1Control de accesos
Que un usuario no pueda consultar información de otros usuarios sin autorización.
En Citizen: cada app nace con sus roles y permisos (quién crea, aprueba o sólo consulta), propuestos por Citizen y validados por ti.
OWASP Top 10
¿Qué se comprueba en un OWASP Check? Y qué hace Citizen.
La referencia habitual es el OWASP Top 10 (top10.owasp.org), cuya versión más reciente es la de 2025. Estas son las comprobaciones que se revisan en cada app de Citizen antes de producción, y lo que la base de Citizen ya aporta en cada una.
2Inyección SQL
Evitar que alguien manipule las consultas a la base de datos.
En Citizen: todas las apps usan SQL Server con un modelo relacional que revisas en el plan, y los bots tienen bloqueado el SQL destructivo.
3Autenticación
Contraseñas, sesiones, tokens y mecanismos de inicio de sesión.
En Citizen: la opción recomendada es iniciar sesión con la cuenta corporativa de Microsoft (Entra ID), sin contraseñas nuevas.
4Seguridad de las API
Permisos y protección de los endpoints.
En Citizen: stack común (React + Node o el que prefiera tu empresa) en Azure App Service, con las mismas reglas para todas las apps y las autorizaciones definidas en el plan.
5Configuración de servidores
Detectar configuraciones inseguras.
En Citizen: despliegue en tu Azure con una configuración común; Test y PROD separados, cada uno con su propia base de datos.
6Cifrado de datos
Proteger la información sensible.
En Citizen: credenciales y secretos en un vault cifrado por proyecto, nunca en el código ni en el chat.
7Dependencias vulnerables
Librerías y componentes con fallos de seguridad conocidos.
En Citizen: el código de cada app está en un repositorio GitHub de tu empresa, versionado y auditable, listo para revisarlo.
8Registro de eventos
Detectar y registrar actividades sospechosas.
En Citizen: trazabilidad de lo que hace el agente: progreso en Teams, dossier con responsables y control de versiones en GitHub, con el historial de cada cambio.
El proceso
¿Cómo se realiza un OWASP Check?
En Citizen ocurre entre Test y Producción: la app no pasa a PROD sin su OWASP Check.
Se combinan pruebas automáticas, con herramientas como ZAP (Zed Attack Proxy), y revisión manual, en seis pasos.
Analizar
La aplicación y sus API.
Probar
Pruebas automáticas de seguridad, por ejemplo con ZAP (Zed Attack Proxy).
Revisar
Revisión manual de los resultados y de los controles de acceso.
Clasificar
Las vulnerabilidades, por gravedad.
Corregir
Los problemas encontrados.
Informar
Un informe y nueva ronda de pruebas para comprobar las correcciones.
El informe
Cada app, con su informe OWASP Check.
Antes de que una app de Citizen llegue a producción, recibes el informe de su OWASP Check: la prueba de que ha pasado una revisión de seguridad. Incluye:
- 1Las vulnerabilidades detectadasQué se ha encontrado y dónde.
- 2Su nivel de riesgoClasificadas por gravedad.
- 3Las correcciones realizadasQué se ha cambiado para resolverlas.
- 4El resultado de las pruebas posterioresLa comprobación de que las correcciones funcionan.
Por qué es más fácil con Citizen
- Todas las apps comparten stack, reglas y estructura: lo que se revisa y se corrige en una sirve para todas.
- El código de cada app está en un repositorio GitHub de tu empresa, con control de versiones: se puede analizar, corregir y volver a probar.
- Test y PROD están separados, cada uno con su base de datos: las pruebas de seguridad no tocan los datos reales.
- Las lecciones de despliegue quedan documentadas: cada error corregido no se repite en las siguientes entregas.
Importante
Pasar un OWASP Check no equivale a obtener una certificación oficial de OWASP ni garantiza que una aplicación esté libre de vulnerabilidades. Demuestra que ha pasado una revisión de seguridad.
Un OWASP Check es una revisión de seguridad de una aplicación web, API o software para detectar vulnerabilidades que podrían permitir ataques informáticos, accesos no autorizados o robos de información. Toma como referencia el trabajo de OWASP (Open Worldwide Application Security Project), una organización de referencia internacional en seguridad de aplicaciones.
Es la lista de referencia de OWASP con los riesgos de seguridad más importantes en aplicaciones web, que se usa como guía en un OWASP Check. Su versión más reciente es la de 2025 y se publica en top10.owasp.org. Entre las comprobaciones habituales están el control de accesos, la inyección SQL, la autenticación, la seguridad de las API, la configuración de servidores, el cifrado de datos, las dependencias vulnerables y el registro de eventos.
No. Pasar un OWASP Check no equivale a obtener una certificación oficial de OWASP ni garantiza que una aplicación esté libre de vulnerabilidades. Demuestra que el software ha pasado una revisión de seguridad, y lo habitual es documentarlo con un informe: vulnerabilidades detectadas, su nivel de riesgo, las correcciones realizadas y el resultado de las pruebas posteriores.
Sí. Cada aplicación que construye Citizen pasa un OWASP Check antes de llegar a producción, tomando como referencia el OWASP Top 10. Recibes el informe con las vulnerabilidades detectadas, su nivel de riesgo, las correcciones realizadas y el resultado de las pruebas posteriores.
Además de pasar un OWASP Check antes de PROD, Citizen construye todas las apps sobre la misma base y con las mismas reglas, lo que cubre por diseño varios puntos del OWASP Top 10: roles y permisos por app, inicio de sesión con la cuenta corporativa de Microsoft, SQL destructivo bloqueado para los bots, secretos en un vault cifrado por proyecto, Test y PROD separados y el código en un repositorio GitHub de tu empresa, listo para revisarlo.
Shadow AI · Citizen
Saca la IA de la sombra. Ponla a trabajar con tus reglas.
Te enseñamos Citizen funcionando con un caso real de tu empresa, o con tu propio Excel. Implantación en una semana; sólo necesitas Microsoft Teams.