Ciclo de despliegue continuo, el control se mueve a la tubería

En una empresa con ciclos largos, el analista escanea lo que ya está en producción y abre tickets para corregirlo. Con despliegue continuo ese modelo sigue haciendo falta, pero llega tarde: un fallo introducido el lunes ya estuvo en producción cuando el escaneo del viernes lo encuentra.

Por eso la gestión se desplaza hacia la tubería. Antes de que un cambio llegue a producción se analizan sus dependencias, su código y su imagen, y una regla escrita decide si el cambio pasa, se bloquea o necesita una excepción. El escaneo de producción no desaparece: sigue cubriendo lo que cambia sin pasar por la tubería y las vulnerabilidades publicadas después del despliegue.

Una puerta de seguridad solo vale si se puede comprobar que se aplicó. El registro de la tubería dice, por cada despliegue, qué resultado dio la puerta y cuántos hallazgos críticos tenía. Los resultados posibles son tres: aprobada, bloqueada u omitida. Una omisión es legítima solo si hay una excepción que la respalde.

Abre reglas-tuberia.txt y despliegues.csv. Busca el despliegue cuya puerta se omitió, que llevaba hallazgos críticos y que no tiene ninguna excepción registrada.

Una excepción es una decisión de riesgo, no un trámite. Las reglas de la tubería dicen quién puede aprobarla y por cuánto tiempo. Si la persona que escribe el cambio puede aprobar su propia excepción, la puerta deja de ser un control y pasa a ser una formalidad.

Compara excepciones.csv con la regla correspondiente de reglas-tuberia.txt. No importa que el motivo suene razonable: aquí se verifica la aprobación.

Un despliegue bloqueado no llegó a producción, aunque tuviera críticos. Contarlo como riesgo expuesto exagera el problema; olvidar uno omitido lo subestima. Para informar a la dirección hace falta la cifra correcta: los despliegues que sí llegaron a producción con al menos un hallazgo crítico, estén o no respaldados por una excepción.

Cuenta con despliegues.csv: descarta los bloqueados y los que no traían críticos.

A veces hay que corregir una caída o un fallo grave y la tubería tarda. Una regla sensata permite una vía de emergencia, pero con límites: queda registrada, la aprueba la persona con autoridad para ello y el hallazgo omitido se revisa pronto. Sin esos límites, la emergencia se vuelve la forma habitual de desplegar.