CI/CD: cada etapa tiene una frontera de confianza
Compilar código y autorizar producción son decisiones distintas.
DevSecOps y SSDLC
Seguridad en desarrollo, pipelines, dependencias y gestión de vulnerabilidades.
Lecturas sobre este tema
SBOM: del inventario a la decisión de respuesta
La lista debe conectarse con el software en ejecución.
GitHub Actions: ¿quién puede cambiar la herramienta del build?
Las dependencias del pipeline merecen revisión como el código.
Infraestructura como código: devuelva excepciones al flujo
El repositorio representa el entorno si las diferencias se resuelven.
Secretos: la rotación urgente debe funcionar bajo presión
Almacenamiento central no sustituye revocación ensayada.
Code review: priorice cambios de confianza
El tamaño del diff no mide impacto.
Supply chain: publique el artefacto evaluado
Reconstruir al final puede cambiar la unidad de confianza.
Vulnerabilidades: priorice la decisión sobre el sistema
La severidad es una entrada, no todo el contexto.
Thiago Lima Soneti da Silva (Thiago Silva) — Cyber Architect y responsable técnico de Lima e Silva Tecnologia.