DevSecOps.

DevSecOps amplía DevOps al tratar la seguridad como una responsabilidad compartida entre desarrollo, seguridad y operaciones, en lugar de como un control final. Automatiza los controles de seguridad dentro de los pipelines de CI/CD —SAST, SCA, detección de secretos, análisis de contenedores, análisis de IaC, DAST y policy-as-code— para que los problemas afloren donde los desarrolladores ya trabajan. Combina la automatización con el cambio cultural: champions de seguridad, retrospectivas sin culpas, KPIs de seguridad en los cuadros de mando y herramientas de autoservicio.

La disciplina cobró urgencia tras los ataques a la cadena de suministro de software. En 2020, el compromiso SolarWinds SUNBURST insertó una puerta trasera en el propio proceso de compilación, y en 2021 la brecha del Bash Uploader de Codecov filtró secretos de miles de pipelines, demostrando que el pipeline forma ahora parte de la superficie de ataque. En respuesta, la Executive Order 14028 de EE. UU. (mayo de 2021) exigió SBOM y atestaciones de desarrollo seguro para el software federal, y marcos como SLSA (Supply-chain Levels for Software Artifacts) y NIST SSDF (SP 800-218) codificaron la procedencia, los artefactos firmados y los entornos de compilación endurecidos.

Bien aplicado, DevSecOps acorta el tiempo medio de remediación, reduce la tasa de fuga de vulnerabilidades a producción y disminuye la fricción de cumplimiento, todo ello manteniendo una alta frecuencia de despliegue. La disciplina clave es hacer fallar las compilaciones ante hallazgos de alta gravedad sin ahogar a los desarrolladores en falsos positivos.

flowchart LR
  A[Código / commit] --> B[Pre-commit<br/>escaneo de secretos · lint]
  B --> C[Compilar y probar<br/>SAST · SCA · escaneo de IaC]
  C --> D[Empaquetar<br/>escaneo de contenedor · firmar artefacto · SBOM]
  D --> E{Control de políticas<br/>OPA · SLSA}
  E -->|Fallo de alta gravedad| A
  E -->|Aprobado| F[Desplegar]
  F --> G[Runtime<br/>DAST · monitorización · feedback]
  G --> A