Creación de una configuración de seguridad personalizada para su empresa

Acerca de custom security configurations

Con custom security configurations, puede crear colecciones de opciones de configuración de habilitación para los productos de seguridad de GitHub para satisfacer las necesidades de seguridad específicas de la empresa. Por ejemplo, puedes crear un custom security configuration para cada organización o grupo de organizaciones para reflejar sus requisitos de seguridad únicos y obligaciones de cumplimiento.

También puedes elegir si desea incluir o no las características de GitHub Code Security o GitHub Secret Protection en una configuración.

Si lo haces, ten en cuenta que estas características incurren en costos de uso (o requieren licencias de GitHub Advanced Security) cuando se aplican a repositorios privados e internos. Para más información, consulta Acerca de GitHub Advanced Security.

Creación de una configuración de Secret Protection and Code Security

1. Vaya a su empresa. Por ejemplo, desde la página Empresas en GitHub.com.
2. En la parte superior de la página, haz clic en Settings.
3. En la barra lateral izquierda, haz clic en Advanced Security.
4. En la sección "Security configurations", haz clic en Nueva configuración.
5. Para ayudar a identificar tu custom security configuration y clarificar su finalidad en la página "Security configurations", asigna un nombre a la configuración y crea una descripción.
6. Opcionalmente, habilita "Secret Protection", una característica de pago para repositorios privados e internos . Al habilitar Secret Protection se habilitan alertas para secret scanning. Además, puede elegir si desea habilitar, deshabilitar o mantener la configuración existente para las siguientes características de secret scanning: . * Comprobaciones de validez. Para más información sobre las comprobaciones de validez de los patrones de asociados, consulte Evaluación de alertas del análisis de secretos. * Metadatos extendidos. Para más información sobre las comprobaciones de metadatos extendidas, consulte Acerca de las comprobaciones de metadatos extendidas y Evaluación de alertas del análisis de secretos.

   Nota:

   Solo puede habilitar comprobaciones de metadatos extendidas si están habilitadas las comprobaciones de validez.

   •     **Patrones no relacionados con proveedores**. Para obtener más información sobre el examen de patrones que no son de proveedor, consulta [AUTOTITLE](/code-security/secret-scanning/introduction/supported-secret-scanning-patterns#non-provider-patterns) y [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/viewing-alerts).
     

   •     **Búsqueda de contraseñas genéricas**. Para obtener más información, consulta [AUTOTITLE](/code-security/secret-scanning/copilot-secret-scanning/responsible-ai-generic-secrets).
     

   •     **Protección contra el envío de cambios**. Para obtener más información sobre la protección de inserción, consulte [AUTOTITLE](/code-security/secret-scanning/introduction/about-push-protection).
     

   •     **Omisión de privilegios**. Al asignar privilegios de omisión, los miembros seleccionados del repositorio, la organización y la empresa pueden omitir la protección de inserción. Hay un proceso de revisión y aprobación para todos los demás colaboradores. Consulta [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/delegated-bypass-for-push-protection/about-delegated-bypass-for-push-protection).
     

   •     **Prevención de descarte directo de alertas**. Para obtener más información, consulta [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/enabling-delegated-alert-dismissal-for-secret-scanning).
     

7. Opcionalmente, habilita "Code Security", una característica de pago para repositorios privados e internos . Puedes elegir si quieres habilitar, deshabilitar o mantener la configuración existente para las siguientes características de code scanning: * Configuración predeterminada. Para más información sobre la configuración predeterminada, consulta Configuring default setup for code scanning.

•      **Tipo de ejecutor**. Si deseas dirigirte a ejecutores específicos para code scanning, puedes elegir usar ejecutores etiquetados personalizados en este paso. Consulta [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners).
  

* 

          **Prevención de descarte directo de alertas**. Para obtener más información, consulta [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).

1. Todavía en "Code Security", en la tabla "Análisis de dependencias", elige si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de análisis de dependencias: * Gráfico de dependencias. Para obtener información sobre el gráfico de dependencias, consulta Sobre el gráfico de dependencias.

   Sugerencia

   Cuando "Code Security" y el gráfico de dependencias están habilitados, esto habilita la revisión de dependencias, consulta Acerca de la revisión de dependencias.

   •      **Envío automático de dependencias**. Para obtener información sobre el envío automático de dependencias, consulta [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository).
     

   •      **Alertas de Dependabot**. Para más información sobre Dependabot, consulta [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts).
     

   •      **Actualizaciones de seguridad**. Para obtener información sobre las actualizaciones de seguridad, consulte [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates). 
     

   •      **Prevención de descarte directo de alertas**. Para más información, consulte [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal).
     

   •      **Malware alerts**. Para más información, consulte [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts).
     

2. En "Informes de vulnerabilidades privadas", elige si deseas habilitar, deshabilitar o mantener la configuración existente. Para obtener más información sobre los informes de vulnerabilidades privadas, consulte Configuración de informes de vulnerabilidades privadas para un repositorio.

3. Opcionalmente, en la sección "Directiva", puedes usar opciones adicionales para controlar cómo se aplica la configuración: * Usar como valor predeterminado para los repositorios recién creados. Selecciona el menú desplegable None y, después, haz clic en Public o en Private and internal, o en All repositories.

   Nota:

   La security configuration predeterminada para una organización solo se aplica automáticamente a los nuevos repositorios creados en tu organización. Si un repositorio se transfiere a su organización, deberá aplicar manualmente un security configuration adecuado al repositorio.

   •      **Aplicar la configuración**. Bloquearás a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración, pero las características que no están establecidas no se aplican. Selecciona **Aplicar** en el menú desplegable.
     

   Nota:

   Algunas situaciones pueden interrumpir la aplicación de security configurations. Consulta Cumplimiento de la configuración de seguridad.

4. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Creación de una configuración GitHub Advanced Security

1. Vaya a su empresa. Por ejemplo, desde la página Empresas en GitHub.com.
2. En la parte superior de la página, haz clic en Settings.
3. En la barra lateral izquierda, haz clic en Advanced Security.
4. En la sección superior, haga clic en Nueva configuración.
5. Para ayudar a identificar su custom security configuration y clarificar su finalidad en la página "Nueva configuración", asigne un nombre a la configuración y cree una descripción.
6. En la fila "Características de GitHub Advanced Security", elige si quieres incluir o excluir características de GitHub Advanced Security (GHAS).
7. En la tabla "Secret scanning", elija si desea habilitar, deshabilitar o mantener la configuración existente para las siguientes características de seguridad: * Comprobaciones de validez. Para obtener más información sobre las comprobaciones de validez de los patrones de asociados, consulta Evaluación de alertas del análisis de secretos * Patrones no relacionados con proveedores. Para obtener más información sobre el examen de patrones que no son de proveedor, consulta Patrones de análisis de secretos admitidos y Visualización y filtrado de alertas del análisis de secretos. * Búsqueda de contraseñas genéricas. Para obtener más información, consulta Detección responsable de secretos genéricos con el análisis de secretos de Copilot. * Protección contra el envío de cambios. Para obtener información sobre la protección de inserción, consulta Acerca de la protección de inserción. * Prevención de descarte directo de alertas. Para obtener más información, consulta Habilitación del descarte de alertas delegado para el análisis de secretos.
8. En la tabla "Code scanning", elija si desea habilitar, deshabilitar o mantener los ajustes existentes correspondientes a la configuración predeterminada de code scanning. * Configuración predeterminada. Consulta Configuring default setup for code scanning para obtener más información.

•      **Tipo de ejecutor**. Si deseas dirigirte a ejecutores específicos para code scanning, puedes elegir usar ejecutores etiquetados personalizados en este paso. Consulta [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners).
  

* 

          **Prevención de descarte directo de alertas**. Para obtener más información, consulta [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).

1. En la tabla "Análisis de dependencias", elija si desea habilitar, deshabilitar o mantener la configuración existente para las siguientes características de análisis de dependencias: * Gráfico de dependencias. Para obtener información sobre el gráfico de dependencias, consulta Sobre el gráfico de dependencias.

   Sugerencia

   Cuando "GitHub Advanced Security" y el gráfico de dependencias están habilitados, se habilita la revisión de dependencias, consulte Acerca de la revisión de dependencias.

   •      **Envío automático de dependencias**. Para obtener información sobre el envío automático de dependencias, consulta [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository).
     

   •      **Alertas de Dependabot**. Para más información sobre Dependabot, consulta [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts).
     

   •      **Actualizaciones de seguridad**. Para obtener información sobre las actualizaciones de seguridad, consulte [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates). 
     

   •      **Prevención de descarte directo de alertas**. Para más información, consulte [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal).
     

   •      **Malware alerts**. Para más información, consulte [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts).
     

2. En "Informes de vulnerabilidades privadas", elige si deseas habilitar, deshabilitar o mantener la configuración existente. Para obtener más información sobre los informes de vulnerabilidades privadas, consulte Configuración de informes de vulnerabilidades privadas para un repositorio.

3. Opcionalmente, en la sección "Directiva", puedes usar opciones adicionales para controlar cómo se aplica la configuración: * Usar como valor predeterminado para los repositorios recién creados. Selecciona el menú desplegable None y, después, haz clic en Public o en Private and internal, o en All repositories.

   Nota:

   La security configuration predeterminada para una organización solo se aplica automáticamente a los nuevos repositorios creados en tu organización. Si un repositorio se transfiere a su organización, deberá aplicar manualmente un security configuration adecuado al repositorio.

   •      **Aplicar la configuración**. Bloquearás a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración, pero las características que no están establecidas no se aplican. Selecciona **Aplicar** en el menú desplegable.
     

   Nota:

   Algunas situaciones pueden interrumpir la aplicación de security configurations. Consulta Cumplimiento de la configuración de seguridad.

4. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Pasos siguientes

Para configurar opcionalmente parámetros adicionales secret scanning para la empresa, consulte Configuración de opciones adicionales de análisis de secretos para la empresa.

Para aplicar su custom security configuration a los repositorios de su organización, consulte Aplicación de una configuración de seguridad personalizada.

Para obtener información sobre cómo editar tu custom security configuration, consulta Edición de una configuración de seguridad personalizada.