01
De requisitos a arquitectura
Los requisitos deben incluir protección de datos, identidad, autorización, auditoría, disponibilidad y cumplimiento. En arquitectura se revisan flujos, fronteras, dependencias y escenarios de abuso antes de que el costo de cambio aumente.
El modelado de amenazas permite concentrar controles en rutas plausibles y operaciones críticas, evitando revisiones genéricas que no consideran el negocio.
- 01Requisitos
- 02Amenazas
- 03Código
- 04SAST · SCA
- 05Release
- 06Monitoreo
Cada etapa produce evidencia y recibe retroalimentación. Un gate útil bloquea condiciones claras y mantiene un camino gobernado para excepciones.
02
Marcos de referencia y alcance
NIST SSDF 1.1 (SP 800-218, publicación final) organiza prácticas del ciclo de vida. OWASP ASVS 5.0.0 aporta requisitos técnicos verificables. Son referencias complementarias: una organiza el trabajo y la otra ayuda a especificar qué comprobar en la aplicación.
Selecciona requisitos ASVS según el alcance y el riesgo; registra su versión, aplicabilidad y evidencia. Completar una lista parcial no demuestra cumplimiento integral. La revisión SSDF 1.2 figura como borrador en el catálogo de NIST consultado el 8 de septiembre de 2026 y debe identificarse como tal si se utiliza.
03
Construcción y verificación
Durante el desarrollo se aplican estándares de código, revisión por pares, SAST, SCA, secret scanning y pruebas unitarias de controles. En integración se agregan DAST, pruebas de API, análisis de infraestructura como código e imágenes.
Un gate útil bloquea condiciones claramente peligrosas y entrega contexto para corregir. Si produce ruido constante, los equipos aprenderán a ignorarlo o buscar excepciones.
04
Despliegue y operación
El release debe conservar trazabilidad entre requisito, cambio, aprobación, artefacto y despliegue. Producción incorpora observabilidad, alertas, respuesta, gestión de vulnerabilidades y aprendizaje posterior a incidentes.
Shift-left no significa abandonar producción. Significa prevenir temprano y, al mismo tiempo, utilizar la evidencia operativa para mejorar el siguiente ciclo.
Criterios para aplicarlo
- Definir actividades mínimas por nivel de riesgo.
- Automatizar controles repetibles en CI/CD.
- Mantener excepciones con propietario y vencimiento.
- Retroalimentar el backlog con incidentes y hallazgos productivos.
05 · Práctica guiada · opcional
Practica lo aprendido
Selecciona controles para la corrección de autorización de Reserva de espacios y define qué evidencia debe conservarse antes y después del despliegue.
- 01Escribe criterios de aceptación de seguridad.
- 02Selecciona revisión, pruebas y análisis automatizados.
- 03Define condiciones de bloqueo y advertencia.
- 04Diseña el tratamiento de una excepción temporal.
- 05Agrega señales de producción y responsable de seguimiento.
Ver solución orientativa
Criterio: ningún usuario puede consultar o modificar recursos de otro grupo.
Evidencia: threat model actualizado, revisión de código, pruebas de ownership y resultados SAST/SCA.
Gate: bloquear pruebas de autorización fallidas, secretos y vulnerabilidades explotables críticas.
Excepción: propietario, justificación, control compensatorio, aprobación y vencimiento.
Producción: alerta de accesos cruzados, correlación por identidad y revisión posterior al release.
06
Comprueba lo aprendido
Responde antes de abrir la explicación. Esta comprobación es opcional y no guarda una puntuación.
01¿Shift-left reemplaza los controles de producción?
No. Previene temprano y utiliza telemetría productiva para retroalimentar el siguiente ciclo.
02¿Todo hallazgo SAST debería bloquear el pipeline?
No. El gate debe considerar confianza del hallazgo, explotabilidad, política y riesgo para evitar ruido y bypass permanentes.
03¿Qué debe contener una excepción?
Alcance, riesgo, propietario, justificación, controles compensatorios, aprobación, evidencia y fecha de vencimiento.
Cómo demostrar el objetivo
Compara tu práctica con estos resultados. Si solo diseñaste una prueba, registra su resultado como esperado, no como observado.
- El plan enlaza criterios de seguridad con revisión, pruebas y controles automatizados.
- Define bloqueos, tratamiento de excepciones y señales posteriores al despliegue con responsable.
Qué debes recordar
- El SDLC seguro distribuye controles a lo largo del proceso.
- Cada gate debe producir evidencia accionable.
- La operación real retroalimenta requisitos y amenazas.
Tu cuaderno · notas personales
Cuaderno local
Tus notas del contenido
Se guardan únicamente en este dispositivo. Puedes exportarlas cuando quieras.
Material de apoyo · descarga, glosario y referencias
Consulta las condiciones de reutilización de los recursos descargables. Procedencia y condiciones de uso.