¿Qué es el gobierno del código?

El gobierno del código ha pasado de ser un conjunto de procesos manuales a una práctica automatizada basada en políticas. Esto se debe en gran medida al hecho de que las bases de código grandes y complejas requieren marcos de gobierno que puedan escalar en tamaño y sofisticación.

La revolución DevOps de los años 2010 desafió los modelos de gobierno que dependían de aprobaciones manuales y control centralizado. Hoy en día, los sistemas automatizados hacen cumplir los procesos y el concepto de "shift left" ha visto las actividades de seguridad y cumplimiento moverse a una etapa más temprana del ciclo de vida del desarrollo de software (SDLC).

La aparición de la IA generativa ha introducido una capa de gobierno completamente nueva. Ahora, los desarrolladores pueden generar cantidades sustanciales de código utilizando herramientas machine learning basadas en modelos de lenguaje de gran tamaño (LLM), lo que aumenta drásticamente la velocidad de desarrollo. Sin embargo, el gobierno del código ha tenido que evolucionar para abordar la calidad del código de los outputs generados por la IA, junto con los riesgos de seguridad asociados, las preocupaciones de propiedad intelectual, las políticas de uso de modelos y más.

Las organizaciones están implementando ahora políticas de gobierno que especifican cuándo se puede usar código generado por IA, cómo debe revisarse y qué pasos de validación son necesarios antes de la implementación.

Estos son algunos de los componentes más comunes del gobierno del código.

El código de baja calidad contribuye a la deuda técnica, lo que a su vez socava la escalabilidad de la pila tecnológica. Los estándares de codificación definen cómo los desarrolladores deben escribir y organizar el código para evitar esto. Estos estándares cubren áreas como convenciones de nombres, formato, documentación, estructura de archivos y buenas prácticas; pequeños problemas que se acumulan mucho con el tiempo en una base de código grande.

Cuando todos los desarrolladores siguen los mismos estándares, es más fácil trabajar con el código. Los ingenieros dedican menos tiempo a descifrar el trabajo de los demás y más tiempo a construir cosas nuevas.

Los sistemas de control de versiones definen cómo los equipos gestionan los cambios en el código fuente. Estas políticas definen flujos de trabajo para crear ramas, fusionar código y escribir mensajes de confirmación. Los sistemas de control de versiones pueden generar registros de auditoría que ayudan a evitar sobrescrituras accidentales, lo que ayuda a garantizar un historial claro de cambios. Ahora los equipos saben quién hizo las modificaciones específicas y por qué.

Los procesos de reseñas de código requieren que otros desarrolladores examinen los cambios de software antes de que se fusionen en la base de código. Las reseñas tienen varios propósitos, como identificar errores, validar las decisiones de diseño y compartir conocimientos entre todo el equipo. Las reseñas bien ejecutadas conducen a un software de mayor calidad.

El gobierno de la seguridad garantiza que el software se desarrolle y mantenga de acuerdo con los requisitos de seguridad y las normas de cumplimiento establecidos, de modo que su desarrollo se ajuste a una estrategia de gestión de riesgos más amplia. Esto incluye prácticas como el escaneo de vulnerabilidades de seguridad, controles de acceso, gestión de dependencias, detección secreta, directrices de codificación segura y revisiones periódicas. El gobierno de la seguridad integra las medidas de protección a lo largo del ciclo de vida del desarrollo, no solo al final.

El gobierno de pruebas ayuda a garantizar que el software cumpla con todos los estándares establecidos antes de ser implementados. Pero a las pruebas también se les ha aplicado el "shift left". Al integrar los requisitos de pruebas en los flujos de trabajo de CI/CD, los equipos pueden detectar los defectos antes y reducir el riesgo de introducir regresiones en los entornos de producción.

El cumplimiento y la auditabilidad se centran en garantizar que el software y su proceso de desarrollo cumplen con los requisitos reglamentarios. Las aprobaciones documentadas, los historiales de cambios y los registros de pruebas son algunas de las medidas de cumplimiento más comunes relacionadas con el código.

Los controles de integración continua y entrega continua (CI/CD) rigen los procesos automatizados utilizados para implementar el software. Estos controles definen qué comprobaciones automáticas deben pasar antes de que el código pueda moverse entre entornos. El gobierno de CI/CD ayuda a garantizar que el software que llega a la producción cumple con los estándares predefinidos y, al mismo tiempo, promueve la reducción del riesgo en todas las implementaciones.

El gobierno como código (GaC) y la política como código (PaC) son enfoques que integran el gobierno y la aplicación de políticas directamente en los flujos de trabajo traduciendo políticas, reglas y estándares en código legible por máquina. El objetivo es que cada implementación, cambio de infraestructura o solicitud de acceso a datos cumpla con criterios predefinidos antes de que ocurra. Este enfoque proactivo de aplicación se basa en tecnologías como los motores de políticas, la infraestructura en la nube y ahora, los agentes de IA.

La aplicación de políticas se ha vuelto más sofisticada a través de tecnologías como Open Policy Agent (OPA), que permite a las organizaciones definir y aplicar políticas de gobierno mediante programación. En lugar de confiar en la documentación y en las aprobaciones manuales, los requisitos de gobierno están incluidos en el código para que puedan aplicarse automáticamente en todo el SDLC.

De manera similar, la infraestructura como código (IaC) y herramientas como Terraform automatizan la provisión y gestión de la infraestructura de TI mediante un enfoque de lenguaje declarativo, donde los desarrolladores especifican el estado final deseado en lugar de los pasos necesarios para lograrlo. Las definiciones de infraestructura se expresan comúnmente utilizando formatos como YAML y JSON, lo que facilita su automatización y validar.

Los entornos de codificación con IA pueden realizar GaC, PaC e Iac. IBM Bob, por ejemplo, puede usarse para incrustar dichos procesos en el SDLC.