ejecutar análisis de código y seguridad automáticamente en cada integración, detectando fallos antes de pasar a producción.

En la evaluación de riesgos de un Plan de Contingencia, si una amenaza es de alta gravedad pero muy baja probabilidad, ¿qué medida estratégica conviene tomar?

Definir procedimientos preventivos claros y contar con recursos o fondos de reserva asignados sin sobrecargar el presupuesto operativo habitual.

¿Cuál es la relación principal entre el Plan de Continuidad TIC y el Plan de Continuidad del Negocio (PCN) general?

El Plan de Continuidad TIC es un componente subyacente especializado dentro del PCN general que atiende específicamente la infraestructura tecnológica y de datos.

¿Por qué el apoyo de los altos ejecutivos es vital para el éxito de un plan de contingencia?

Porque garantiza la asignación de presupuesto, recursos humanos y el respaldo necesario para ejecutar los protocolos en momento de crisis.