¿Cómo es un SDLC seguro?

Un SDLC seguro significa que la seguridad es una propiedad de cómo construyes el software, no un escaneo que ejecutas la semana antes del lanzamiento. Los entrevistadores preguntan sobre él para calibrar si sabes operacionalizar el «shift-left» — mover el descubrimiento de defectos antes, donde una corrección cuesta un comentario de código en lugar de un incidente.

Seguridad en cada fase

• Requisitos. Capturar requisitos de seguridad y casos de abuso junto a las funcionalidades — «qué nunca debería permitir esto» es tan importante como «qué debería hacer».
• Diseño. Modelar las amenazas de la arquitectura y elegir patrones seguros antes de que exista código alguno. El bug más barato de corregir es el que nunca se construye.
• Implementación. Estándares de codificación segura, más SAST y SCA (análisis de composición de software/dependencias) automatizados ejecutándose en el IDE y en cada pull request para una retroalimentación inmediata.
• Pruebas. DAST, fuzzing y pruebas de penetración manuales dirigidas contra builds en ejecución.
• Liberación. Gates de seguridad y aprobación — pero ajustados al riesgo, de modo que un hallazgo informativo de baja gravedad no bloquee un despliegue mientras que uno crítico sí.
• Operación. Monitorización en runtime, parcheo, higiene de secretos y configuración, y realimentar los incidentes a los requisitos y modelos de amenazas.

Por qué funciona el shift-left

El coste de corregir un defecto sube drásticamente cuanto más tarde se encuentra. Atrapar un fallo de inyección en una comprobación SAST de pull request cuesta minutos; atraparlo como brecha cuesta divulgación, caída de servicio y confianza. El shift-left simplemente mueve el punto de descubrimiento a donde la remediación es barata.

Medir la madurez

Se gestiona lo que se mide. OWASP SAMM es un modelo de madurez prescriptivo y autoevaluable que abarca gobernanza, diseño, implementación, verificación y operación. BSIMM es descriptivo — reporta lo que las empresas reales hacen de verdad, para que puedas compararte con tus pares.

Qué buscan los entrevistadores

Quieren puntos de contacto concretos por fase, la herramienta correcta en el lugar correcto (SAST temprano, DAST sobre aplicaciones en ejecución, SCA para dependencias), gates ajustados al riesgo en lugar de bloqueadores generales, y conciencia de que un modelo de madurez convierte «nos importa la seguridad» en algo medible.