{"id":1945,"date":"2026-03-25T17:22:57","date_gmt":"2026-03-25T16:22:57","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/matriz-raci-de-devsecops-para-organizaciones-reguladas\/"},"modified":"2026-03-26T09:24:58","modified_gmt":"2026-03-26T08:24:58","slug":"devsecops-raci-matrix-regulated-organizations","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/es\/ci-cd-governance-es\/devsecops-raci-matrix-regulated-organizations\/","title":{"rendered":"Matriz RACI de DevSecOps para organizaciones reguladas"},"content":{"rendered":"<h2>Por qu\u00e9 el RACI es importante en entornos regulados<\/h2>\n<p>Los marcos regulatorios \u2014 incluyendo <strong>DORA<\/strong>, <strong>NIS2<\/strong> e <strong>ISO 27001<\/strong> \u2014 comparten una expectativa com\u00fan: las organizaciones deben demostrar <strong>una responsabilidad clara<\/strong> en las decisiones de seguridad. Cuando un regulador o auditor pregunta \u00ab\u00bfqui\u00e9n aprob\u00f3 esta excepci\u00f3n?\u00bb o \u00ab\u00bfqui\u00e9n es responsable de garantizar que se apliquen los controles de seguridad del pipeline?\u00bb, la respuesta no puede ser vaga ni distribuida entre equipos sin nombre.<\/p>\n<p>Una matriz RACI (Responsable, Aprobador, Consultado, Informado) es el instrumento de gobernanza establecido para mapear actividades con roles. En un contexto de DevSecOps, sirve para un doble prop\u00f3sito: estructura la toma de decisiones interna <em>y<\/em> proporciona a los auditores un \u00fanico documento que evidencia el dise\u00f1o de la responsabilidad.<\/p>\n<p>Sin una RACI documentada, las organizaciones se enfrentan a varios riesgos regulatorios:<\/p>\n<ul>\n<li>Incapacidad para demostrar qui\u00e9n aprob\u00f3 excepciones de seguridad o aceptaciones de riesgo<\/li>\n<li>Caminos de escalada poco claros cuando las puertas de seguridad fallan o se eluden<\/li>\n<li>Hallazgos de auditor\u00eda relacionados con violaciones de segregaci\u00f3n de funciones<\/li>\n<li>Sanciones regulatorias en virtud del Art\u00edculo 5 de DORA (responsabilidad del \u00f3rgano de direcci\u00f3n) o del Art\u00edculo 20 de NIS2 (gobernanza y responsabilidad)<\/li>\n<\/ul>\n<h2>RACI explicado para partes interesadas no t\u00e9cnicas<\/h2>\n<p>Antes de aplicar la matriz, es esencial que todas las partes interesadas \u2014 especialmente los responsables de cumplimiento y los propietarios de riesgo \u2014 comprendan las cuatro designaciones:<\/p>\n<table>\n<thead>\n<tr>\n<th>Letra<\/th>\n<th>Rol<\/th>\n<th>Significado<\/th>\n<th>Pregunta clave<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong>R<\/strong><\/td>\n<td>Responsable<\/td>\n<td>La persona o equipo que realiza el trabajo<\/td>\n<td>\u00bfQui\u00e9n hace la tarea?<\/td>\n<\/tr>\n<tr>\n<td><strong>A<\/strong><\/td>\n<td>Aprobador<\/td>\n<td>La \u00fanica persona que es en \u00faltima instancia responsable \u2014 aprueba o da el visto bueno<\/td>\n<td>\u00bfQui\u00e9n responde ante el regulador?<\/td>\n<\/tr>\n<tr>\n<td><strong>C<\/strong><\/td>\n<td>Consultado<\/td>\n<td>Aquellos cuya opini\u00f3n se solicita antes de tomar una decisi\u00f3n o acci\u00f3n<\/td>\n<td>\u00bfDe qui\u00e9n se necesita la experiencia?<\/td>\n<\/tr>\n<tr>\n<td><strong>I<\/strong><\/td>\n<td>Informado<\/td>\n<td>Aquellos que son notificados despu\u00e9s de tomar una decisi\u00f3n o acci\u00f3n<\/td>\n<td>\u00bfQui\u00e9n necesita saberlo?<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Regla cr\u00edtica de gobernanza:<\/strong> Debe haber exactamente <em>un<\/em> \u00abA\u00bb por actividad. Si la responsabilidad se comparte, se diluye \u2014 y la responsabilidad diluida es, en t\u00e9rminos regulatorios, ninguna responsabilidad en absoluto.<\/p>\n<h2>Matriz RACI completa para actividades de DevSecOps<\/h2>\n<p>La siguiente matriz mapea catorce actividades centrales de DevSecOps a ocho roles organizacionales. Debe adaptarse a la estructura de su organizaci\u00f3n, pero proporciona un punto de partida s\u00f3lido para entornos regulados.<\/p>\n<table>\n<thead>\n<tr>\n<th>Actividad<\/th>\n<th>CISO<\/th>\n<th>Arquitecto de seguridad<\/th>\n<th>Responsable de DevSecOps<\/th>\n<th>Equipo de plataforma \/ CI-CD<\/th>\n<th>Responsable del equipo de desarrollo<\/th>\n<th>Desarrollador<\/th>\n<th>Responsable de cumplimiento<\/th>\n<th>Propietario del riesgo<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong>Definici\u00f3n de la pol\u00edtica de seguridad<\/strong><\/td>\n<td>A<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<\/tr>\n<tr>\n<td><strong>Configuraci\u00f3n de seguridad del pipeline<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>A<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Gesti\u00f3n de herramientas SAST\/DAST\/SCA<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>A<\/td>\n<td>R<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Clasificaci\u00f3n de vulnerabilidades<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>A<\/td>\n<td>I<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Ejecuci\u00f3n de la remediaci\u00f3n<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>A<\/td>\n<td>R<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Aprobaci\u00f3n de excepciones\/supresiones<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>A<\/td>\n<\/tr>\n<tr>\n<td><strong>Configuraci\u00f3n de puertas de seguridad<\/strong><\/td>\n<td>I<\/td>\n<td>R<\/td>\n<td>A<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Gesti\u00f3n de control de acceso<\/strong><\/td>\n<td>A<\/td>\n<td>C<\/td>\n<td>R<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Gesti\u00f3n de secretos<\/strong><\/td>\n<td>I<\/td>\n<td>A<\/td>\n<td>R<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Respuesta a incidentes<\/strong><\/td>\n<td>A<\/td>\n<td>C<\/td>\n<td>R<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Preparaci\u00f3n para auditor\u00edas<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>A<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Informes de m\u00e9tricas<\/strong><\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>R<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>A<\/td>\n<td>I<\/td>\n<\/tr>\n<tr>\n<td><strong>Evaluaci\u00f3n de riesgos de terceros<\/strong><\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>C<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>A<\/td>\n<\/tr>\n<tr>\n<td><strong>Formaci\u00f3n en seguridad<\/strong><\/td>\n<td>A<\/td>\n<td>C<\/td>\n<td>R<\/td>\n<td>I<\/td>\n<td>C<\/td>\n<td>R<\/td>\n<td>I<\/td>\n<td>I<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Notas de gobernanza: Responsabilidad y escalada<\/h2>\n<h3>Responsabilidad final por la seguridad del pipeline<\/h3>\n<p>En la matriz anterior, el <strong>Responsable de DevSecOps<\/strong> es responsable de la configuraci\u00f3n t\u00e9cnica y la aplicaci\u00f3n de la seguridad del pipeline. Sin embargo, el <strong>CISO<\/strong> mantiene la responsabilidad \u00faltima sobre la pol\u00edtica de seguridad y su eficacia. Esta responsabilidad de dos niveles debe estar claramente documentada.<\/p>\n<p>En virtud de DORA, el <strong>\u00f3rgano de direcci\u00f3n<\/strong> (normalmente el consejo de administraci\u00f3n o el comit\u00e9 de alta direcci\u00f3n) es responsable del marco general de riesgo ICT. El CISO act\u00faa como su delegado para las operaciones de seguridad. Esta delegaci\u00f3n debe estar formalmente documentada y revisada peri\u00f3dicamente.<\/p>\n<h3>Camino de escalada<\/h3>\n<p>Cuando surgen conflictos \u2014 por ejemplo, un equipo de desarrollo impugna una puerta de seguridad que bloquea un lanzamiento \u2014 el camino de escalada debe seguir un procedimiento documentado:<\/p>\n<ol>\n<li><strong>Primer nivel:<\/strong> El Responsable de DevSecOps y el Responsable del equipo de desarrollo intentan resolver el problema<\/li>\n<li><strong>Segundo nivel:<\/strong> El Arquitecto de seguridad proporciona una resoluci\u00f3n t\u00e9cnica<\/li>\n<li><strong>Tercer nivel:<\/strong> El Propietario del riesgo y el Responsable de cumplimiento eval\u00faan la aceptaci\u00f3n del riesgo<\/li>\n<li><strong>Nivel final:<\/strong> El CISO toma la decisi\u00f3n vinculante, documentada en el registro de riesgos<\/li>\n<\/ol>\n<p>Cada escalada debe registrarse. Los auditores buscar\u00e1n evidencia de que se sigui\u00f3 el camino de escalada \u2014 no solo de que existe en el papel.<\/p>\n<h2>Adaptaci\u00f3n del RACI al tama\u00f1o de la organizaci\u00f3n<\/h2>\n<h3>Empresa (separaci\u00f3n completa de roles)<\/h3>\n<p>Las grandes organizaciones reguladas \u2014 bancos, aseguradoras, operadores de infraestructuras cr\u00edticas \u2014 deben mantener la <strong>separaci\u00f3n completa de roles<\/strong> como se muestra en la matriz anterior. Cada rol lo ocupa un individuo o equipo distinto. Esto proporciona la mayor segregaci\u00f3n de funciones y el camino de auditor\u00eda m\u00e1s claro.<\/p>\n<p>Requisitos clave a esta escala:<\/p>\n<ul>\n<li>Equipo de DevSecOps dedicado, separado del desarrollo y las operaciones<\/li>\n<li>Rol de Arquitecto de seguridad distinto del Responsable de DevSecOps<\/li>\n<li>Participaci\u00f3n formal del Responsable de cumplimiento en las aprobaciones de excepciones<\/li>\n<li>Propietario del riesgo designado por l\u00ednea de negocio o cartera de aplicaciones<\/li>\n<\/ul>\n<h3>Tama\u00f1o mediano (roles combinados)<\/h3>\n<p>Las organizaciones con 200 a 1.000 empleados pueden necesitar combinar ciertos roles. Las combinaciones aceptables incluyen:<\/p>\n<ul>\n<li>Arquitecto de seguridad + Responsable de DevSecOps (una persona, rol dual documentado)<\/li>\n<li>Responsable de cumplimiento + Propietario del riesgo (si no hay conflicto de intereses directo)<\/li>\n<li>Equipo de plataforma + equipo de DevSecOps (con responsabilidades de seguridad documentadas)<\/li>\n<\/ul>\n<p><strong>Combinaciones inaceptables:<\/strong><\/p>\n<ul>\n<li>Desarrollador + Aprobador de excepciones (la autoaprobaci\u00f3n viola la segregaci\u00f3n de funciones)<\/li>\n<li>Responsable de DevSecOps + \u00fanico Clasificador de vulnerabilidades + \u00fanico Aprobador de excepciones (sin revisi\u00f3n independiente)<\/li>\n<\/ul>\n<h3>Peque\u00f1a (separaci\u00f3n m\u00ednima viable)<\/h3>\n<p>Las empresas reguladas m\u00e1s peque\u00f1as a\u00fan deben demostrar responsabilidad. Como m\u00ednimo:<\/p>\n<ul>\n<li>Una persona designada responsable de la pol\u00edtica de seguridad (aunque sea a tiempo parcial)<\/li>\n<li>Las aprobaciones de excepciones requieren la firma de alguien distinto al solicitante<\/li>\n<li>Las responsabilidades de preparaci\u00f3n para auditor\u00edas asignadas a un individuo nombrado<\/li>\n<li>El consejo de administraci\u00f3n o el comit\u00e9 de direcci\u00f3n recibe informes peri\u00f3dicos de seguridad<\/li>\n<\/ul>\n<p>Documente expl\u00edcitamente d\u00f3nde se combinan los roles y qu\u00e9 controles compensatorios existen (por ejemplo, revisi\u00f3n por pares, auditor\u00eda externa, controles automatizados).<\/p>\n<h2>Qu\u00e9 deben verificar los auditores<\/h2>\n<p>Al evaluar el RACI de DevSecOps de una organizaci\u00f3n, los auditores deben buscar evidencia en tres dimensiones:<\/p>\n<h3>1. Documentaci\u00f3n<\/h3>\n<ul>\n<li>\u00bfExiste una matriz RACI formalmente aprobada que cubra las actividades de DevSecOps?<\/li>\n<li>\u00bfEst\u00e1 bajo control de versiones y se revisa al menos anualmente?<\/li>\n<li>\u00bfCubre todas las actividades cr\u00edticas de seguridad, no solo un subconjunto?<\/li>\n<li>\u00bfSon claras las definiciones de roles y est\u00e1n mapeadas a individuos o equipos nombrados?<\/li>\n<\/ul>\n<h3>2. Evidencia de responsabilidad en la pr\u00e1ctica<\/h3>\n<ul>\n<li>Muestrear aprobaciones de excepciones: \u00bfqui\u00e9n las aprob\u00f3 realmente? \u00bfCoincide con el RACI?<\/li>\n<li>Registros de elusi\u00f3n de puertas de seguridad: \u00bfparticip\u00f3 la parte responsable?<\/li>\n<li>Registros de respuesta a incidentes: \u00bfparticiparon los roles designados como se defini\u00f3?<\/li>\n<li>Permisos de acceso: \u00bfse alinean los derechos de acceso al sistema con las asignaciones del RACI?<\/li>\n<\/ul>\n<h3>3. Alineaci\u00f3n entre el RACI y los permisos del sistema<\/h3>\n<ul>\n<li>Solo aquellos designados como Responsables o Aprobadores para la gesti\u00f3n del control de acceso deben tener privilegios administrativos en las plataformas CI\/CD<\/li>\n<li>Los flujos de trabajo de aprobaci\u00f3n de excepciones deben aplicar la cadena de aprobaci\u00f3n definida en el RACI<\/li>\n<li>El acceso a los registros de auditor\u00eda debe estar restringido a aquellos con roles de Responsable o Aprobador para la preparaci\u00f3n de auditor\u00edas<\/li>\n<\/ul>\n<h2>Se\u00f1ales de alerta para auditores y responsables de cumplimiento<\/h2>\n<table>\n<thead>\n<tr>\n<th>Se\u00f1al de alerta<\/th>\n<th>Por qu\u00e9 importa<\/th>\n<th>Implicaci\u00f3n regulatoria<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Sin RACI documentado para DevSecOps<\/td>\n<td>No se puede demostrar la responsabilidad<\/td>\n<td>DORA Art. 5, ISO 27001 A.5.2<\/td>\n<\/tr>\n<tr>\n<td>Desarrolladores que autoaprueban excepciones de seguridad<\/td>\n<td>Violaci\u00f3n de segregaci\u00f3n de funciones<\/td>\n<td>PCI DSS Req. 6, SOC 2 CC6.1<\/td>\n<\/tr>\n<tr>\n<td>El equipo de seguridad no es consultado sobre los cambios del pipeline<\/td>\n<td>Los controles de seguridad pueden debilitarse sin supervisi\u00f3n<\/td>\n<td>NIS2 Art. 21, ISO 27001 A.8.32<\/td>\n<\/tr>\n<tr>\n<td>El CISO no es informado de las aceptaciones de riesgo<\/td>\n<td>Deficiencia en la supervisi\u00f3n del \u00f3rgano de direcci\u00f3n<\/td>\n<td>DORA Art. 5(4), NIS2 Art. 20<\/td>\n<\/tr>\n<tr>\n<td>M\u00faltiples personas listadas como Aprobadores para la misma actividad<\/td>\n<td>Responsabilidad diluida \u2014 sin \u00fanico punto de propiedad<\/td>\n<td>Debilidad general de gobernanza<\/td>\n<\/tr>\n<tr>\n<td>RACI no actualizado tras cambios organizacionales<\/td>\n<td>La matriz no refleja la realidad<\/td>\n<td>ISO 27001 A.5.4<\/td>\n<\/tr>\n<tr>\n<td>Sin evidencia de uso del camino de escalada<\/td>\n<td>Sugiere que los conflictos se resuelven informalmente sin gobernanza<\/td>\n<td>Deficiencia en el rastro de auditor\u00eda<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Pr\u00f3ximos pasos<\/h2>\n<p>Una matriz RACI de DevSecOps bien gobernada es un documento de control fundamental. Sustenta todas las dem\u00e1s actividades de gobernanza \u2014 desde el <a href=\"https:\/\/regulated-devsecops.com\/es\/devsecops\/\">dise\u00f1o del programa DevSecOps<\/a> hasta la <a href=\"https:\/\/regulated-devsecops.com\/es\/auditoria-y-gobernanza\/\">preparaci\u00f3n para auditor\u00edas y gobernanza<\/a>.<\/p>\n<p>Las organizaciones deben:<\/p>\n<ol>\n<li>Redactar o revisar su RACI de DevSecOps compar\u00e1ndolo con la plantilla anterior<\/li>\n<li>Validar que los permisos de acceso al sistema se alinean con la matriz<\/li>\n<li>Probar el camino de escalada con un ejercicio de simulaci\u00f3n<\/li>\n<li>Programar la revisi\u00f3n anual, alineada con la gesti\u00f3n de cambios organizacionales<\/li>\n<li>Conservar copias con versiones como evidencia de auditor\u00eda<\/li>\n<\/ol>\n<hr\/>\n<h3>Relacionado para auditores<\/h3>\n<ul>\n<li><a href=\"https:\/\/regulated-devsecops.com\/es\/glosario\/\">Glosario<\/a> \u2014 Definiciones en lenguaje sencillo de t\u00e9rminos t\u00e9cnicos<\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/executive-audit-briefing-ci-cd-pipelines-in-regulated-environments\/\">Informe ejecutivo de auditor\u00eda<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/how-auditors-actually-review-ci-cd-pipelines\/\">C\u00f3mo los auditores revisan CI\/CD<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/es\/ci-cd-governance-es\/core-ci-cd-security-controls\/\">Controles de seguridad principales de CI\/CD<\/a><\/li>\n<\/ul>\n<p><em>\u00bfNuevo en la auditor\u00eda de CI\/CD? Comience con nuestra <a href=\"https:\/\/regulated-devsecops.com\/es\/por-donde-empezar\/\">Gu\u00eda para auditores<\/a>.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Gu\u00eda completa sobre la matriz RACI de DevSecOps para entornos regulados: c\u00f3mo estructurar la responsabilidad, la rendici\u00f3n de cuentas y los caminos de escalada para satisfacer los requisitos de DORA, NIS2 e ISO 27001.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[132,134],"tags":[],"post_folder":[],"class_list":["post-1945","post","type-post","status-publish","format-standard","hentry","category-ci-cd-governance-es","category-devsecops-operating-models-es"],"_links":{"self":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts\/1945","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/comments?post=1945"}],"version-history":[{"count":0,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts\/1945\/revisions"}],"wp:attachment":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/media?parent=1945"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/categories?post=1945"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/tags?post=1945"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/post_folder?post=1945"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}