ACHS: Análisis estático de código para maximizar la seguridad de apps

Desafío

La Asociación Chilena de Seguridad (ACHS) es una mutualidad privada, sin fines de lucro, administradora del seguro social contra riesgos de accidentes laborales y enfermedades profesionales. contemplado en la Ley 16.744. Ofrece 3 tipos de prestaciones: prevención de riesgos laborales, de salud y económicas.

ACHS busca reforzar la gestión preventiva e instaurar una cultura que garantice la seguridad, salud y calidad de vida, para contribuir al cuidado de las personas y al desarrollo de Chile.

Fundada en 1958.

277 centros de salud a lo largo de Chile.

+5.000 empleados.

+73.000 empresas asociadas.

+2.600.000 de trabajadores adheridos.

Clasificada en el Top Companies de LinkedIn 2022 en Chile.

Ante la necesidad de contar con aplicaciones más confiables, ACHS buscó la ayuda de Abstracta para realizar análisis estáticos de seguridad de sus aplicaciones, con el objetivo de detectar funcionalidades potencialmente vulnerables, elevar su seguridad, fiabilidad y mantenibilidad.

Soluciones

Gestionamos nuestra colaboración en tres etapas:

Fase de levantamiento: análisis del estado inicial del desarrollo, para comprender cómo se gestionaba el código fuente y qué atributos de calidad se estaban analizando.
Fase de configuración: analizamos el código estático, orientado a detectar vulnerabilidades. Transformamos el código fuente en un modelo de programa que permite detectar funciones potencialmente vulnerables, que pueden ser aprovechados por atacantes durante la ejecución de la aplicación.
Fase de mantenimiento: diseñamos un plan de acción para la revisión continua del software de ACHS, en busca de mejorar su calidad interna y facilitar su mantenimiento.

Algunos aspectos destacados:

Priorizamos los proyectos del área de Transformación Digital para el análisis estático de código. Los proyectos legacy o con metodologías tradicionales no entraron en esta definición, ya que no cuentan con integración continua ni con metodologías que manejen pruebas unitarias.
Analizamos problemas típicos de seguridad, tales como cross site scripting, injection, known vulnerabilities, etc., mediante validaciones estáticas del código fuente.
Evaluamos patrones en la búsqueda de malas prácticas, que llevaban a la falta de cumplimiento de estándares, la existencia de potenciales defectos o vulnerabilidades, código duplicado, complejidad de código y cobertura de pruebas.
Generamos una métrica de deuda técnica para aportar el diseño de pruebas de calidad.
Configuramos la herramienta SonarQube para poder analizar de código estático; chequear vulnerabilidades; detectar potenciales bugs; y revisar la calidad del código, mediante el chequeo de reglas que refuerzan el uso de estándares de codificación.
Para lograr su mantenimiento, realizamos tareas que abarcan desde actividades de desarrollo de software y de infraestructura, hasta la gestión del código. Entregamos feedback y resultados continuamente, y gestionamos el cumplimiento de las normas que ofrece SonarQube.

Resultados

Logramos maximizar el estado de seguridad de todos los proyectos de ACHS, gracias a la implementación de casi la totalidad de los proyectos en SonarQube. Incrementamos la cobertura de pruebas unitarias: en 2021, de la totalidad de 62 proyectos analizados por SonarQube, ninguno disponía de cobertura de pruebas unitarias. Al día de hoy, tienen 75 proyectos, de los cuales 52 tienen una cobertura de pruebas unitarias del 50% al 80% . Actualmente, nos encontramos trabajando en la fase de mantenimiento.