Servicio 04.2
Plataformas y software
El software que no se diseñó para ser auditado se audita igual. Solo que entonces cuesta rehacerlo.
Qué es
El desarrollo de plataformas y software cubre el producto de extremo a extremo —arquitectura, construcción, seguridad y documentación— con el requisito de conformidad incorporado desde el diseño y no añadido al final. Economía y Diplomacia entrega la plataforma y la documentación técnica que permite acreditarla.
¿Le aplica?
Marque los supuestos que reconozca en su organización.
Qué ocurre si no se actúa
Un producto sin documentación técnica, sin registro de decisiones de diseño y sin trazabilidad de dependencias no puede acreditar conformidad cuando el cliente o el regulador la exigen. La consecuencia práctica no es una advertencia: es quedar fuera del pliego o perder la homologación como proveedor.
Qué recibe
Plataforma entregada y documentación técnica: arquitectura, decisiones de diseño, inventario de dependencias, evidencias de seguridad en el ciclo de desarrollo y manual de operación.
Fases del encargo
- 01
Requisitos
Se recogen los funcionales y los de conformidad a la vez. Añadir los segundos después es lo que encarece el proyecto.
- 02
Arquitectura
Se diseña con separación de entornos, control de accesos y registro desde el primer día.
- 03
Construcción
Se desarrolla con control de dependencias y verificación de seguridad integrada en el ciclo.
- 04
Verificación
Se prueba y se documenta lo probado, que es lo que después se enseña.
- 05
Entrega
Se entrega con documentación técnica, manual de operación y plan de mantenimiento.
Protección de datos desde el diseño
El artículo 25 del RGPD exige aplicar medidas técnicas y organizativas apropiadas desde el momento de la determinación de los medios de tratamiento, y garantizar por defecto que solo se traten los datos necesarios para cada fin. Es un requisito de diseño, no de configuración posterior.
Errores frecuentes
Dejar la seguridad para una fase final de «hardening»; no inventariar las dependencias de terceros, que es donde entra la mayoría de las vulnerabilidades; y documentar la arquitectura una vez y no volver a tocarla, con lo que el documento describe un sistema que ya no existe.
El ENS se hereda por contrato
Si el producto se presta a entidades del sector público, el artículo 28 del Real Decreto 311/2022 traslada las obligaciones del Esquema Nacional de Seguridad al proveedor privado, con la categoría del sistema afectado. Diseñar sin saberlo obliga a rehacer.
Lo que preguntan antes de contratar
¿Cuánto cuesta desarrollar una plataforma?
Depende del alcance funcional, de las integraciones y del nivel de conformidad exigible, que es la variable que más lo mueve. Economía y Diplomacia presupuesta sobre requisitos cerrados, incluidos los de conformidad.
¿Cuánto tarda?
Lo determinan el alcance y la disponibilidad de los sistemas con los que hay que integrar. Los requisitos de conformidad no alargan el proyecto si están desde el principio; sí lo hacen si se incorporan al final.
¿Qué documentación hay que entregar?
Como mínimo: arquitectura, decisiones de diseño con su justificación, inventario de dependencias y sus versiones, evidencias de las verificaciones de seguridad realizadas y manual de operación. Es lo que después se examina.
¿Sirve una certificación ISO como acreditación?
Una certificación acredita un sistema de gestión, no la conformidad de un producto concreto con una norma sectorial. Son planos distintos y ambos pueden ser exigibles.