SPSE

Proyecto SPSE: Software Product Security Evaluation

SPSE Software Product Security Evaluation

AQCLab lleva a cabo el proyecto SPSE (Software Product Security Evaluation), en el que se aborda la construcción de un entorno que permita ofrecer a empresas y organismos públicos, servicios de evaluación y certificación de la seguridad del producto software.

Motivación del Proyecto

La actividad económica relacionada con la Industria del Software está tomando cada vez mayor importancia a nivel mundial. La cantidad de empresas dedicadas al desarrollo de software ha experimentado un fuerte crecimiento, en línea con el crecimiento de la demanda de productos del sector. Este crecimiento de la Industria del Software está haciendo que vivamos y trabajemos en un mundo totalmente globalizado, más tecnológico, y por tanto más vulnerable, como se ha demostrado durante la presente pandemia. La seguridad debe ser primordial para las empresas y sus responsables. Tenemos que proteger nuestros sistemas de información y el software que utilizamos a diario en nuestro entorno contra todas las amenazas que pueden poner en riesgo nuestra organización. Estas amenazas pueden suponer desde acciones tales como un acceso no autorizado, o una modificación de información concreta, a robar información de un gran valor para la empresa.

La norma ISO/IEC 25010 identifica las características que se pueden evaluar del producto software, encontrándose entre ellas la seguridad. La norma ISO/IEC 25010 define la Seguridad como “la capacidad de protección de la información y los datos de manera que personas o sistemas no autorizados no puedan leerlos o modificarlos”.

Mediante este proyecto se construirá el primer entorno a nivel internacional para la evaluación de la seguridad del producto software basado en ISO/IEC 25000, ya que actualmente existen entornos para evaluar la calidad del producto software, la calidad de datos, la ciberseguridad de las infraestructuras críticas, y la certificación de los sistemas de gestión de seguridad de información, pero ninguno específico para la seguridad del producto software bajo esta familia de estándares internacionales.

Descripción del Proyecto

El objetivo principal del proyecto SPSE es la construcción de un entorno (metodológico y tecnológico) que permita ofrecer a empresas y organismos públicos, servicios de evaluación y futura certificación de la seguridad del producto software. Este objetivo principal se pretende abordar por medio de los siguientes objetivos específicos.

Definir un modelo para la evaluación de la seguridad del producto software. La seguridad, en términos de la norma ISO/IEC 25000, es una de las características de calidad del producto software que se pueden evaluar. Por ello, se pretende crear un modelo operativo que permita, a partir de los resultados obtenidos para un conjunto de métricas base, determinar el nivel de seguridad que un producto software cumple frente a un conjunto de vulnerabilidades.
Desarrollar una metodología para la evaluación de la seguridad del producto software: que describa las actividades que hay que ejecutar para realizar una evaluación de calidad (cuando el elemento certificado es el producto software), así como los roles y los productos de trabajo que se manejan. Dicha metodología estará además relacionada e integrada con la metodología de evaluación que ya se posee en el laboratorio AQCLab para la adecuación funcional y la mantenibilidad.
Creación de una herramienta para la evaluación de la seguridad del producto software: que permita, en la manera de lo posible, automatizar y asistir en el cálculo de las métricas básicas que se definan, así como en el proceso de evaluación que genere los valores para las subcaracterísticas de seguridad.
Integración de la herramienta de evaluación de seguridad con el entorno de visualización de AQCLab. AQCLab dispone de un entorno para visualización de la calidad. Con este nuevo objetivo se pretende ampliar dicho prototipo de manera que sea capaz de presentar de una manera intuitiva los resultados obtenidos para la evaluación de la seguridad del producto software.
Validación del entorno creado mediante un caso de estudio práctico: utilizando el modelo, proceso y herramientas desarrolladas y comprobando su idoneidad para realizar proyectos de evaluación de la seguridad del producto software.

Resultados

Modelo completo para la seguridad del producto software
Conjunto de métricas para evaluación de la seguridad del producto software
Metodología completa para evaluación de la seguridad del producto software
Conjunto de plantillas para dar soporte al proceso de evaluación de la seguridad del producto software
Entorno de medición y visualización de la seguridad del producto software
Ecosistema para la certificación de la seguridad del producto software