Instalamos los controles de seguridad dentro del pipeline que su equipo ya usa, de forma gradual para no frenar las entregas. Al terminar, cada cambio pasa por un escaneo de secretos, dependencias, contenedores y código.
Un pentest encuentra fallas en un momento. Si el proceso que las produjo sigue igual, vuelven a aparecer en la siguiente versión.
El otro error común es el contrario: activar diez herramientas a la vez en modo bloqueante. El pipeline se llena de alertas, el equipo deja de confiar en ellas y alguien termina desactivándolas un viernes por la tarde.
La forma de hacerlo viene de la experiencia del fundador operando CI/CD en producción: empezar por lo que no admite discusión (secretos en el repositorio), medir antes de bloquear, ajustar el ruido con el equipo y endurecer por etapas, siempre con una forma rápida de revertir un despliegue.
Incluido
Fuera de alcance
| Entregable | Qué contiene |
|---|---|
| Pipeline instrumentado | Los controles configurados en su plataforma de CI (GitLab CI, GitHub Actions, Azure Pipelines, Bitbucket u otra) y documentados en el propio repositorio. |
| Línea base de hallazgos | Inventario inicial de secretos, dependencias vulnerables y problemas de configuración, priorizado. |
| Política de bloqueo | Qué bloquea, qué advierte y cómo se gestiona una excepción, acordado con el equipo. |
| Guía para el equipo | Cómo leer un resultado, cómo marcar un falso positivo y cómo actuar ante un secreto filtrado. |
| Sesión de traspaso | Con los desarrolladores que mantendrán el pipeline. |
Desde USD 1.490, con una duración típica de 2 a 4 semanas. Precio sin IVA. Depende del número de repositorios y pipelines.
Qué sube el precio
Algo, y lo medimos. El objetivo habitual es que los controles agreguen pocos minutos, con los análisis más pesados programados aparte o solo en la rama principal.
Los encontramos y le ayudamos a rotarlos. Borrar el historial no basta: un secreto que estuvo en un repositorio se considera expuesto y se cambia.
El fundador ha trabajado sobre todo con GitLab CI, GitHub Actions y Azure Pipelines. Las herramientas que usamos son de código abierto y funcionan en cualquier plataforma que ejecute contenedores.
El pipeline queda en su repositorio y es suyo. Si quiere que alguien lo mantenga y vigile los CVE de su stack, eso es el plan de Seguridad continua.
Siguiente paso
Entendemos su sistema, lo que le preocupa y el plazo, y le decimos si podemos ayudar. La llamada no tiene costo y no compromete a nada.