Atestación de desarrollo seguro, qué se declara y qué evidencia la respalda

Una atestación de desarrollo seguro es la declaración, hecha por quien tiene autoridad para obligar a la empresa, de que sus prácticas cumplen lo que el cliente pide. Los clientes grandes la exigen para decidir si contratan un software y suelen apoyarla en prácticas del SSDF (NIST SP 800-218), de modo que cada declaración remite a una práctica concreta.

Declarar no prueba. Lo que da peso a la atestación es la evidencia: un registro, una configuración o un informe que cualquiera puede localizar, con fecha, y que demuestra que la práctica se aplica. Y lo que da fe de la atestación es quien la firma: declarar «cumple» sin respaldo puede costar más que declarar «parcial» con un plan.

Abre las reglas de Cetrero Seguros y el borrador de Tarabita. La primera regla dice que cada declaración cita la evidencia que la respalda. Una de las declaraciones del borrador dice «cumple» y no cita ninguna.

El cliente fija una ventana: la evidencia no puede ser anterior al 1 de octubre de 2025. Una evidencia puede ser perfecta y estar fuera de plazo; entonces la declaración no está respaldada hasta que se renueve. Cruza las fechas del borrador con la regla del cliente.

Antes de que la directora firme, conviene un recuento: cuántas declaraciones tienen una evidencia citada y dentro de la ventana, tanto las que dicen «cumple» como la que dice «parcial». Ese número es el que se defiende en una reunión con el cliente.

Faltan dos filas respaldadas, y la reunión con el cliente es mañana. La directora quiere firmar sin cambios porque «las prácticas existen, solo falta el papel». Las reglas del cliente admiten «parcial» con un plan de qué falta y para cuándo.