Caso final — Reja Salud

Nadie te entrega los hallazgos de Reja. El método es el mismo que usaste en Cauce: recorrer la cadena etapa por etapa y poner en cada una el control que le corresponde —secretos y análisis del código sobre el repositorio, dependencias sobre la lista resuelta, escaneo sobre la imagen construida, revisión sobre la infraestructura como código— y leer lo que cada uno reporta. No se empieza por lo que grita ni por lo que se arregla rápido: se empieza revisando la cadena completa, porque un hallazgo suelto no dice cuál es el riesgo mayor hasta que están todos sobre la mesa.

Transferir el método significa saber por dónde entrar sin que nadie te lo indique: los controles del oficio, en las etapas donde viven.

Al pasar los controles sobre la cadena de Reja, salen cuatro hallazgos. El escaneo de secretos encuentra una clave de la pasarela de pagos, activa, escrita en un archivo de configuración del repositorio. La revisión de dependencias marca una librería con un fallo crítico explotable y arreglo publicado. El escaneo de imagen reporta un paquete del sistema, heredado de la base, con un fallo crítico y versión corregida disponible. Y el escaneo de infraestructura como código señala el almacenamiento de historiales médicos declarado con acceso de lectura público. Ninguno estaba etiquetado; cada uno salió del control que le tocaba.

Reconocer los cuatro por lo que son —secreto vivo, dependencia crítica, paquete crítico en la imagen, almacenamiento de datos médicos expuesto— es el paso previo a ordenarlos.

Los cuatro hallazgos paran el despliegue, pero no se arreglan a la vez, así que hay que ordenarlos por riesgo real: exposición e impacto. La clave de pagos activa en el repositorio y el almacenamiento de historiales médicos abierto a internet son exposición directa e inmediata de algo valioso —dinero y datos médicos— accesible ahora mismo por cualquiera; van arriba de la cola. El fallo crítico en la dependencia y el de la imagen son graves y hay que arreglarlos antes de desplegar, pero requieren que alguien alcance y explote el servicio, no están regalados al público como los otros dos. Priorizar es atender primero lo que ya está expuesto y dolería más.

Poner arriba la exposición directa de datos sensibles y de la credencial viva, y no lo que se arregla rápido, es exactamente el criterio que la ruta entrenó.

Arreglar los cuatro hallazgos de hoy no impide que mañana entre uno nuevo: por eso la cadena de Reja no queda protegida hasta que el criterio se convierte en umbral atado a la fusión. El umbral que corresponde, con lo aprendido, es claro: cero secretos válidos en el repositorio, cero hallazgos críticos con arreglo en código, dependencias e imagen, y ningún almacenamiento de datos sensibles con acceso público en la infraestructura; todo ello como comprobación obligatoria para fusionar hacia producción, sin bypass. Lo de severidad menor se registra sin bloquear. Dejar el umbral puesto es lo que hace que el arreglo de hoy no haya que repetirlo la semana que viene.

Convertir el criterio en un umbral obligatorio en la fusión es lo que separa apagar cuatro fuegos de dejar la cadena protegida.

El caso cierra con lo que le entregas al equipo de Reja, y es la evidencia, no tu palabra. Por cada hallazgo va la cadena completa: qué control lo encontró, la salida que lo sostiene —el commit y el archivo del secreto, el identificador del fallo y la versión con arreglo de la dependencia y de la imagen, la regla y la línea del acceso público—, la acción de arreglo, y si paró el despliegue o se documentó como excepción. Y va la lista de materiales de software de la versión, para que ante un fallo nuevo se pueda responder al instante si Reja lo lleva. Entregar eso es cerrar como cierra un ingeniero DevSecOps: con la cadena asegurada y cada decisión sostenida en evidencia.

Si entregaste el paquete con la evidencia de cada control y el umbral puesto, sin que nadie te dijera dónde mirar, el método de la ruta ya es tuyo.

El caso no se cierra con una sensación, sino con un dato que el equipo de Reja puede verificar. Con los cuatro hallazgos atendidos y el umbral atado a la fusión, el tablero de la cadena emite la constancia del cierre.