Amb el Top Ten i ASVS, l'equip de BazarNube ja sap quins riscos vigilar i quins requisits verificar en l'aplicació. Però a l'última reunió, la SRE planteja una pregunta que cap d'aquestes dues eines respon: "D'acord, arreglem les troballes d'aquesta versió... però com a organització estem fent les coses perquè això no es repeteixi a la següent? Tenim tan sols un procés, o anem apagant focs?". Aquesta pregunta ja no és sobre una app: és sobre la maduresa de l'organització produint programari segur. L'eina OWASP per a això és SAMM, el Software Assurance Maturity Model. En aquesta lliçó la presentem a alt nivell; el detall —dominis, avaluació, millora contínua— és el contingut del mòdul 5.

1. Què és SAMM i què mesura
2. SAMM davant d'ASVS: organització vs aplicació
3. La idea de dominis i nivells de maduresa
4. Com mesuraria BazarNube la seva maduresa
5. Per què la maduresa importa a una startup

L'OWASP SAMM (Software Assurance Maturity Model) és un model de maduresa per al programa de seguretat d'una organització. El seu objectiu no és avaluar si una aplicació és segura, sinó si la forma de treballar de l'empresa produeix programari segur de manera repetible i millorable.

Els seus trets essencials:

• Mesura processos i pràctiques, no codi. Pregunta coses com: hi ha formació en seguretat?, es fa modelatge d'amenaces?, existeix gestió de vulnerabilitats?, qui respon davant d'un incident?
• És un model de maduresa. Ofereix una escala (típicament de 0 a 3) per a cada pràctica, des de "no ho fem" fins a "ho fem de manera optimitzada i mesurada".
• Serveix per fer una foto i traçar un full de ruta. No es tracta d'"aprovar", sinó de saber on ets i cap a on millorar, pas a pas.
• És agnòstic de tecnologia i mida. Val per a una startup de cinc persones o per a una multinacional; cadascuna interpreta els nivells segons la seva realitat.

La paraula que resumeix SAMM és maduresa: no "és segura aquesta app?", sinó "està l'organització madura per produir apps segures de manera sostinguda?".

Aquest és el matís que més costa al principi: SAMM i ASVS sonen semblants però mesuren coses de plans totalment diferents. ASVS mira cap a dins de l'aplicació; SAMM mira cap a l'organització que la construeix.

Analogia útil: si BazarNube fos un restaurant, ASVS seria la inspecció d'un plat concret (està ben cuinat, sense contaminació?), mentre que SAMM seria l'avaluació de la cuina com a sistema (hi ha protocols d'higiene?, el personal està format?, es revisen proveïdors?). Pots cuinar un plat correcte per sort; SAMM pregunta si la teva cuina ho farà bé sempre.

SAMM organitza les pràctiques de seguretat en un petit nombre de dominis (grans àrees d'activitat) que cobreixen el cicle de vida complet del programari. Aquí només en donem la idea general; el mòdul 5 els desenvolupa un a un.

De manera esquemàtica, SAMM agrupa l'activitat de seguretat en cinc funcions de negoci (dominis), cadascuna amb les seves pràctiques:

Sobre cada pràctica, SAMM aplica una escala de maduresa que, de manera simplificada, es llegeix així:

La idea clau: no es tracta d'estar en nivell 3 en tot. Una startup sana pot estar en nivell 1 en la majoria de pràctiques i això ja és un èxit. SAMM no jutja: posiciona i ajuda a prioritzar en quines pràctiques invertir primer.

Apliquem-ho. L'equip fa una autoavaluació ràpida (una versió molt simplificada del que el mòdul 5 formalitza). Per a cada pràctica, es pregunten honestament en quin nivell estan avui:

D'aquesta simple taula, l'equip extreu conclusions molt accionables:

• La seva maduresa mitjana és baixa (entre 0 i 1), cosa que és normal i esperable en una startup jove. No és cap fracàs: és el punt de partida.
• Els buits més urgents estan a Verification (no proven la seva seguretat) i Operations (no saben què farien davant d'un incident).
• Ja tenen fonaments a Design (el mapa de riscos) i Implementation (el backlog), sobre els quals construir.
• El full de ruta gairebé es dibuixa sol: introduir proves de seguretat (adoptar ZAP, mòdul 6) pujaria Verification de 0 a 1; definir un pla mínim de resposta pujaria Operations.

Fixa't en una cosa important: SAMM connecta i dona sentit a les eines anteriors. El mapa de riscos, el backlog etiquetat amb Top Ten i la checklist ASVS no són peces soltes: són evidències de maduresa dins de dominis concrets de SAMM. SAMM és el marc que converteix esforços aïllats en un programa coherent i amb direcció.

Podria semblar que un model de maduresa és "cosa de grans empreses". És just al revés: per a una startup com BazarNube, SAMM és especialment valuós perquè:

• Evita dependre d'herois. Si la seguretat només funciona perquè Lucía es recorda de revisar-la, el dia que Lucía no hi sigui, s'ensorra. La maduresa consisteix que les coses passin per procés, no per persones.
• Prioritza amb recursos escassos. Una startup no pot fer-ho tot. SAMM ajuda a decidir quina pràctica millorar primer per obtenir el màxim impacte.
• Dona una narrativa a inversors i clients. "Tenim un pla de maduresa de seguretat i anem per aquí" transmet molta més confiança que "anem arreglant el que salta".
• Creix amb tu. El mateix model serveix quan sou cinc i quan sou cinquanta; només canvia el nivell al qual aspires.

• Confondre SAMM amb ASVS. ASVS avalua una aplicació; SAMM avalua l'organització i els seus processos. Són complementaris: un mira el producte, l'altre la fàbrica.
• Voler estar en nivell 3 en tot. És contraproduent i caríssim. La meta no és la perfecció uniforme, sinó un progrés equilibrat i sostenible. Nivell 1 generalitzat ja és una base sòlida.
• Fer l'avaluació una sola vegada. SAMM és un cicle de millora contínua: es reavalua periòdicament per veure l'avanç. Una foto única no serveix de gaire.
• Ser poc honest en l'autoavaluació. Inflar els nivells per quedar bé destrueix el valor de l'exercici. L'objectiu és saber on ets de veritat, no aprovar un examen.
• Consell: comença petit. Una autoavaluació informal de mitja hora, honesta, ja et dona un full de ruta útil. No necessites el model complet per obtenir valor el primer dia.

Exercici 1. Classifica cada afirmació com a pròpia d'ASVS o de SAMM: (a) "L'equip de BazarNube fa modelatge d'amenaces de manera sistemàtica en cada projecte"; (b) "L'aplicació emmagatzema les contrasenyes amb un algoritme de hashing fort"; (c) "Existeix un procés definit de resposta a incidents amb rols assignats".

Exercici 2. BazarNube ha detectat que la seva pràctica de "Proves de seguretat" (Verification) està en nivell 0. Proposa una acció concreta que la portaria al nivell 1 i explica amb quina eina del curs es relaciona.

Exercici 3. Explica en 4–5 línies per què una maduresa mitjana baixa (entre 0 i 1) no és motiu d'alarma per a una startup com BazarNube, i què hauria de fer amb aquesta dada.

Solució 1. (a) SAMM (parla d'una pràctica de l'organització i de la seva regularitat, domini Design); (b) ASVS (és un requisit verificable sobre l'aplicació); (c) SAMM (descriu un procés organitzatiu, domini Operations).

Solució 2. Una acció concreta: adoptar OWASP ZAP per escanejar l'API de BazarNube de manera regular, encara que sigui manualment al principi. Passar de "no provem res" a "escanegem amb una eina DAST abans de cada release" eleva la pràctica de Verification de nivell 0 a nivell 1. Es relaciona amb ZAP, que presentem a la lliçó 02-04 i desenvolupem al mòdul 6.

Solució 3. Una maduresa baixa és el punt de partida esperable de gairebé qualsevol startup jove: reflecteix que l'empresa encara no ha formalitzat els seus processos de seguretat, no que faci les coses malament. L'important no és la xifra, sinó fer-la servir com a línia base per traçar un full de ruta: identificar els buits més crítics (a BazarNube, Verification i Operations) i planificar millores incrementals. SAMM no penalitza estar baix; penalitza no saber on ets ni cap a on vas.

Has conegut la tercera eina de la caixa OWASP: SAMM, un model de maduresa que avalua no una aplicació, sinó el programa de seguretat de l'organització. Saps que es diferencia d'ASVS en el pla (organització/procés vs aplicació/producte), que organitza l'activitat en dominis (Governance, Design, Implementation, Verification, Operations) i que puntua cada pràctica en nivells de maduresa 0–3. I has vist com BazarNube faria una autoavaluació honesta que, lluny d'alarmar, li dona un full de ruta clar.

Amb Top Ten, ASVS i SAMM, BazarNube té el què (riscos), el quant (requisits verificables) i el com de madur (processos). Però falta una cosa molt pràctica: una eina que ataqui activament l'aplicació per trobar les fallades que les taules no veuen. Els tres projectes anteriors són marcs i estàndards; ara toca una eina executable. A la lliçó 02-04 presentem OWASP ZAP, el proxy d'intercepció amb què BazarNube provarà la seva API en execució.