{"id":179461,"date":"2024-12-27T13:37:19","date_gmt":"2024-12-27T16:37:19","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/ar\/sin-categoria\/dark-deploys-riesgoseguridad\/"},"modified":"2025-11-21T16:00:25","modified_gmt":"2025-11-21T19:00:25","slug":"dark-deploys-riesgoseguridad","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/ar\/columna-de-opinion\/dark-deploys-riesgoseguridad\/","title":{"rendered":"Dark deploys: los riesgos de trabajar por afuera de las pol\u00edticas de seguridad"},"content":{"rendered":"

Por Luciano Moreira, Chief DevSecOps Strategy Officer (CDSO) de Cloud Legion<\/a>.<\/strong><\/em><\/p>\n

Las presiones llegan desde todas las direcciones. Primero, el \u00e9xito de los negocios en la era digital dependen del software y las aplicaciones<\/strong>. Luego, las regulaciones se vuelven cada d\u00eda m\u00e1s estrictas en lo que hace a la mitigaci\u00f3n de vulnerabilidades de ciberseguridad<\/strong>.<\/p>\n

Y, por \u00faltimo, el panorama de amenazas se hace m\u00e1s complejo, voluminoso y sofisticado: un informe reciente de Kaspersky<\/strong><\/a>, empresa especializada en soluciones para este segmento, calcula que las empresas latinoamericanas sufren 3,1 millones de ataques diarios<\/strong>. En simult\u00e1neo, otra compa\u00f1\u00eda experta, Tenable<\/strong>, detect\u00f3 que el 38% de las empresas tienen exposiciones t\u00f3xicas en la nube<\/strong>, esto es, que exponen p\u00fablicamente cargas de trabajo claves con vulnerabilidades cr\u00edticas.<\/p>\n

\"dark
Dark Deploys: el 38% de las empresas enfrentan exposiciones t\u00f3xicas en la nube, revelando vulnerabilidades cr\u00edticas que pueden poner en peligro sus operaciones, seg\u00fan Tenable.<\/figcaption><\/figure>\n

Todo esto hace que la seguridad se haya convertido en una de las principales prioridades para cualquier equipo de desarrollo<\/strong>. Y si bien en muchos entornos \u00e1giles DevOps existen procesos dise\u00f1ados con medidas de seguridad integradas de extremo a extremo, en la pr\u00e1ctica abundan lo que se conoce como \u201cdark deploys\u201d: procesos secundarios y flujos de trabajo alternativos que escapan a las pol\u00edticas autorizadas y que tienen como objetivo simplificar el trabajo del d\u00eda a d\u00eda<\/strong>.<\/p>\n

En simult\u00e1neo, los ciclos de desarrollo suelen incluir activos de terceros que ingresan al pipeline a trav\u00e9s de repositorios de c\u00f3digo fuente. Esto representa un riesgo y una apuesta: la empresa depende de la madurez que ese tercero tenga en materia de ciberseguridad y se podr\u00eda estar almacenando c\u00f3digo que no ofrece niveles de seguridad elevados y que expone a toda la organizaci\u00f3n a vulnerabilidades que est\u00e1n \u201cfuera del radar\u201d.<\/p>\n

Una problem\u00e1tica adicional<\/strong>: muchas veces, diferentes equipos cuentan con prioridades, entornos de prueba y de desarrollo y presupuestos separados. En estos casos, lograr una uniformidad de pol\u00edticas y est\u00e1ndares suele ser bastante dificultoso.<\/p>\n

\"width=\"
A pesar de contar con procesos \u00e1giles y de seguridad integrados en los flujos de trabajo DevOps, los ‘dark deploys’ siguen representando un riesgo significativo para las organizaciones.<\/figcaption><\/figure>\n

Los riesgos de los ‘dark deploys’: una amenaza oculta en los procesos de desarrollo<\/span><\/h2>\n

Los dark deploys habilitan riesgos como la \u201cejecuci\u00f3n por pipeline envenenado\u201d<\/strong> (PPE, por sus siglas en ingl\u00e9s): una vulnerabilidad que los atacantes pueden aprovechar para inyectar c\u00f3digo malicioso en un proceso de ejecuci\u00f3n<\/strong>. Tambi\u00e9n, podr\u00eda provocar una escalada de privilegios y una fuga de datos a partir de controles de accesos insuficientes basados en el pipeline.<\/p>\n

La buena noticia<\/strong>: existen mejores pr\u00e1cticas para lidiar con esta problem\u00e1tica. Una de ellas es el uso de herramientas AST (application security testing, prueba de seguridad de aplicaciones)<\/strong>, ideales para reportar riesgos, incrementar la evaluaci\u00f3n del c\u00f3digo y aumentar los controles.<\/p>\n

\"width=\"
Dark Deploys: adoptar plataformas de seguridad integradas proporciona una visi\u00f3n unificada de todos los proyectos, facilitando el monitoreo y control de las vulnerabilidades en tiempo real.<\/figcaption><\/figure>\n

A nivel organizacional tambi\u00e9n es necesario realizar algunas adaptaciones: algunas de las principales son regular el uso de servicios de terceros y restringirlo a aquellos que cumplan los controles de seguridad aprobados internamente, adoptar un enfoque de seguridad basado en plataformas que ofrezcan una visi\u00f3n \u00fanica de todos los proyectos y de todos los equipos o limitar el acceso a recursos a grupos limitados.<\/p>\n

Las amenazas crecen en n\u00famero y en complejidad<\/strong>. Los equipos de desarrollo que tomen r\u00e1pidamente cartas en el asunto y bloqueen los dark deploys estar\u00e1n iluminando con seguridad y confianza, y de extremo a extremo, sus procesos de desarrollo de software.<\/p>\n","protected":false},"excerpt":{"rendered":"

Por Luciano Moreira, Chief DevSecOps Strategy Officer (CDSO) de Cloud Legion. Las presiones llegan desde todas las direcciones. Primero, el éxito de los negocios en la era digital dependen del software y las aplicaciones. Luego, las regulaciones se vuelven cada día más estrictas en lo que hace a la mitigación de vulnerabilidades de ciberseguridad. Y, por último, el panorama de amenazas se hace más complejo, voluminoso y sofisticado: un informe reciente de Kaspersky, empresa especializada en soluciones para este segmento, calcula que las empresas latinoamericanas sufren 3,1 millones de ataques diarios. En simultáneo, otra compañía experta, Tenable, detectó que el 38% de las empresas tienen exposiciones tóxicas en la nube, esto es, que exponen públicamente cargas de trabajo claves con vulnerabilidades críticas. Todo esto hace que la seguridad se haya convertido en una de las principales prioridades para cualquier equipo de desarrollo. Y si bien en muchos entornos ágiles DevOps existen procesos diseñados con medidas de seguridad integradas de extremo a extremo, en la práctica abundan lo que se conoce como “dark deploys”: procesos secundarios y flujos de trabajo alternativos que escapan a las políticas autorizadas y que tienen como objetivo simplificar el trabajo del día a día. En simultáneo, los ciclos de desarrollo suelen incluir activos de terceros que ingresan al pipeline a través de repositorios de código fuente. Esto representa un riesgo y una apuesta: la empresa depende de la madurez que ese tercero tenga en materia de ciberseguridad y se podría estar almacenando código que no ofrece niveles de seguridad elevados y que expone a toda la organización a vulnerabilidades que están “fuera del radar”. Una problemática adicional: muchas veces, diferentes equipos cuentan con prioridades, entornos de prueba y de desarrollo y presupuestos separados. En estos casos, lograr una uniformidad de políticas y estándares suele ser bastante dificultoso. Los riesgos de los ‘dark deploys’: una amenaza oculta en los procesos de desarrollo Los dark deploys habilitan riesgos como la “ejecución por pipeline envenenado” (PPE, por sus siglas en inglés): una vulnerabilidad que los atacantes pueden aprovechar para inyectar código malicioso en un proceso de ejecución. También, podría provocar una escalada de privilegios y una fuga de datos a partir de controles de accesos insuficientes basados en el pipeline. La buena noticia: existen mejores prácticas para lidiar con esta problemática. Una de ellas es el uso de herramientas AST (application security testing, prueba de seguridad de aplicaciones), ideales para reportar riesgos, incrementar la evaluación del código y aumentar los controles. A nivel organizacional también es necesario realizar algunas adaptaciones: algunas de las principales son regular el uso de servicios de terceros y restringirlo a aquellos que cumplan los controles de seguridad aprobados internamente, adoptar un enfoque de seguridad basado en plataformas que ofrezcan una visión única de todos los proyectos y de todos los equipos o limitar el acceso a recursos a grupos limitados. Las amenazas crecen en número y en complejidad. Los equipos de desarrollo que tomen rápidamente cartas en el asunto y bloqueen los dark deploys estarán iluminando con seguridad y confianza, y de extremo a extremo, sus procesos de desarrollo de software.<\/p>\n","protected":false},"author":229,"featured_media":179472,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[50],"tags":[522],"class_list":["post-179461","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-columna-de-opinion","tag-cloud-legion"],"_links":{"self":[{"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/posts\/179461","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/users\/229"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/comments?post=179461"}],"version-history":[{"count":0,"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/posts\/179461\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/media\/179472"}],"wp:attachment":[{"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/media?parent=179461"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/categories?post=179461"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itsitio.com\/ar\/wp-json\/wp\/v2\/tags?post=179461"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}