¿Cómo incorporas seguridad en la entrega?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

La seguridad se integra en la entrega haciendo que el camino seguro sea el fácil. El modelado de amenazas ocurre en el diseño para todo lo que toca datos o límites nuevos. Los frameworks y bibliotecas internas ofrecen valores seguros por defecto para autenticación, autorización, codificación de salida y acceso a datos, para que los desarrolladores no los implementen a mano. El pipeline ejecuta análisis estático, escaneo de dependencias y contenedores, detección de secretos y comprobaciones de políticas de infraestructura, ajustados para que los hallazgos sean accionables. Los cambios de alto riesgo reciben revisión de seguridad; el resto se apoya en las salvaguardas. Los artefactos se firman, producción se monitoriza frente a ataques, y los hallazgos de todo ello alimentan las bibliotecas y la formación para que la misma clase de bug deje de repetirse.

Ejemplo

El pipeline de un equipo ejecuta Semgrep con un conjunto de reglas curado, escaneo de dependencias con SLA de 7 días en hallazgos altos, gitleaks en cada commit y una política que bloquea buckets públicos. Un pull request que añade una integración externa nueva se etiqueta como alto riesgo y recibe un modelo de amenazas y un revisor de seguridad. Cuando dos equipos introdujeron por separado bugs de SSRF, el equipo de plataforma publicó una biblioteca de descarga segura de URLs y una regla que marca descargas directas de URLs suministradas por el usuario.

Errores frecuentes

• Hacer una prueba de penetración al final y llamarlo desarrollo seguro.
• Activar todas las reglas del escáner, de modo que los desarrolladores ignoran miles de hallazgos.
• Corregir la misma clase de vulnerabilidad una y otra vez en lugar de eliminarla a nivel de biblioteca.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.