02Banana Defense · Plataforma propia
Viernes Defense: software GRC y SAST en una sola plataforma
Viernes Defense es el software GRC de Banana Script. Reúne riesgos, controles, cumplimiento e incidentes en un solo lugar, y revisa la seguridad de tu código antes de que llegue a producción.
Viernes Defense · del código al GRCSimulaciónSASTpagos-apiCambio #418 → main
- Código
- Dependencias
- Secretos
Archivos analizados 282
- CríticoConsulta SQL armada con datos del usuario.
- AltoClave de nube escrita en el código.
Política: cero críticos · paso a producción bloqueado
GRC
- Riesgo de seguridad digital · app de pagosAbierto
- A.8.28 Codificación seguraSin evidencia
- Avance ISO 2700171 %
El reto
Riesgos en hojas de cálculo, vulnerabilidades en producción
La matriz de riesgos vive en una hoja de cálculo, la evidencia de los controles en correos y carpetas, y cada auditoría empieza buscando documentos. Mientras tanto, las vulnerabilidades del código aparecen cuando la aplicación ya está en producción.
La solución
Un software GRC con la seguridad del código adentro
Viernes Defense tiene dos módulos sobre la misma base: GRC, para gobierno, riesgo y cumplimiento, y SAST, una herramienta de análisis estático que revisa el código fuente. Puedes contratar uno o los dos.
- 01
GRC en 15 módulos
Activos, riesgos, controles, cumplimiento, incidentes, continuidad, auditoría interna, terceros y políticas, con flujos que configuras sin programar.
- 02
Análisis de código
Revisa cada cambio, sus dependencias y los secretos expuestos, con reglas alineadas con OWASP Top 10 y CWE Top 25.
- 03
Del código al GRC
El análisis queda como evidencia del control de codificación segura, y un hallazgo crítico abre un riesgo con responsable.
- 04
Reportes para la dirección
Tableros por marco, área o empresa, que se exportan a PDF, Excel o CSV.
Qué hace
Lo que resuelves con Viernes Defense
- Un control, varios marcos
- Registras un control una vez y la plataforma lo relaciona con ISO/IEC 27001, NIST CSF 2.0, el MSPI de MinTIC y COBIT 2019.
- Evaluar y tratar riesgos
- Calificas riesgos con escalas que ajustas a tu metodología, incluida la del DAFP, y asignas planes de acción con responsable y fecha.
- Frenar lo crítico antes de producción
- Defines políticas que avisan o detienen el pipeline cuando aparece un hallazgo grave.
- Corregir desde el editor
- Las extensiones para Visual Studio Code e IntelliJ muestran el problema y la corrección sugerida mientras el equipo programa.
Cómo trabajamos
Cómo empiezas a usarlo
- 01
Demostración y alcance
Revisamos tus marcos, áreas y aplicaciones, y definimos qué módulos y empresas entran.
- 02
Configuración y migración
Configuramos la plataforma y cargamos tus matrices, inventarios y documentos actuales.
- 03
Integración
Conectamos tu directorio de usuarios y tus repositorios. El análisis de código corre en tu infraestructura.
- 04
Capacitación y operación
Formamos a administradores y equipos, y acompañamos la operación con soporte en español.
Dónde sirve
Para quién es
Entidades públicas en Colombia
Seguimiento del MSPI y riesgos con la metodología del DAFP, con la evidencia ordenada para auditorías.
Finanzas y seguros
Riesgos, terceros y continuidad del negocio sobre los mismos controles, con historial de cada cambio.
Empresas que desarrollan software
Seguridad del código en cada cambio y evidencia de desarrollo seguro para los clientes que la piden.
Grupos empresariales
Varias empresas en la misma plataforma, cada una con sus riesgos, controles y responsables.
Integraciones
Se conecta con lo que ya usas
Usa tu directorio de usuarios con inicio de sesión único y doble factor, y se integra con tus repositorios, pipelines y editores.
- Directorio Activo y LDAP
- SAML 2.0 y OpenID Connect
- GitLab, Bitbucket y Azure Repos
- Jenkins, GitLab CI y Azure DevOps
- Visual Studio Code e IntelliJ IDEA
- API REST y webhooks
Qué medimos
Lo que ves en los tableros
- Avance por marco: ISO/IEC 27001, NIST CSF 2.0 y MSPI
- Riesgos residuales y planes de acción vencidos
- Incidentes abiertos y su estado
- Hallazgos de código por severidad y su tendencia
- Tiempo medio de corrección de vulnerabilidades
Precio
Cómo se contrata
Por suscripción, en la nube que opera Banana Script. Si prefieres tus servidores, se instala en contenedores y se cotiza aparte. GRC y SAST se licencian por separado, y SAST se cobra por desarrollador activo. La propuesta define la implementación, la migración y la capacitación.
Preguntas
Preguntas frecuentes
¿Viernes Defense nos certifica en ISO 27001?
No. La plataforma organiza riesgos, controles y evidencia para la auditoría. La certificación la decide un organismo certificador acreditado.
¿Nuestro código sale de nuestra infraestructura?
No. El análisis corre en tus propios servidores de integración continua y Viernes Defense no guarda una copia completa de tu código.
¿Sirve para el MSPI de una entidad pública?
Sí. La biblioteca relaciona los controles de ISO/IEC 27001 con el MSPI de MinTIC y NIST CSF 2.0, e incluye la metodología de riesgos del DAFP.
¿El análisis de código reemplaza un pentesting?
No. SAST revisa el código antes de publicarlo; el pentesting prueba la aplicación en funcionamiento, con autorización. Se complementan.
¿Tengo que usar Viernes Defense si trabajo con Banana Defense?
No. Trabajamos con las herramientas que ya usas. Si te proponemos Viernes Defense, te decimos antes que es un producto nuestro, como indica nuestra política de independencia.
Servicios relacionados
Otros servicios que se conectan con este
ISO 27001
Revisamos alcance, riesgos, controles y documentación del sistema de gestión de seguridad de la información.
Ver el servicioPentesting en Colombia
Pruebas autorizadas de aplicaciones web, APIs y nube, con integradores especializados según el alcance.
Ver el servicioSeguridad de IA
Probamos instrucciones maliciosas, exposición de datos y permisos en chatbots, agentes, copilotos y aplicaciones con RAG.
Ver el servicio
Agenda una demostración
Cuéntanos qué marcos aplicas, qué aplicaciones desarrollas y dónde llevas hoy tus riesgos. Con eso preparamos una demostración enfocada en lo que necesitas.