La norma que nadie lee
Casi todas las organizaciones tienen una norma de seguridad o de infraestructura: un documento con reglas razonables. Casi todas tienen también recursos que la incumplen. No por mala fe, sino porque quien escribe el cambio no tiene la norma delante en ese momento, y quien revisa no puede comprobar treinta reglas a ojo en cada cambio.
De documento a comprobación
La alternativa es escribir las reglas como código que se ejecuta contra cada plan antes de aplicarlo:
- "Ningún almacenamiento de datos puede ser público."
- "Todos los discos y bases de datos van cifrados."
- "Todo recurso lleva las etiquetas de dueño, aplicación y entorno" (las que necesita la asignación de costos).
- "Solo se permiten estas regiones."
- "Ningún puerto de administración abierto a internet."
Si el plan incumple alguna, el cambio se detiene con un mensaje que dice qué regla, en qué recurso y por qué.
Niveles de severidad
No todas las reglas pesan igual:
- Bloqueantes: el cambio no se aplica (datos expuestos, cifrado desactivado).
- Avisos: se aplica, pero queda registrado y alguien lo revisa (etiqueta opcional ausente).
Y para los casos excepcionales, excepciones documentadas: con dueño, motivo y fecha de revisión, nunca silenciosas (la misma lógica que en homologar sin frenar).
Por qué funciona
La norma deja de depender de la memoria de quien escribe y de la atención de quien revisa. Se cumple siempre, en todos los entornos, en cada cambio. Y como la regla está escrita en un solo sitio, mejorarla mejora todas las revisiones a la vez.
Las reglas protegen lo que se construye desde el código. Queda lo que ya existía antes de él.
Cómo lo aplicamos: Automatización e IaC.