Troy Hunt, consultor experto en seguridad, da sus consejos sobre la importancia de las prácticas de “desplazamiento a la izquierda” a lo largo del ciclo de vida del desarrollo.

¿Qué es DevSecOps y cómo puede ayudar?

DevSecOps, abreviatura de Desarrollo, Seguridad y Operaciones, define un conjunto de prácticas que tienen como objetivo desplazar la seguridad y el cumplimiento a la izquierda, incorporándolos en el diseño, desarrollo, pruebas y entrega de bases de datos y aplicaciones.

En el caso de las bases de datos, esto significa que, en lugar de tratar la seguridad como una ocurrencia tardía, integramos las operaciones y la experiencia en seguridad directamente en las prácticas de desarrollo. Los equipos de operaciones trabajan junto a los desarrolladores para asesorar sobre lo que se requiere y las herramientas y recursos disponibles para aplicar las políticas de seguridad de manera práctica. Ayudan a incorporar protecciones contra vulnerabilidades de código y datos en el diseño de la base de datos. También ayudan a los desarrolladores a adoptar prácticas seguras de manejo de datos e implementar comprobaciones de seguridad automatizadas en las canalizaciones de prueba y versión, lo que garantiza que la seguridad se aplique continuamente durante todo el ciclo de desarrollo.

Este cambio garantiza que la seguridad y el cumplimiento no solo se cumplan, sino que se mantengan activamente, adaptándose junto con los sistemas y datos que protegen.

La creciente necesidad de medidas de seguridad y cumplimiento de las bases de datos

Las filtraciones de datos siguen aumentando a nivel mundial. Según el Centro de Recursos contra el Robo de Identidad (ITRC), los compromisos de datos reportados en los EE. UU. alcanzaron su segundo nivel más alto en 2024, con 3.158 incidentes, a solo 44 de un récord.

No es de extrañar, entonces, que los directores de seguridad de la información estén priorizando la protección de los datos en todos los entornos en los que se utilizan.

“Los datos son ahora el activo más crítico para cualquier organización, pero a medida que crece la dependencia de ellos, también lo hacen los riesgos asociados con las infracciones, el fraude y el incumplimiento. Para la mayoría de las organizaciones, la seguridad y el cumplimiento ya no son opcionales, sino esenciales para la supervivencia”.– Mri Pandit, Gerente Senior de Navy Federal Credit Union

Sin embargo, a pesar de estos crecientes riesgos, nuestra encuesta sobre el estado del panorama de las bases de datos 2025 muestra que muchas organizaciones aún no han integrado completamente la seguridad en sus procesos de DevOps.

Por ejemplo, DevSecOps incluye el manejo seguro de datos de prueba, sin embargo, entre las organizaciones que usan datos de producción para pruebas, solo el 54% protege los datos confidenciales enmascarándolos, desidentificándolos o reemplazándolos con datos sintéticos. A medida que crecen los volúmenes de datos, esta falta de integración de la seguridad hace que las organizaciones sean cada vez más vulnerables a la exposición de datos personales y confidenciales, junto con los riesgos de reputación, financieros y regulatorios que conllevan.

Al incorporar las prácticas de seguridad a todo el flujo de trabajo de DevOps, los desarrolladores y los equipos de seguridad integran comprobaciones de seguridad automatizadas para garantizar que el software implementado no contenga vulnerabilidades o riesgos de seguridad conocidos. Los ataques de inyección SQL siguen siendo un riesgo importante en las aplicaciones web, y el software mal codificado puede ser susceptible a este tipo de ataques.

Prácticas de DevSecOps para la seguridad y el cumplimiento de las bases de datos

La seguridad de la base de datos a menudo se ha tratado como un punto de control final antes del lanzamiento en lugar de una parte intrínseca del proceso de desarrollo. Este enfoque reactivo provoca retrasos en la implementación, aumenta el riesgo de problemas de seguridad de última hora y hace que los equipos de seguridad se esfuercen por solucionar los riesgos después de que los cambios en la base de datos ya estén en producción.

DevSecOps aborda este desafío incorporando la seguridad en todo el desarrollo y la entrega, convirtiéndola en una responsabilidad compartida entre los equipos de desarrollo, seguridad y operaciones.

En la práctica, esto significa introducir en el proceso DevOps, medidas de seguridad como:

• Diseño y código de bases de datos seguros: utiliza interfaces para restringir el acceso directo a las tablas que contienen datos confidenciales e incorpora el escaneo automatizado de vulnerabilidades de SQL (por ejemplo, inyección de SQL) o concesiones de permisos no autorizadas.
• Gestión segura de datos de prueba: permita a los desarrolladores realizar pruebas funcionales, de rendimiento y de seguridad sin exponer datos confidenciales.
• Comprobaciones de seguridad en canalizaciones de implementación: compruebe automáticamente los scripts de migración para bloquear la implementación de código vulnerable. Puertas de aprobación para evitar cualquier cambio en los datos confidenciales sin la autorización explícita de los equipos de seguridad, cumplimiento y operaciones.
• Informes de cumplimiento y registros de auditoría: realiza un seguimiento de quién realizó cambios y cuándo, verificando que se aplicaron las protecciones de seguridad.

Al integrar estas medidas de seguridad en los flujos de trabajo de DevOps, las organizaciones reducen los riesgos sin ralentizar el desarrollo, lo que garantiza que la seguridad de las bases de datos evolucione junto con las necesidades empresariales.

Una vez que se lanza el software, la base de datos se monitorea continuamente para verificar el acceso no autorizado, los cambios en los datos, los permisos o las configuraciones de la base de datos.

Conclusiones

Con el aumento de las filtraciones de datos y el endurecimiento de las regulaciones, la seguridad debe integrarse en el diseño y el desarrollo de las bases de datos, no tratarse como una ocurrencia tardía.

DevSecOps garantiza que la seguridad se integre en todo el proceso de DevOps mediante la incorporación de técnicas como el análisis de código estático, las pruebas y la gestión segura de datos de prueba en los flujos de trabajo de desarrollo. También se extiende a la aplicación automatizada de las políticas de seguridad actuales, lo que garantiza que los controles de acceso, el cumplimiento y la supervisión se validen continuamente en los entornos de desarrollo y prueba. Lograr esto a escala requiere estandarización, con prácticas de seguridad aplicadas a través de procesos automatizados y repetibles en lugar de intervención manual.

Estas prácticas de “desplazamiento a la izquierda” tienen como objetivo hacer de la seguridad de las bases de datos una parte integral de la cultura y las técnicas de desarrollo y operaciones de las bases de datos. Al incorporar el conocimiento especializado de los problemas y requisitos de seguridad en el trabajo de desarrollo y operaciones, hace que el cumplimiento sea más eficiente, reduciendo el esfuerzo manual y asegurando que las organizaciones se mantengan a la vanguardia de las amenazas en evolución, sin ralentizar la entrega de mejoras a las bases de datos y sus aplicaciones.

Para recibir mas informacion sobre Aufiero Informatica, por favor ingrese aqui