¿Cómo mejorar el SEO para los motores de búsqueda japoneses?

Los contenedores se han convertido en la unidad por defecto para el despliegue de software en muchos equipos. Según un informe de la CNCF, el 91 % de las organizaciones utilizan actualmente contenedores en producción. Cuando algo está tan extendido, las mejoras más eficaces suelen parecer insignificantes sobre el papel: un conjunto de comprobaciones que se pueden ejecutar de forma sistemática, en el mismo lugar y con los mismos resultados. En este artículo, crearemos un paquete inicial de seguridad de contenedores de código abierto, apto para principiantes, que se integre en un proceso normal de CI/CD, utilizando herramientas de seguridad de contenedores de código abierto: un análisis de imágenes, un SBOM y un sencillo filtro de políticas.

Explicaré por qué, basándome en los datos de adopción de la CNCF, fundamentaré la parte del SBOM en los elementos mínimos de la NTIA y haré referencia al DBIR de Verizon para mostrar por qué la visibilidad de la cadena de suministro es ahora una necesidad diaria. Al finalizar, dispondrás de una lista de comprobación sencilla que podrás implementar sin cambiar de plataforma, así como de un marco más claro para decidir a qué debes prestar atención cuando las preocupaciones por las vulnerabilidades empiecen a acumularse.

Tus contenedores tienen dependencias

La seguridad de los contenedores rara vez falla por falta de cuidado; falla porque hay demasiados elementos en movimiento de los que hay que estar al tanto. La CNCF informó de que el número medio de contenedores utilizados por las organizaciones era de 2.341 en 2024 (frente a los 1.140 de 2023), lo que es una forma clara de decir que se necesitan hábitos repetibles, no esfuerzos heroicos.

Por eso me gusta el concepto de los «recibos de seguridad».

No se trata de papeleo por el simple hecho de hacerlo, sino de pequeños artefactos que acompañan a una imagen y responden rápidamente a las preguntas de quien venga después.

Si tu compilación puede generar de forma sistemática tres recibos, ya has elevado el nivel de referencia:

• Un recibo de análisis de la imagen te indica qué problemas conocidos existen actualmente (y te ofrece un punto de referencia con el que comparar mañana).
• Un recibo de SBOM te indica qué es lo que realmente has distribuido, en un formato estructurado y fácil de compartir.
• Un recibo de política registra que tu proceso aplicó una regla y aprobó o bloqueó el lanzamiento.

Hay un efecto secundario útil: estos recibos acortan las conversaciones. En lugar de debatir sobre percepciones subjetivas del riesgo, se analizan los mismos resultados y se decide de forma conjunta.

Una realidad práctica que hay que tener en cuenta: las listas de vulnerabilidades tienden a crecer con el tiempo, incluso cuando los equipos aplican parches con diligencia. Por eso es importante reducir el ruido y centrarse en los elementos sobre los que se puede actuar. Un paquete de inicio ayuda a un equipo pequeño a lograrlo.

CI/CD como piloto automático de seguridad

Si quieres que esto funcione a largo plazo, tiene que encajar en el entorno donde ya se realiza el trabajo. La CNCF informó de que el 60 % de las organizaciones utilizan CI/CD en producción para la mayoría o todas las aplicaciones, lo que significa que el pipeline ya se encuentra en el lugar en el que los equipos confían para que el trabajo pase de «terminado» a «enviado».

Así que no necesitamos un programa complejo para empezar. Necesitamos tres acciones predeterminadas que tu pipeline ejecute para cada imagen de contenedor, y un momento en el que se le permita decir «basta».

He aquí un flujo sencillo que, aun así, te ofrece una ventaja real:

• Compila la imagen del contenedor y etiquétala de forma predecible (para que, más adelante, los artefactos se asocien claramente a la compilación correcta).
• Ejecuta un análisis de vulnerabilidades de código abierto en esa imagen y guarda los resultados como un artefacto de compilación que puedas revisar más tarde.
• Genera una SBOM en un formato legible por máquina y guárdala junto con la imagen (o con un puntero específico para cada versión).
• Aplica un control de política que evalúe los resultados del análisis y del SBOM, y que devuelva un claro «aprobado» o «suspendido» para la implementación.

La primera regla más sencilla es aquella que enseña el comportamiento adecuado sin crear fricciones constantes. Una buena opción es «sin SBOM, no hay despliegue», ya que es objetiva y fomenta la transparencia como parte habitual del proceso de lanzamiento.

Luego, una vez que esto se haya estabilizado, puedes ir endureciendo tu política poco a poco. Quizás añadas un umbral de vulnerabilidad o exijas que la SBOM incluya los campos que más importan a tu organización. Los equipos suelen intentar empezar con la política perfecta y acaban con una política en la que nadie confía. Empezar poco a poco no rebaja los estándares; hace que sean más fáciles de mantener.

Las SBOM desmitifican la seguridad de la cadena de suministro

Gran parte de la ansiedad relacionada con la cadena de suministro proviene de no saber de qué se depende, o quién más depende de ello. El DBIR 2025 de Verizon destaca que el 30 % de las infracciones estaban relacionadas con la participación de terceros. Verizon también señala que el periodo de incidentes cubierto por el DBIR 2025 abarca desde el 1 de noviembre de 2023 hasta el 31 de octubre de 2024.

Aquí es donde las SBOM demuestran su utilidad. La NTIA define una SBOM como un registro formal que contiene los detalles y las relaciones en la cadena de suministro de los componentes utilizados en la creación de software. La NTIA también establece los elementos mínimos en tres categorías: campos de datos, soporte para la automatización y prácticas/procesos. Esa estructura hace que el trabajo con las SBOM sea práctico, en lugar de meramente teórico.

En cuanto al soporte a la automatización, la NTIA destaca los formatos comunes de SBOM utilizados para generar y utilizar estas listas, entre los que se incluyen SPDX, CycloneDX y las etiquetas SWID. Esto es importante para la seguridad de los contenedores, ya que las máquinas no pueden hacer cumplir lo que no pueden leer. Si tu SBOM es coherente y legible por máquina, tu control de políticas se vuelve fiable en lugar de frágil.

Las expectativas respecto a las SBOM siguen madurando. La CISA ha actualizado sus recomendaciones sobre las características mínimas que deben tener las SBOM, incluyendo los campos de datos de las SBOM, el nivel de exhaustividad esperado, la identificación de dependencias «conocidas-desconocidas» y la importancia de actualizar los registros obsoletos. Y recuerda: si no puedes responder rápidamente a la pregunta «¿qué contiene esta imagen?», ¿qué grado de confianza puedes tener cuando llegue la próxima alerta de vulnerabilidad en un día ajetreado?

Las pequeñas comprobaciones aportan una gran confianza

La verdadera ventaja de un paquete de inicio de código abierto es la coherencia que puedes explicar. Un análisis de la imagen te ofrece una instantánea actualizada, una SBOM te proporciona un registro de inventario limpio y un sencillo filtro de políticas convierte ambos en una decisión que tu proceso puede hacer cumplir.

También hay un aspecto práctico en todo esto. La CNCF informó de que la región de Asia-Pacífico alcanzó un 84 % de adopción de técnicas nativas de la nube, al menos en el nivel «algo» (algo, mucho o casi todo), lo que nos recuerda que los equipos de Vietnam y sus alrededores están desarrollando con los mismos componentes modernos que el resto.

Así que no esperes a una renovación completa de la plataforma para lograr avances significativos en la seguridad de los contenedores; empieza por hacer que tu proceso genere esos tres registros para cada imagen y, a continuación, ve perfeccionándolo.