Ingeniero de Seguridad Informática: pregunta de entrevista
¿Cómo usas el OWASP Top 10?
Usa OWASP Top 10 como lista de concienciación y revisión, no como threat model completo. Mapea categorías a arquitectura y pruebas y añade amenazas de lógica, plataforma y dominio no cubiertas.
Respuesta directa
Qué debe cubrir una buena respuesta
Cómo funciona
El OWASP Top 10 es una lista ordenada de las categorías de riesgo más frecuentes en aplicaciones web, como control de acceso roto, inyección y configuración insegura. Sirve como vocabulario común, base de formación y lista de revisión que asocia cada categoría a un lugar de la arquitectura y una prueba en el pipeline. No es un modelo de amenazas: no conoce la lógica de negocio de la aplicación, sus datos concretos ni su superficie de ataque no web. Los equipos lo usan para asegurar que las clases comunes están cubiertas por diseño y automatización, y luego dedican el tiempo de modelado a los riesgos propios de su sistema.
Ejemplo
Un equipo mapeó el Top 10 sobre su stack: el control de acceso lo aplica una capa de políticas con pruebas por tipo de recurso, la inyección se evita con consultas parametrizadas verificadas por una regla de linter, la configuración insegura la atrapan comprobaciones de políticas de infraestructura y los componentes vulnerables el escaneo de dependencias con SLAs. El modelo de amenazas se centró entonces en lo que la lista no cubre: un sistema de cupones que podía abusarse combinando descuentos legítimos.
Errores frecuentes
- Tratar una lista del Top 10 como prueba de que la aplicación es segura.
- Leer la lista una vez y no asociarla nunca a controles y pruebas concretos.
- Ignorar el abuso de lógica de negocio porque no tiene categoría en la lista.
Una estructura útil para responder
Responde desde tu propia experiencia.
No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.
Abre el espacio de trabajo de escritorio y ensaya una respuesta clara con tus propias palabras.