El éxito de DevSecOps no se trata solo de herramientas.

DevSecOps (Development, Security, and Operations) propone una filosofía y metodología que combina desarrollo, operaciones y seguridad desde las primeras etapas, permitiendo a las organizaciones ser ágiles y seguras a la vez.

Este documento prentende echar un poco de luz sobre los siguientes temas:

1. ¿Cuál es el desafio al implementar DevSecOps?

2. Cambiar la cultura más allá de la tecnología

3. ¿Por dónde comenzar a implentar DevSecOps?

4. Conclusión: La Evolución DevSecOps en Acción

Nota: Cada punto de este documento fue desarrollado en base mi experiencia de años en el tema, en diferentes clientes en donde me ha tocado implantarlo y al mismo tiempo lo he alimentado de contenido teórico en base a los cursos, bootcamps y semirarios sobre devsecops a los que he asistido.

Pienso continuar agregando información en las próximas entregas.

---

1. ¿Cuál es el desafio al implementar DevSecOps?

En experiencias recientes, he notado que uno de los desafíos más grandes al implementar DevSecOps no tiene que ver con la tecnología, sino con la cultura organizacional y la disposición de los equipos para adaptarse a los cambios que este enfoque propone. Aunque los managers suelen centrarse en la estrategia general, como ingeniero DevSecOps podemos marcar una diferencia clave si entendemos y abordamos estas barreras culturales. Esta perspectiva puede convertir nuestro conocimiento técnico en una herramienta aún más valiosa para liderar la transición.

El éxito de DevSecOps no pasa solamente por diseñar pipelines perfectos o usar herramientas avanzadas; depende de lograr que las personas trabajen juntas para implementarlas de manera efectiva. Como ingenieros DevSecOps, nuestro valor no radica únicamente en nuestras habilidades técnicas, sino también en nuestra capacidad para liderar la integración cultural y colaborar con los equipos para lograr un cambio real.

DevSecOps no es solo un conjunto de prácticas; es una filosofía que transforma cómo las organizaciones desarrollan, operan y aseguran su software. Y vos podés ser el motor que impulse este cambio.

---

2. Cambiar la cultura más allá de la técnología

La implementación de DevSecOps no es solo una cuestión técnica; también implica un cambio cultural profundo en la organización.

A continuación algúnos puntos importantes a tener en cuenta:

2.1 El problema de la desconexión cultural

No importa cuán sofisticadas sean las herramientas o los pipelines que tenga una organización, si los equipos de Seguridad y Cumplimiento, Desarrollo de Software y Operaciones IT no colaboran, DevSecOps simplemente no va a funcionar.

Los problemas/desconexión surgen cuando:

• Los desarrolladores creen que su única responsabilidad es escribir código, dejando la seguridad a otros
  

• Los equipos de operaciones y seguridad trabajan de manera aislada, con poca comunicación y sin compartir objetivos claros
  

• No hay un sentido de responsabilidad compartida, y cada área se concentra únicamente en su rol, sin mirar el panorama general.

Cuando pasa esto, los procesos no funcionan, las herramientas no se utilizan al máximo y los proyectos suelen ir mal, no porque falte tecnología, sino porque falta alineación y colaboración entre los equipos.

2.2 DevSecOps: Un rol estratégico y de liderazgo

El éxito de DevSecOps no pasa solamente por las herramientas. Tiene que ver con cómo trabajan las personas para implementar esas herramientas. Y ahí es donde el rol como ingeniero DevSecOps se vuelve esencial: no es solo el arquitecto técnico que diseña el flujo de trabajo, sino también es el orquestador que conecta a los equipos de desarrollo, operaciones y seguridad.

Un ingeniero DevSecOps exitoso:

1. Impulsa la colaboración interdisciplinaria: Trabaja para cerrar las brechas entre equipos, promoviendo la transparencia, comunicación efectiva y entendimiento mutuo.

2. Educa y lidera con el ejemplo: Mostrá cómo las prácticas de seguridad integradas pueden ser rápidas y efectivas, ayudando a derribar la idea de que la seguridad siempre ralentiza los procesos. De esta forma la seguridad forma parte del proceso diario y no algo que se realiza al final del proyecto.

3. Fomenta la responsabilidad compartida: Creá una cultura en la que todos los equipos entiendan que la seguridad no es un área separada, sino una prioridad que atraviesa todas las etapas del desarrollo.

---

3. ¿Por dónde comenzar a implementar DevSecOps?

La implementación de DevSecOps es un proceso gradual. No se trata de forzar cambios radicales, sino de integrar la seguridad como una práctica natural que se alinea con los flujos de trabajo existentes. Con un enfoque incremental y colaborativo, podés construir confianza entre los equipos, mejorar la seguridad y mantener la productividad. Como ingeniero DevSecOps, tenés la oportunidad de ser no solo un experto técnico, sino también un líder y mentor que guía a la organización hacia un futuro más seguro y ágil.

Imaginemos el día uno: Tenés tres equipos con roles claramente definidos pero aislados (desarrollo, operaciones y seguridad). Todos están listos para adoptar DevSecOps, pero siguen manejando sus responsabilidades habituales:

• Desarrolladores: Están bajo presión con deadlines ajustados, lanzando nuevas funcionalidades y haciendo commit de código varias veces al día.

• Operaciones: Están ocupados migrando la aplicación a Kubernetes y asegurando que no haya interrupciones en los servicios.

• Seguridad: Están lidiando con nuevos requisitos de cumplimiento y aprendiendo a analizar diferentes partes del sistema.

Ahora, agregás herramientas de análisis de seguridad al pipeline de CI/CD y, de repente, empezás a encontrar problemas críticos:

• Dependencias vulnerables

• Secretos incrustados en el código y otras fallas graves.
  

Esto hace que los pipelines dejen de funcionar, porque el código no pasa las validaciones. Los desarrolladores, frustrados, ven cómo se acumulan los cambios sin llegar al entorno de pruebas, lo que paraliza el proceso de desarrollo.

Aunque estas fallas son reales y urgentes (como claves API expuestas), implementar cambios drásticos desde el primer día puede ser contraproducente.

Entonces, ¿Cómo podemos empezar sin alienar a los equipos ni interrumpir sus flujos de trabajo?

3.1 Un enfoque incremental para la implementación

En lugar de forzar cambios disruptivos, la clave está en integrar DevSecOps de manera gradual y no intrusiva, convirtiendo la seguridad en algo natural dentro de los flujos de trabajo.

1. Empezar con tareas fuera del pipeline principal

Por ejemplo, podés comenzar con el escaneo de imágenes Docker en el repositorio. Estas herramientas analizan las capas de las imágenes, incluyendo dependencias y código, y entregan resultados de seguridad sin afectar directamente los pipelines de CI/CD.

A partir de esos resultados:

• Identificá problemas críticos de alta prioridad (como vulnerabilidades severas).

• Trabajá con los equipos para planificar la corrección de estos problemas en sprints futuros, priorizando aquellas soluciones rápidas con gran impacto.

Esto permite a los equipos abordar problemas críticos sin detener su flujo de trabajo ni desmotivar a los desarrolladores.

2. Integrar escaneos específicos en el pipeline

Un buen punto de partida puede ser agregar un escaneo para detectar secretos en el código. Este es un problema crítico pero fácil de solucionar, eliminando las credenciales expuestas y rotando las claves comprometidas. Esta corrección rápida no solo mejora la seguridad, sino que también educa a los equipos sobre la importancia de no exponer secretos en repositorios de código.

• Configurá la herramienta para que falle solo ante problemas graves.

• Usá estos ejemplos para enseñar a los desarrolladores y fomentar una conciencia proactiva sobre la seguridad.

3. Capacitación y mentoría

Como ingeniero DevSecOps, uno de tus roles más importantes es actuar como guía y mentor. Muchas de estas herramientas y conceptos son nuevos para los equipos:

• Explicales cómo usar herramientas de escaneo de código y dependencias.

• Enseñales a interpretar resultados, como CVEs (Common Vulnerabilities and Exposures) y CWEs (Common Weakness Enumerations).

• Mostrá cómo gestionar vulnerabilidades de forma práctica, utilizando herramientas como DefectDojo para priorizar y resolver problemas.

Esta transferencia de conocimiento no solo empodera a los equipos, sino que crea una base sólida para la adopción de DevSecOps.

4. Medir las mejoras

Es fundamental medir las mejoras logradas durante la implementación de DevSecOps para demostrar su valor a la organización y ajustar el enfoque según sea necesario.

Aquí te dejamos algunas métricas clave que podés utilizar:

• Tiempo de detección y corrección de vulnerabilidades: ¿Cuánto tiempo pasa desde que se detecta una falla hasta que se soluciona? Una reducción en este tiempo es un indicador de éxito.

• Cantidad de vulnerabilidades críticas corregidas por sprint: Medir cuántos problemas graves se solucionan en cada ciclo ayuda a mostrar el impacto directo en la seguridad.

• Tasa de éxito de los pipelines: A medida que los equipos se adaptan, el porcentaje de ejecuciones de pipelines exitosas debería aumentar.

• Adopción de herramientas y prácticas: Podés rastrear qué porcentaje de desarrolladores o equipos han comenzado a usar las herramientas de DevSecOps o han integrado prácticas seguras en su flujo de trabajo.

• Número de incidentes de seguridad en producción: Una reducción en problemas detectados en producción muestra que las prácticas preventivas están funcionando.

Estas métricas no solo validan el esfuerzo invertido, sino que también fomentan la confianza de los equipos y stakeholders en el enfoque DevSecOps.

3.2 Optimización del trabajo con el equipo de operaciones

El equipo de operaciones también necesita aprender las mejores prácticas de seguridad relacionadas con la infraestructura y los sistemas.

Como DevOps, podés ayudarlos a:

• Implementar automatizaciones que sirvan como “guardrails” en lugar de procesos manuales. Por ejemplo, podés configurar Terraform para que los cambios en la infraestructura sean gestionados de manera colaborativa y segura.

• Mejorar la gestión de accesos y permisos en herramientas como AWS o Kubernetes, asegurando que las configuraciones sean seguras desde el principio.

La idea es enseñar mientras se optimizan procesos, creando una base robusta y eficiente para futuras implementaciones.

---

4. Conclusión: La Evolución DevSecOps en Acción

Adoptar DevSecOps no es solo un cambio técnico, es una transformación organizacional profunda que redefine cómo se desarrollan, operan y aseguran los sistemas. Su éxito no depende exclusivamente de las herramientas utilizadas, sino de cómo las personas, los procesos y las tecnologías trabajan juntos para lograr un objetivo común: entregar software ágil y seguro.

Los pilares de la transformación

1. Cambio cultural: DevSecOps requiere romper silos entre los equipos de desarrollo, operaciones y seguridad, fomentando la colaboración y la responsabilidad compartida. El verdadero impacto de esta metodología se ve cuando todos los involucrados entienden que la seguridad es una parte integral de su trabajo diario y no una carga adicional.

2. Implementación gradual: Como vimos en el punto 3, no se trata de imponer cambios disruptivos, sino de introducir mejoras incrementales. Desde escaneos automatizados hasta la capacitación en mejores prácticas, cada paso ayuda a construir una base más sólida para la seguridad.

3. Educación y liderazgo: Los ingenieros DevSecOps actúan como mentores, capacitando a los equipos y demostrando cómo las herramientas y prácticas pueden integrarse en sus flujos de trabajo para optimizar resultados sin interrumpir su productividad.

Medir el impacto de DevSecOps

Para garantizar que la transformación DevSecOps sea sostenible y efectiva, es fundamental medir los resultados de manera continua. Estas métricas no solo validan el esfuerzo realizado, sino que también sirven como guía para ajustes futuros.

Algunas áreas clave a considerar:

Seguridad:

• Reducción en la cantidad de vulnerabilidades críticas en producción.

• Disminución del tiempo de detección y corrección de fallas de seguridad.

• Incremento en la cantidad de problemas solucionados durante las primeras etapas del desarrollo.

Eficiencia operativa:

• Mejoras en los tiempos de implementación de software (MTTR: Mean Time to Recovery).

• Aumento en la tasa de éxito de los pipelines CI/CD.

• Reducción de incidentes relacionados con configuraciones incorrectas en infraestructura.

Colaboración:

• Cantidad de equipos que adoptan prácticas seguras.

• Incremento en la participación de los equipos en reuniones de feedback y planificación de seguridad.

• Resultados de encuestas internas sobre satisfacción y entendimiento del enfoque DevSecOps.

Medir estas métricas no solo ayuda a demostrar el impacto positivo de DevSecOps, sino que también permite ajustar la estrategia para abordar áreas de mejora.

---

Conclusión: El camino hacia un futuro ágil y seguro

La transformación DevSecOps es un viaje, no un destino. Aunque puede ser un desafío al principio, los beneficios superan ampliamente las dificultades iniciales. Con un enfoque en la colaboración, la educación y las mejoras incrementales, las organizaciones pueden integrar la seguridad como una parte esencial de su flujo de trabajo sin sacrificar velocidad ni innovación.

Como ingeniero DevSecOps, nuestro rol va más allá de la tecnología: somos el puente que conecta equipos, procesos y herramientas, liderando una transformación que posiciona a la organización para un éxito sostenible en un mundo digital cada vez más complejo.

Medir el impacto de cada paso en este proceso asegura que DevSecOps no solo sea una metodología de moda, sino una verdadera ventaja competitiva para la empresa.

Y lo más importante: es una oportunidad para crear un entorno donde todos puedan colaborar, innovar y crecer con confianza. 🚀