owasp/devsecopsguidelineLa Guía OWASP DevSecOps puede ayudarnos a integrar la seguridad como parte del pipeline de desarrollo.
La Guía de DevSecOps de OWASP explica cómo podemos implementar un pipeline seguro y utilizar las mejores prácticas e introducir herramientas que podemos usar en este asunto. Además, el proyecto intenta ayudarnos a promover la cultura de seguridad shift-left en nuestro proceso de desarrollo. Este proyecto ayuda a cualquier empresa de cualquier tamaño que tenga un pipeline de desarrollo o, en otras palabras, que tenga un pipeline de DevOps. Intentamos trazar una perspectiva de un pipeline de DevOps seguro durante este proyecto y luego mejorarlo en función de nuestros requisitos personalizados.
El objetivo ideal es "detectar problemas de seguridad (por diseño o vulnerabilidad de la aplicación) lo antes posible."
La guía se estructura en torno a tres pilares:
La edición actual está actualizada para 2025/2026 y alineada con marcos como NIST SSDF, OWASP SAMM, OWASP DSOMM y SLSA. Consulte la Tabla de Contenidos a continuación, o explore la versión actual.
DevSecOps consiste en integrar la seguridad en DevOps. Pero para mantener el ritmo del CI/CD, la seguridad debe inyectarse desde el principio en la escritura y las pruebas de software.
OWASP Proactive Controls enumera los 10 principales controles de seguridad que todo desarrollador debe implementar al codificar cualquier aplicación. Considere este conjunto como el punto de partida cuando tenga que diseñar, escribir o probar código en el ciclo de DevSecOps.
También puede seguir el Modelo de Madurez de Aseguramiento de Software (SAMM) de OWASP para establecer qué considerar en cuanto a requisitos de seguridad (y más) según su nivel de madurez.
En primer lugar, consideramos implementar los siguientes pasos en un pipeline básico:
Podemos personalizar los pasos de nuestro pipeline según nuestro Ciclo de Vida de Desarrollo de Software (SDLC) o arquitectura de software y añadir automatización de forma progresiva si estamos comenzando. Por ejemplo, podemos pasar de SAST/DAST a una suite de pruebas regular con controles de seguridad integrados o añadir un script de auditoría que verifique dependencias vulnerables conocidas.
CI/CD es una ventaja para SecOps, un punto de entrada privilegiado para medidas y controles de seguridad. Sin embargo, al usar herramientas de CI/CD para proporcionar automatización, tenga en cuenta que las herramientas mismas a menudo amplían su superficie de ataque, así que coloque controles de seguridad en el software de compilación, despliegue y automatización.
