Los pipelines CI/CD están cada vez más en el alcance de las auditorías de seguridad y regulatorias. Aunque muchas organizaciones se centran en las políticas y las descripciones de herramientas, los auditores evalúan los pipelines CI/CD de forma muy diferente en la práctica.
Esta guía explica cómo los auditores realmente abordan las revisiones CI/CD, qué buscan primero, cómo prueban los controles y por qué muchas organizaciones fracasan en las auditorías a pesar de tener pipelines «seguros» sobre el papel.
Los Auditores No Empiezan por las Herramientas
Contrariamente a la creencia popular, los auditores raramente comienzan preguntando qué plataforma CI/CD o herramientas de seguridad se utilizan. Empiezan por determinar si los pipelines CI/CD se tratan como sistemas ICT regulados.
Las primeras preguntas que suelen hacer los auditores son:
- ¿Están los pipelines CI/CD en el alcance de la gestión de riesgos?
- ¿Quién es responsable de la seguridad CI/CD y la gobernanza?
- ¿Puede la organización demostrar control sobre el comportamiento del pipeline?
Si los pipelines se tratan como simples herramientas de desarrollo, esto se señala frecuentemente como una brecha de madurez al inicio de la auditoría.
Paso 1: Definir el Alcance de CI/CD como Sistema Regulado
Los auditores verifican primero si los pipelines CI/CD están explícitamente incluidos en:
- Inventarios de sistemas ICT
- Evaluaciones de riesgos
- Alcances de cumplimiento
Comprueban si los pipelines están clasificados según su criticidad y si se entiende claramente su impacto en los sistemas de producción.
Las organizaciones frecuentemente fallan en esta etapa al excluir CI/CD del alcance ICT formal, incluso cuando los pipelines tienen acceso directo a producción.
Paso 2: Evaluación de la Gobernanza y la Propiedad
Una vez que los pipelines CI/CD están en el alcance, los auditores evalúan la gobernanza. Buscan respuestas claras a:
- ¿Quién aprueba los cambios en la arquitectura CI/CD?
- ¿Quién puede modificar las definiciones del pipeline?
- ¿Quién es responsable de los fallos del pipeline o los incidentes de seguridad?
Los auditores no se conforman con una propiedad informal. Esperan roles documentados, responsabilidades definidas y evidencia de que la gobernanza se aplica de manera consistente.
Paso 3: Revisión del Control de Acceso y Privilegios
El control de acceso es una de las áreas más examinadas durante las auditorías CI/CD.
Los auditores examinan:
- Quién puede administrar las plataformas CI/CD
- Quién puede modificar los pipelines
- Cómo se gestionan las credenciales del pipeline
- Si las cuentas de servicio siguen el principio de mínimos privilegios
A menudo solicitan demostraciones en vivo o exportaciones de configuración para validar que los permisos se aplican técnicamente, no solo se describen en las políticas.
Paso 4: Segregación de Funciones en la Práctica
Los auditores prueban la segregación de funciones analizando los flujos de trabajo, no los diagramas.
Las verificaciones habituales incluyen:
- ¿Puede un desarrollador aprobar su propio despliegue en producción?
- ¿Están separados los permisos de compilación y despliegue?
- ¿Se registran y revisan las anulaciones de emergencia?
Incluso los pipelines bien diseñados fallan en las auditorías cuando las excepciones no están documentadas o son excesivamente permisivas.
Paso 5: Evidencia de Gestión de Cambios
Los auditores prestan mucha atención a cómo fluyen los cambios a través de los pipelines CI/CD.
Verifican:
- Que todos los cambios en producción pasen por CI/CD
- Que las aprobaciones sean obligatorias y trazables
- Que los despliegues fuera de banda se prevengan o registren
Los auditores a menudo seleccionan cambios de producción al azar y piden a los equipos que demuestren la trazabilidad completa desde el código fuente hasta el despliegue.
Paso 6: Controles de Seguridad y Automatización
Las pruebas de seguridad se evalúan como un mecanismo de aplicación, no como un elemento de una lista de verificación.
Los auditores buscan:
- Verificaciones de seguridad obligatorias (SAST, SCA, DAST)
- Puertas de políticas que bloqueen compilaciones no conformes
- Evidencia de que los controles fallidos impiden el despliegue
Los análisis opcionales o informativos generalmente se consideran insuficientes en entornos regulados.
Paso 7: Registro, Monitorización y Detección
Los auditores verifican si los pipelines CI/CD producen registros utilizables y retenidos.
Evalúan:
- Integridad de los registros del pipeline
- Recopilación centralizada de registros
- Retención alineada con los requisitos regulatorios
- Capacidad para investigar incidentes históricos
Un fallo habitual es tener registros que existen pero no se retienen el tiempo suficiente o no se pueden correlacionar.
Paso 8: Calidad y Reproducibilidad de la Evidencia
Los auditores prefieren claramente la evidencia generada por el sistema sobre capturas de pantalla o documentos.
Esperan:
- Registros con marca temporal
- Registros inmutables
- Evidencia reproducible
- Consistencia entre equipos y pipelines
Si la evidencia depende de una explicación manual, los auditores la consideran débil.
Paso 9: Escenarios de Incidentes y Resiliencia
Los auditores prueban cada vez más cómo se comportan los pipelines CI/CD durante los incidentes.
Preguntan:
- ¿Qué ocurre si un pipeline se ve comprometido?
- ¿Cómo se revocan las credenciales?
- ¿Cómo se detienen o revierten los lanzamientos?
Las organizaciones que no pueden responder a estas preguntas de forma convincente a menudo reciben hallazgos relacionados con la resiliencia operativa.
Por Qué las Organizaciones Fallan en las Auditorías CI/CD
Los patrones de fallo más comunes incluyen:
- CI/CD excluido del alcance de cumplimiento
- Privilegios excesivos otorgados a los pipelines
- Segregación de funciones débil
- Controles de seguridad opcionales
- Retención deficiente de registros
- Dependencia excesiva de la documentación en lugar de la evidencia
Estos fallos rara vez están relacionados con las herramientas; son problemas de gobernanza y diseño.
Cómo Preparar CI/CD para Auditorías Reales
Las organizaciones que superan las auditorías con éxito:
- Tratan CI/CD como un sistema ICT regulado
- Integran controles directamente en los pipelines
- Generan evidencia de forma continua
- Alinean los equipos de seguridad, ingeniería y cumplimiento
- Prueban los escenarios de auditoría antes de que ocurran las auditorías
Los pipelines CI/CD se convierten en activos de cumplimiento en lugar de pasivos de auditoría.
Conclusión
Los auditores no auditan los pipelines CI/CD del mismo modo en que los ingenieros los diseñan en las pizarras. Auditan la aplicación de controles, la trazabilidad y la calidad de la evidencia.
Las organizaciones que comprenden cómo los auditores revisan realmente los pipelines CI/CD están mucho mejor preparadas para cumplir las expectativas regulatorias. Al alinear el diseño CI/CD con la realidad de la auditoría, los equipos pueden reducir hallazgos, mejorar la resiliencia y construir una confianza duradera con los reguladores.
Recursos Relacionados
- Compliance
- CI/CD Security
- DORA Article 21 Deep Dive
- DORA Article 21 Auditor Checklist
- DORA Article 21 Evidence Pack
