Creación de una configuración de seguridad personalizada para tu empresa

Acerca de custom security configurations

Con custom security configurations, puedes crear colecciones de opciones de configuración de habilitación para los productos de seguridad de GitHub para satisfacer las necesidades de seguridad específicas de la empresa. Por ejemplo, puedes crear un custom security configuration para cada organización o grupo de organizaciones para reflejar sus requisitos de seguridad únicos y obligaciones de cumplimiento.

Al crear una configuración de seguridad, ten en cuenta que:

• Solo aparecerán en la interfaz de usuario las características instaladas por un administrador de sitio en la instancia de GitHub Enterprise Server.
• Las funciones de GitHub Advanced Security solo serán visibles si tu instancia de empresa o GitHub Enterprise Server posee una licencia de GitHub Advanced Security.
• Algunas características, como Dependabot security updates y la configuración predeterminada de code scanning, también requieren que GitHub Actions esté instalado en la instancia de GitHub Enterprise Server.

Cómo crear una custom security configuration

1. En la esquina superior derecha de , haz clic en la foto de perfil y luego en Configuración de empresa.

   

2. En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.

3. En la barra lateral izquierda, haz clic en Seguridad de código.

4. En la sección "Configuraciones", haz clic en Nueva configuración.

5. Para ayudar a identificar tu custom security configuration y clarificar tu finalidad en la página "Código security configurations", asigna un nombre a la configuración y crea una descripción.

6. En la fila "Características de GitHub Advanced Security", elija si quiere incluir o excluir características de GitHub Advanced Security (GHAS). Si tiene previsto aplicar una custom security configuration con características de GHAS a repositorios privados, debe contar con licencias de GHAS disponibles para cada confirmador único activo en esos repositorios o las características no se habilitarán. Consulta Acerca de la facturación de GitHub Advanced Security.

7. En la sección "Gráfico de dependencias y Dependabot" de la tabla de configuración de seguridad, elige si quieres habilitar, deshabilitar o mantener la configuración existente para las siguientes características de seguridad:

   • Dependabot alerts. Para más información sobre Dependabot, consulta Acerca de las alertas Dependabot.

   Note

   Evaluación de prioridades automática de Dependabot no están disponibles para establecerse en el nivel empresarial. Si se aplica una configuración de seguridad a nivel de empresa a un repositorio, todavía puedes tener Evaluación de prioridades automática de Dependabot habilitado, pero no puedes deshabilitar estas reglas a nivel de empresa.

   • Actualizaciones de seguridad. Para obtener información sobre las actualizaciones de seguridad, consulta Sobre las actualizaciones de seguridad de Dependabot.

   Note

   No se puede cambiar manualmente la configuración de habilitación del grafo de dependencias. El administrador del sitio instala y administra este valor a nivel de instancia.

8. En la sección "Code scanning" de la tabla de configuración de seguridad, elija si desea habilitar, deshabilitar o mantener los ajustes existentes correspondientes a la configuración predeterminada de code scanning. Para obtener información sobre la configuración predeterminada, consulta Establecimiento de la configuración predeterminada para el examen del código.

9. En la sección "Secret scanning" de la tabla de configuración de seguridad, elija si desea habilitar, deshabilitar o mantener la configuración existente para las siguientes características de seguridad:

   • Alertas. Para obtener información sobre alertas de examen de secretos, consulta Acerca del examen de secretos.
   • Patrones que no son de proveedor. Para más información sobre la detección de patrones que no son de proveedores, consulta Patrones de examen de secretos admitidos y Visualización y filtrado de alertas de análisis de secretos.
   • Protección contra el envío de cambios. Para obtener más información sobre la protección de inserción, consulta Acerca de la protección de inserción.

10. Opcionalmente, en la sección “Directiva”, puede optar por aplicar automáticamente el security configuration a los repositorios recién creados en función de su visibilidad. Selecciona el menú desplegable None y, a continuación, haz clic en Public, or Private and internal o All repositories.

11. Opcionalmente, en la sección "Directiva", puede aplicar la configuración y bloquear a los propietarios del repositorio para que no puedan cambiar las características habilitadas o inhabilitadas por la configuración (las características que no están establecidas no se aplican). Junto a "Aplicar configuración", seleccione Aplicar en el menú desplegable.

    Note

    Si un usuario de la empresa intenta cambiar el estado de habilitación de una característica en una configuración aplicada mediante la API de REST, la llamada a la API aparecerá correctamente, pero no cambiarán los estados de habilitación.

    Algunas situaciones pueden interrumpir la aplicación de security configurations para un repositorio. Por ejemplo, la habilitación de code scanning no se aplicará a un repositorio si:

    • GitHub Actions está habilitado inicialmente en el repositorio, pero luego se deshabilita en el repositorio.
    • Los GitHub Actions requeridos por code scanning no están disponibles en el repositorio.
    • Los ejecutores autohospedados con la etiqueta code-scanning no están disponibles.
    • Se cambia la definición para la que no se deben analizar los idiomas mediante la configuración predeterminada code scanning.

12. Para terminar de crear su custom security configuration, haga clic en Guardar configuración.

Pasos siguientes

Para configurar opcionalmente parámetros adicionales secret scanning para la empresa, consulta Configuración de opciones adicionales de examen de secretos para tu empresa.

Para aplicar su custom security configuration a los repositorios de su organización, consulta Aplicación de una configuración de seguridad personalizada.

Para obtener información sobre cómo editar tu custom security configuration, consulta Edición de una configuración de seguridad personalizada.