CAP-02 - Automatización en el Ciclo de Desarrollo del Software
Control de DevSecOps y automatización de seguridad
🎯 Objetivo del Control
Implementar automatización de controles de seguridad en el pipeline de CI/CD para garantizar validación continua sin comprometer la velocidad de entrega del desarrollo.
📋 Descripción
Este control establece la integración de seguridad automatizada en DevOps (DevSecOps):
- Escaneos automáticos de seguridad en CI/CD
- Gates de calidad y seguridad
- Retroalimentación rápida a desarrolladores
- Infraestructura como código (IaC) segura
🛡️ Controles Requeridos
Pipeline de CI (Continuous Integration)
- Pre-commit hooks:
- Detección de secretos
- Linting de código
- Análisis de dependencias
- Build automatizado con SAST
- Escaneo de contenedores
- Análisis de IaC (Terraform, CloudFormation)
Pipeline de CD (Continuous Deployment)
- DAST en ambientes de staging
- Pruebas de seguridad funcionales
- Validación de configuraciones
- Escaneo de infraestructura desplegada
Security Gates
- Umbral de severidad máximo (ej: 0 críticas, max 5 altas)
- Política de falla de build por vulnerabilidades
- Aprobaciones manuales para excepciones
- Validación de cumplimiento
Infraestructura como Código (IaC)
- Plantillas validadas de seguridad
- Análisis estático de IaC:
- Checkov
- tfsec
- Terrascan
- Versionado de configuraciones
- Revisión de cambios de infraestructura
Gestión de Secretos
- Secrets nunca en código fuente
- Uso de vaults (HashiCorp Vault, AWS Secrets Manager)
- Rotación automática de credenciales
- Inyección de secretos en runtime
📊 Métricas e Indicadores
- Tiempo de ejecución de pipeline de seguridad
- Tasa de falsos positivos en gates
- Porcentaje de builds fallidos por seguridad
- Tiempo de retroalimentación (issue → fix)
- Cobertura de automatización (% de controles)
🔗 Herramientas Recomendadas
- CI/CD: GitHub Actions, GitLab CI, Jenkins, Azure DevOps
- Secrets Detection: GitGuardian, TruffleHog, detect-secrets
- Container Security: Trivy, Clair, Anchore, Snyk Container
- IaC Security: Checkov, tfsec, Terrascan, Bridgecrew
- Orchestration: Kubernetes + OPA, Kyverno
- Secrets Management: HashiCorp Vault, AWS Secrets Manager, Azure Key Vault
📚 Referencias
- Política de Desarrollo Seguro
- Proceso de Control de Versiones
- Política de Gestión de Cambios
- Registro de Cambios Críticos en Producción
- NIST SP 800-204 - Security Strategies for Microservices
- OWASP DevSecOps Guideline
✅ Checklist de Implementación
- Pipeline CI/CD existente documentado
- Herramientas de seguridad seleccionadas
- Integración de SAST/DAST/SCA en pipeline
- Pre-commit hooks configurados
- Security gates definidos y aplicados
- Gestión de secretos implementada
- Análisis de IaC automatizado
- Dashboards de métricas configurados
- Proceso de excepciones documentado
- Capacitación a equipos de desarrollo
¿Te ha resultado útil esta página?
Última modificación: 24 de noviembre de 2025