Qué es una política como código

Una política en prosa dice qué debe pasar; una política como código lo dice en un formato que un motor evalúa sin interpretar. Esa traducción trae tres ventajas prácticas: la regla vive en un repositorio con historial (se sabe quién la cambió y por qué), pasa por revisión como cualquier otro cambio, y se ejecuta igual cada vez, sin depender de que alguien se acuerde de mirar.

No sustituye al criterio humano: alguien tiene que decidir qué requisito merece una regla, con qué severidad y con qué excepciones. Lo que cambia es que esa decisión queda escrita en algo ejecutable y verificable.

Una misma exigencia puede aplicarse en tres momentos. Prevenir: la regla actúa antes de que el recurso exista (en la canalización que despliega, o como una política que rechaza la petición). Detectar: el recurso ya existe y la regla lo evalúa y lo marca como no conforme. Corregir: además de marcarlo, algo lo arregla, a mano o con un proceso automático.

Prevenir es lo más barato, pero solo ve lo que pasa por ese camino; detectar ve lo que ya existe, incluido lo creado por otras vías. Por eso las organizaciones maduras combinan las dos. La columna modo de reglas-vigentes.csv dice en cuál de los momentos actúa cada regla.

Abre politica-escrita.txt. Cada requisito lleva una etiqueta que dice cómo debe tratarse: los bloqueantes no deben llegar a existir y los de vigilancia se detectan y se corrigen después. Luego abre reglas-vigentes.csv, donde cada regla indica a qué requisito responde.

El hueco más peligroso de una política como código es el requisito que existe en el papel y no tiene ninguna regla detrás: todo el mundo cree que está cubierto y nadie lo evalúa.

Un requisito marcado como bloqueante dice que el problema no debe llegar a existir. Si la única regla que lo cubre solo detecta, el requisito se cumple a medias: el recurso se crea y la regla avisa después, cuando ya hubo exposición.

Cruza la etiqueta de cada requisito con el modo de las reglas que lo cubren. Un requisito bloqueante con una regla preventiva ya está bien servido aunque tenga además otra que detecta.

Detectar sirve si se mide. evaluacion-ultima.csv trae cuántos recursos evaluó cada regla y cuántos resultaron no conformes. El porcentaje de no conformes es la primera cifra que un responsable pide: dice cuánto del parque incumple el requisito, no solo cuántas alertas hay.