Creación de una configuración de seguridad personalizada para tu empresa

Crea una custom security configuration para satisfacer las necesidades de seguridad específicas de tu empresa.

¿Quién puede utilizar esta característica?

Propietarios y miembros de la empresa con el rol de administrador

En este artículo

Acerca de custom security configurations

Se recomienda proteger la empresa con la GitHub-recommended security configuration y después evaluar los resultados de seguridad en los repositorios antes de configurar custom security configurations. Para más información, consulta Aplicación de la configuración de seguridad recomendada por GitHub en tu empresa.

Con custom security configurations, puedes crear colecciones de opciones de configuración de habilitación para los productos de seguridad de GitHub para satisfacer las necesidades de seguridad específicas de la empresa. Por ejemplo, puedes crear un custom security configuration para cada organización o grupo de organizaciones para reflejar sus requisitos de seguridad únicos y obligaciones de cumplimiento.

También puedes elegir si desea incluir o no las características de GitHub Code Security o GitHub Secret Protection en una configuración.

Si lo haces, ten en cuenta que estas características incurren en costos de uso (o requieren licencias de GitHub Advanced Security) cuando se aplican a repositorios privados e internos. Para más información, consulta Acerca de GitHub Advanced Security.

Cómo crear una custom security configuration

Note

El estado de habilitación de algunas características de seguridad depende de otras características de seguridad de nivel superior. Por ejemplo, al desactivar el gráfico de dependencias también se desactivará el envío automático de dependencias, Dependabot alerts, el análisis de exposición a vulnerabilidades y las actualizaciones de seguridad.

  1. En la esquina superior derecha de GitHub, haz clic en la fotografía del perfil.

  2. En función de tu entorno, haz clic en Your enterpriseo en Your enterprises y, a continuación, haz clic en la empresa que deseas ver.

  3. En la parte superior de la página, haga clic en Settings.

  4. En la barra lateral izquierda, haz clic en Advanced Security.

  5. En la sección "Configuraciones", haz clic en Nueva configuración.

  6. Para ayudar a identificar tu custom security configuration y clarificar tu finalidad en la página "Código security configurations", asigna un nombre a la configuración y crea una descripción.

  7. Opcionalmente, habilita "Secret Protection", una característica de pago para repositorios privados e internos . Al habilitar Secret Protection se habilitan alertas para secret scanning. Además, puedes elegir si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de secret scanning:

  8. Opcionalmente, habilita "Code Security", una característica de pago para repositorios privados e internos. Puedes elegir si quieres habilitar, deshabilitar o mantener la configuración existente para las siguientes características de code scanning:

  9. Todavía en "Code Security", en la tabla "Análisis de dependencias", elige si deseas habilitar, deshabilitar o mantener la configuración existente para las siguientes características de análisis de dependencias:

  10. En "Informes de vulnerabilidades privadas", elige si deseas habilitar, deshabilitar o mantener la configuración existente. Para obtener más información sobre los informes de vulnerabilidades privadas, consulta Configuración de informes de vulnerabilidades privadas para un repositorio.

  11. Opcionalmente, en la sección "Directiva", puedes usar opciones adicionales para controlar cómo se aplica la configuración:

    • Usar como valor predeterminado para los repositorios recién creados. Selecciona el menú desplegable None y, a continuación, haz clic en Public, Private and internal o All repositories.

    • Aplicar la configuración. Bloquearás a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración, pero las características que no están establecidas no se aplican. Selecciona Aplicar en el menú desplegable.

      Note

      La security configuration predeterminada para una organización solo se aplica automáticamente a los nuevos repositorios creados en tu organización. Si un repositorio se transfiere a su organización, deberá aplicar manualmente un security configuration adecuado al repositorio.

  12. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Note

Si un usuario de la empresa intenta cambiar el estado de habilitación de una característica en una configuración aplicada mediante la API de REST, la llamada a la API aparecerá correctamente, pero no cambiarán los estados de habilitación.

Algunas situaciones pueden interrumpir la aplicación de security configurations para un repositorio. Por ejemplo, la habilitación de code scanning no se aplicará a un repositorio si:

  • GitHub Actions está habilitado inicialmente en el repositorio, pero luego se deshabilita en el repositorio.
  • Los GitHub Actions requeridos por code scanning no están disponibles en el repositorio.
  • Se cambia la definición para la que no se deben analizar los idiomas mediante la configuración predeterminada code scanning.

Pasos siguientes

Para configurar opcionalmente parámetros adicionales secret scanning para la empresa, consulta Configuración de opciones adicionales de examen de secretos para tu empresa.

Para aplicar su custom security configuration a los repositorios de su organización, consulta Aplicación de una configuración de seguridad personalizada.

Para obtener información sobre cómo editar tu custom security configuration, consulta Edición de una configuración de seguridad personalizada.