A software modelo de desarrollo y pruebas de seguridad en el que un equipo construye el software, un segundo equipo intenta romperlo (encontrar vulnerabilidades) y el equipo original las corrige.
- Metodologías: Ergonomía
Construirlo Romperlo Arreglarlo

Construirlo Romperlo Arreglarlo
- Emulación del adversario, Metodología ágil, Mejora continua, Ciberseguridad, Seguro de calidad, Control de calidad, Gestión de riesgos, Pruebas de software
Objetivo:
Cómo se utiliza:
- Este modelo se utiliza a menudo en concursos de seguridad o revisiones internas de seguridad para probar rigurosamente las defensas de un sistema simulando ataques de un equipo dedicado a "romperlo".
Ventajas
- Promueve una cultura de desarrollo consciente de la seguridad, identifica eficazmente las vulnerabilidades mediante un enfoque adversario específico y proporciona una prueba realista de la resistencia del sistema.
Contras
- Puede requerir muchos recursos y tiempo, puede crear una relación de enfrentamiento entre los equipos y se centra más en la seguridad que en los fallos generales de funcionalidad.
Categorías:
- Ingeniería, Calidad, Gestión de riesgos
Ideal para:
- Comprobación rigurosa de la seguridad del software mediante equipos dedicados a construir y atacar el sistema.
La metodología Build It Break It Fix It se aplica ampliamente en diversos sectores, como las tecnologías de la información, las telecomunicaciones y los servicios financieros, en particular durante las fases de diseño y desarrollo de sistemas de software e infraestructuras. Este enfoque puede ser iniciado por equipos de seguridad internos, consultores de seguridad independientes o incluso programas externos de recompensas por fallos que fomentan la participación de hackers éticos e investigadores de seguridad. Los participantes suelen ser desarrolladores de software, analistas de seguridad y arquitectos de sistemas que colaboran en la construcción del sistema y, al mismo tiempo, forman un equipo dedicado a "romperlo" encargado de lanzar ataques simulados para descubrir vulnerabilidades. Esta metodología resulta beneficiosa en entornos en los que se requiere una protección de datos de alto riesgo, como ocurre en sectores como la sanidad y el comercio electrónico, donde las violaciones de datos pueden tener graves consecuencias. Durante el ciclo de vida del proyecto, los ciclos iterativos de construcción, prueba mediante ataques y posterior corrección de las vulnerabilidades detectadas favorecen la mejora continua y refuerzan una postura de seguridad proactiva. Este enfoque iterativo también mejora la comunicación entre los miembros del equipo, ya que los desarrolladores reciben información directa de los probadores, lo que fomenta una cultura de prácticas de codificación seguras. La realización periódica de estos ejercicios garantiza que las medidas de seguridad evolucionen a la par que las amenazas emergentes, lo que refuerza los sistemas frente a posibles ataques.
Pasos clave de esta metodología
- Diseñar e implantar el producto de software con las mejores prácticas de seguridad integradas en el proceso.
- Formular un plan de ataque que incluya varios modelos de amenaza y vectores de ataque.
- Ejecutar ataques simulados contra el sistema utilizando los escenarios predefinidos.
- Documentar cada vulnerabilidad descubierta durante la fase de ataque para su análisis.
- Priorizar las vulnerabilidades en función de la gravedad y el impacto potencial en el sistema.
- Desarrollar y aplicar correcciones para las vulnerabilidades y debilidades identificadas.
- Vuelva a probar el sistema después de la corrección para asegurarse de que las vulnerabilidades se han solucionado eficazmente.
- Repita el ciclo de creación, interrupción y corrección según sea necesario para mejorar la seguridad de forma continua.
Consejos profesionales
- Llevar a cabo revisiones posteriores a los ataques para perfeccionar tanto las estrategias de construcción como las de ruptura, garantizando que las lecciones de cada prueba se integren en el proceso de desarrollo.
- Utilice herramientas automatizadas junto con pruebas manuales para una cobertura completa, identificando posibles vulnerabilidades de forma más eficaz y coherente.
- Rote periódicamente los papeles del equipo entre constructores y rompedores para mejorar la empatía y la comprensión de cada perspectiva, lo que dará lugar a decisiones de diseño más sólidas.
Leer y comparar varias metodologías, recomendamos el
> Amplio repositorio de metodologías <
junto con otras más de 400 metodologías.
Sus comentarios sobre esta metodología o información adicional son bienvenidos en la dirección sección de comentarios ↓ , así como cualquier idea o enlace relacionado con la ingeniería.
Contexto histórico
1992
1996
1998
2000
2000
2003
2013-09-24
1992
1994
1997
1999-05-01
2000
2002
2013
(si se desconoce la fecha o no es relevante, por ejemplo "mecánica de fluidos", se ofrece una estimación redondeada de su notable aparición)
Publicaciones relacionadas
Gestión de operaciones de fabricación (MOM)
Sistema de Ejecución de Fabricación (MES)
Plan de control de la fabricación
Pruebas manuales
Tablas de evaluación de la manipulación manual (MAC)
ManTRA (Herramienta de evaluación de riesgos en las tareas manuales)