{"id":2001,"date":"2026-01-10T11:35:14","date_gmt":"2026-01-10T10:35:14","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/controles-de-pruebas-de-seguridad-ci-cd-sast-dast-y-sca-desde-la-perspectiva-del-auditor\/"},"modified":"2026-07-07T11:05:20","modified_gmt":"2026-07-07T10:05:20","slug":"controles-de-pruebas-de-seguridad-ci-cd-sast-dast-y-sca-desde-la-perspectiva-del-auditor","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/es\/tool-governance-es\/controles-de-pruebas-de-seguridad-ci-cd-sast-dast-y-sca-desde-la-perspectiva-del-auditor\/","title":{"rendered":"Controles de pruebas de seguridad de CI\/CD: SAST, DAST y SCA desde la perspectiva del auditor"},"content":{"rendered":"\n

Comparaci\u00f3n de los controles de pruebas de seguridad de CI\/CD: lo que auditores, responsables de cumplimiento y reguladores necesitan saber<\/strong><\/p>\n\n\n\n

Los controles de pruebas de seguridad en los pipelines de CI\/CD \u2014 com\u00fanmente denominados SAST, DAST y SCA \u2014 se comparan con frecuencia en funci\u00f3n de sus capacidades t\u00e9cnicas de detecci\u00f3n. Para los auditores y los responsables de cumplimiento, las dimensiones de comparaci\u00f3n relevantes son distintas: objetivos de control, calidad de la evidencia, capacidad de aplicaci\u00f3n (enforcement), trazabilidad para auditor\u00eda y alineaci\u00f3n con los marcos de cumplimiento<\/strong>.<\/p>\n\n\n\n

Este art\u00edculo compara SAST (pruebas est\u00e1ticas de seguridad de aplicaciones), DAST (pruebas din\u00e1micas de seguridad de aplicaciones) y SCA (an\u00e1lisis de composici\u00f3n de software) desde una perspectiva de gobernanza y auditor\u00eda, ayudando a los auditores a entender qu\u00e9 hace cada control, qu\u00e9 evidencia deber\u00eda producir y c\u00f3mo verificar que est\u00e1 implementado correctamente.<\/p>\n\n\n\n

\n\n\n\n

SAST \u2014 Propiedades del control para auditores<\/strong><\/h2>\n\n\n\n
Propiedad del control<\/strong><\/th>SAST (pruebas est\u00e1ticas de seguridad de aplicaciones)<\/strong><\/th><\/tr><\/thead>
Objetivo del control<\/td>Detectar vulnerabilidades de seguridad en el c\u00f3digo fuente antes del despliegue<\/td><\/tr>
Calidad de la evidencia<\/td>Alta: produce informes de escaneo detallados con clasificaciones de severidad y decisiones de pol\u00edtica de aprobado\/rechazado<\/td><\/tr>
Capacidad de aplicaci\u00f3n en CI\/CD<\/td>Fuerte: puede bloquear compilaciones e impedir el despliegue cuando se superan los umbrales<\/td><\/tr>
Trazabilidad para auditor\u00eda<\/td>Alta: los resultados pueden vincularse a compilaciones, commits y versiones espec\u00edficas<\/td><\/tr>
Alineaci\u00f3n con marcos de cumplimiento<\/td>DORA (control preventivo de codificaci\u00f3n), NIS2 (SDLC seguro), ISO 27001 (A.8.25-28), SOC 2 (CC8.1), PCI DSS (6.3)<\/td><\/tr>
Requisitos de gobernanza<\/td>Umbrales de severidad definidos, pol\u00edticas de supresi\u00f3n documentadas, retenci\u00f3n de los resultados de escaneo<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Qu\u00e9 deber\u00edan verificar los auditores en SAST:<\/strong><\/p>\n\n\n\n

    \n
  • SAST se ejecuta autom\u00e1ticamente en cada compilaci\u00f3n o pull request, no solo bajo demanda<\/li>\n\n\n\n
  • Los umbrales de severidad est\u00e1n definidos y se aplican (las compilaciones fallan cuando se superan los umbrales)<\/li>\n\n\n\n
  • Los hallazgos suprimidos cuentan con justificaciones documentadas, con fechas de revisi\u00f3n y de caducidad<\/li>\n\n\n\n
  • Los resultados de escaneo se conservan y se vinculan a versiones espec\u00edficas<\/li>\n\n\n\n
  • Todas las bases de c\u00f3digo de producci\u00f3n est\u00e1n cubiertas por el escaneo de SAST<\/li>\n<\/ul>\n\n\n\n

    Se\u00f1ales de alerta en SAST:<\/strong><\/p>\n\n\n\n

      \n
    • SAST est\u00e1 configurado pero no se aplica: las compilaciones contin\u00faan con independencia de los hallazgos<\/li>\n\n\n\n
    • Gran n\u00famero de hallazgos suprimidos sin justificaci\u00f3n documentada ni fechas de caducidad<\/li>\n\n\n\n
    • Los resultados de escaneo no pueden rastrearse hasta versiones o compilaciones espec\u00edficas<\/li>\n\n\n\n
    • Existen bases de c\u00f3digo de producci\u00f3n que no est\u00e1n cubiertas por el escaneo de SAST<\/li>\n\n\n\n
    • SAST se ejecuta solo bajo demanda en lugar de autom\u00e1ticamente como parte de cada compilaci\u00f3n<\/li>\n<\/ul>\n\n\n\n
      \n\n\n\n

      DAST \u2014 Propiedades del control para auditores<\/strong><\/h2>\n\n\n\n
      Propiedad del control<\/strong><\/th>DAST (pruebas din\u00e1micas de seguridad de aplicaciones)<\/strong><\/th><\/tr><\/thead>
      Objetivo del control<\/td>Validar la seguridad en tiempo de ejecuci\u00f3n de aplicaciones desplegadas o en entorno de preproducci\u00f3n<\/td><\/tr>
      Calidad de la evidencia<\/td>Media a alta: produce hallazgos en tiempo de ejecuci\u00f3n, pero puede requerir contexto para su interpretaci\u00f3n<\/td><\/tr>
      Capacidad de aplicaci\u00f3n en CI\/CD<\/td>Media: normalmente se usa como puerta de publicaci\u00f3n, no como puerta en tiempo de compilaci\u00f3n<\/td><\/tr>
      Trazabilidad para auditor\u00eda<\/td>Media: los resultados se vinculan a entornos y versiones, pero el rastreo hasta cambios de c\u00f3digo espec\u00edficos es indirecto<\/td><\/tr>
      Alineaci\u00f3n con marcos de cumplimiento<\/td>DORA (validaci\u00f3n en tiempo de ejecuci\u00f3n), ISO 27001 (A.8.25-28), SOC 2 (CC7.1), PCI DSS (6.4, 11.3)<\/td><\/tr>
      Requisitos de gobernanza<\/td>Puntos de ejecuci\u00f3n definidos, l\u00f3gica de gating documentada, flujos de excepci\u00f3n y aprobaci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

      Qu\u00e9 deber\u00edan verificar los auditores en DAST:<\/strong><\/p>\n\n\n\n

        \n
      • DAST se ejecuta antes de las publicaciones a producci\u00f3n, no solo bajo demanda o seg\u00fan un calendario desconectado de los despliegues<\/li>\n\n\n\n
      • Existen umbrales definidos para bloquear o retrasar las publicaciones<\/li>\n\n\n\n
      • Las excepciones al gating de DAST se documentan con aprobaciones y justificaciones<\/li>\n\n\n\n
      • La gesti\u00f3n de falsos positivos sigue un proceso gobernado (supresi\u00f3n basada en roles, justificaci\u00f3n documentada, caducidad)<\/li>\n\n\n\n
      • El alcance de DAST cubre todas las aplicaciones cr\u00edticas y expuestas al exterior<\/li>\n<\/ul>\n\n\n\n

        Se\u00f1ales de alerta en DAST:<\/strong><\/p>\n\n\n\n

          \n
        • DAST se ejecuta solo ocasionalmente o seg\u00fan un calendario desconectado del proceso de publicaci\u00f3n<\/li>\n\n\n\n
        • No existe l\u00f3gica de gating: todas las publicaciones contin\u00faan con independencia de los hallazgos de DAST<\/li>\n\n\n\n
        • Los resultados de DAST no pueden vincularse a despliegues o versiones espec\u00edficos<\/li>\n\n\n\n
        • Las aplicaciones cr\u00edticas o expuestas al exterior quedan excluidas del alcance de DAST<\/li>\n\n\n\n
        • Los falsos positivos se suprimen sin aprobaciones documentadas ni fechas de caducidad<\/li>\n<\/ul>\n\n\n\n
          \n\n\n\n

          SCA \u2014 Propiedades del control para auditores<\/strong><\/h2>\n\n\n\n
          Propiedad del control<\/strong><\/th>SCA (an\u00e1lisis de composici\u00f3n de software)<\/strong><\/th><\/tr><\/thead>
          Objetivo del control<\/td>Gestionar el riesgo de terceros y de la cadena de suministro identificando dependencias vulnerables y no conformes<\/td><\/tr>
          Calidad de la evidencia<\/td>Muy alta: produce inventarios de dependencias, SBOM, informes de vulnerabilidades y registros de cumplimiento de licencias<\/td><\/tr>
          Capacidad de aplicaci\u00f3n en CI\/CD<\/td>Fuerte: puede bloquear compilaciones cuando se detectan dependencias vulnerables o no conformes<\/td><\/tr>
          Trazabilidad para auditor\u00eda<\/td>Muy alta: los SBOM y los inventarios de dependencias proporcionan registros claros y auditables por versi\u00f3n<\/td><\/tr>
          Alineaci\u00f3n con marcos de cumplimiento<\/td>NIS2 (riesgo de la cadena de suministro), DORA (riesgo de terceros de TIC), ISO 27001 (A.8.25-28), SOC 2 (CC3.2), PCI DSS (6.3)<\/td><\/tr>
          Requisitos de gobernanza<\/td>Pol\u00edticas de aprobaci\u00f3n de dependencias, generaci\u00f3n y retenci\u00f3n de SBOM, procedimientos de respuesta ante vulnerabilidades<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

          Qu\u00e9 deber\u00edan verificar los auditores en SCA:<\/strong><\/p>\n\n\n\n

            \n
          • SCA se ejecuta autom\u00e1ticamente durante las compilaciones y produce inventarios de dependencias actualizados<\/li>\n\n\n\n
          • Los SBOM se generan y se conservan para cada versi\u00f3n<\/li>\n\n\n\n
          • Las dependencias vulnerables conocidas desencadenan respuestas definidas (bloqueo, alerta o aceptaci\u00f3n de riesgo documentada)<\/li>\n\n\n\n
          • El cumplimiento de licencias se monitoriza activamente y las infracciones se abordan<\/li>\n\n\n\n
          • Las pol\u00edticas de dependencias definen los componentes aceptables y los procesos de aprobaci\u00f3n para las excepciones<\/li>\n<\/ul>\n\n\n\n

            Se\u00f1ales de alerta en SCA:<\/strong><\/p>\n\n\n\n

              \n
            • No existe inventario de dependencias ni SBOM para las aplicaciones de producci\u00f3n<\/li>\n\n\n\n
            • Las vulnerabilidades cr\u00edticas conocidas en las dependencias no se abordan ni se documentan<\/li>\n\n\n\n
            • SCA no est\u00e1 integrado en CI\/CD: se ejecuta manualmente o no se ejecuta en absoluto<\/li>\n\n\n\n
            • No hay gobernanza sobre qu\u00e9 componentes de terceros pueden utilizarse<\/li>\n\n\n\n
            • El cumplimiento de licencias no se monitoriza, lo que genera riesgo legal y regulatorio<\/li>\n<\/ul>\n\n\n\n
              \n\n\n\n

              Comparaci\u00f3n lado a lado: SAST frente a DAST frente a SCA desde la perspectiva de la auditor\u00eda<\/strong><\/h2>\n\n\n\n
              Dimensi\u00f3n de auditor\u00eda<\/strong><\/th>SAST<\/strong><\/th>DAST<\/strong><\/th>SCA<\/strong><\/th><\/tr><\/thead>
              Objetivo del control<\/td>Seguridad preventiva a nivel de c\u00f3digo<\/td>Validaci\u00f3n en tiempo de ejecuci\u00f3n<\/td>Gesti\u00f3n del riesgo de la cadena de suministro<\/td><\/tr>
              Calidad de la evidencia<\/td>Alta<\/td>Media-alta<\/td>Muy alta<\/td><\/tr>
              Capacidad de aplicaci\u00f3n en CI\/CD<\/td>Fuerte (gating de compilaci\u00f3n)<\/td>Media (gating de publicaci\u00f3n)<\/td>Fuerte (bloqueo de dependencias)<\/td><\/tr>
              Trazabilidad para auditor\u00eda<\/td>Alta (vinculada a commits)<\/td>Media (vinculada al entorno)<\/td>Muy alta (vinculada al SBOM)<\/td><\/tr>
              Alineaci\u00f3n con marcos de cumplimiento<\/td>Amplia<\/td>Amplia<\/td>Cr\u00edtica para las regulaciones de cadena de suministro<\/td><\/tr>
              Complejidad de gobernanza<\/td>Media (gesti\u00f3n de supresiones)<\/td>Media-alta (gobernanza de falsos positivos)<\/td>Media (gesti\u00f3n de la pol\u00edtica de dependencias)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
              \n\n\n\n

              Qu\u00e9 controles importan m\u00e1s en cada regulaci\u00f3n<\/strong><\/h2>\n\n\n\n

              DORA (Ley de Resiliencia Operativa Digital)<\/strong><\/h3>\n\n\n\n

              DORA hace hincapi\u00e9 en la gesti\u00f3n del riesgo de TIC y en la resiliencia operativa de las entidades financieras. Desde la perspectiva de la auditor\u00eda:<\/p>\n\n\n\n

                \n
              • SCA es cr\u00edtico<\/strong>: DORA exige visibilidad sobre el riesgo de terceros de TIC, incluidas las dependencias de software<\/li>\n\n\n\n
              • SAST es importante<\/strong>: respalda los controles preventivos dentro del ciclo de vida de desarrollo seguro<\/li>\n\n\n\n
              • DAST aporta validaci\u00f3n complementaria<\/strong>: demuestra la realizaci\u00f3n de pruebas en tiempo de ejecuci\u00f3n sobre los servicios desplegados<\/li>\n<\/ul>\n\n\n\n

                NIS2 (Directiva de Seguridad de las Redes y Sistemas de Informaci\u00f3n)<\/strong><\/h3>\n\n\n\n

                NIS2 se centra en la seguridad de la cadena de suministro, la gesti\u00f3n de incidentes y la gesti\u00f3n del riesgo para las entidades esenciales e importantes:<\/p>\n\n\n\n

                  \n
                • SCA es esencial<\/strong>: aborda directamente los requisitos de riesgo de la cadena de suministro y de las dependencias<\/li>\n\n\n\n
                • SAST respalda el desarrollo seguro<\/strong>: se alinea con los requisitos de pr\u00e1cticas de seguridad desde el dise\u00f1o<\/li>\n\n\n\n
                • DAST valida la exposici\u00f3n de servicios<\/strong>: ayuda a demostrar que los servicios expuestos al exterior se someten a pruebas<\/li>\n<\/ul>\n\n\n\n

                  ISO 27001<\/strong><\/h3>\n\n\n\n

                  ISO 27001 exige que las organizaciones demuestren la eficacia de los controles en todo el sistema de gesti\u00f3n de la seguridad de la informaci\u00f3n:<\/p>\n\n\n\n

                    \n
                  • Los tres controles son relevantes<\/strong>: en conjunto demuestran pr\u00e1cticas de desarrollo seguro (controles del Anexo A A.8.25-28)<\/li>\n\n\n\n
                  • SCA suele aportar la evidencia m\u00e1s clara<\/strong>: los SBOM y los inventarios de dependencias son artefactos tangibles y auditables<\/li>\n\n\n\n
                  • Los auditores deber\u00edan verificar que los controles est\u00e1n integrados en CI\/CD<\/strong>, no realizados como actividades manuales separadas<\/li>\n<\/ul>\n\n\n\n

                    SOC 2<\/strong><\/h3>\n\n\n\n

                    SOC 2 eval\u00faa los controles relacionados con la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad:<\/p>\n\n\n\n

                      \n
                    • SAST y SCA<\/strong> respaldan los criterios de servicios de confianza de Seguridad e Integridad del Procesamiento<\/li>\n\n\n\n
                    • DAST<\/strong> respalda la evidencia de las pruebas de seguridad en tiempo de ejecuci\u00f3n<\/li>\n\n\n\n
                    • Los auditores deber\u00edan centrarse en si los controles se aplican de forma coherente y producen evidencia conservada<\/strong><\/li>\n<\/ul>\n\n\n\n

                      PCI DSS<\/strong><\/h3>\n\n\n\n

                      PCI DSS incluye requisitos expl\u00edcitos para las pruebas de seguridad de aplicaciones:<\/p>\n\n\n\n

                        \n
                      • SAST se referencia directamente<\/strong> (Requisito 6.3): se exigen revisiones de c\u00f3digo o an\u00e1lisis automatizado de c\u00f3digo<\/li>\n\n\n\n
                      • DAST se referencia directamente<\/strong> (Requisitos 6.4, 11.3): las pruebas de seguridad de aplicaciones web son obligatorias<\/li>\n\n\n\n
                      • SCA respalda<\/strong> los requisitos de gesti\u00f3n de vulnerabilidades al hacer seguimiento de las vulnerabilidades conocidas en las dependencias<\/li>\n<\/ul>\n\n\n\n
                        \n\n\n\n

                        Orientaci\u00f3n pr\u00e1ctica para auditores<\/strong><\/h2>\n\n\n\n
                          \n
                        • Ning\u00fan control por s\u00ed solo es suficiente<\/strong>: las organizaciones deber\u00edan demostrar un enfoque por capas<\/li>\n\n\n\n
                        • SAST y SCA son fundamentales<\/strong>: deber\u00edan estar presentes en todo pipeline de CI\/CD maduro<\/li>\n\n\n\n
                        • DAST a\u00f1ade validaci\u00f3n en tiempo de ejecuci\u00f3n<\/strong>, pero no deber\u00eda ser el \u00fanico control de pruebas<\/li>\n\n\n\n
                        • La aplicaci\u00f3n en CI\/CD importa m\u00e1s que la profundidad del escaneo<\/strong>: un control que se ejecuta pero no act\u00faa como puerta es d\u00e9bil<\/li>\n\n\n\n
                        • La calidad de la evidencia importa m\u00e1s que el recuento de vulnerabilidades<\/strong>: busque trazabilidad, retenci\u00f3n y gobernanza<\/li>\n<\/ul>\n\n\n\n

                          Los pipelines m\u00e1s auditables utilizan:<\/p>\n\n\n\n

                          \n

                          SAST + SCA aplicados por defecto, DAST en puntos de control definidos, con todos los resultados conservados y trazables.<\/strong><\/p>\n<\/blockquote>\n\n\n\n

                          \n\n\n\n

                          Mapeo de herramientas \u2192 controles<\/strong><\/h2>\n\n\n\n

                          La comparaci\u00f3n anterior se centra en lo que SAST, DAST y SCA logran como controles individuales. En un pipeline real, esos controles de pruebas conviven con un conjunto m\u00e1s amplio de categor\u00edas de herramientas, y los auditores no eval\u00faan ninguno de forma aislada: eval\u00faan qu\u00e9 controles se aplican, d\u00f3nde y con qu\u00e9 coherencia<\/strong>. Una herramienta de seguridad solo tiene valor de auditor\u00eda cuando aplica un control concreto y genera evidencia fiable. El mapeo siguiente muestra c\u00f3mo cada categor\u00eda de herramientas de seguridad de CI\/CD respalda los controles fundamentales que se esperan en entornos empresariales y regulados, y qu\u00e9 evidencia deber\u00eda producir cada una.<\/p>\n\n\n\n\n

                          \n\n\n Modelo de seguridad de CI\/CD: herramientas \u2192 controles \u2192 evidencia<\/title>\n \n Modelo conceptual de seguridad de CI\/CD que muestra c\u00f3mo las herramientas aplican controles\n y generan evidencia de auditor\u00eda en entornos empresariales y regulados.\n <\/desc>\n\n