¿Qué es la política como código?

La política como código es un enfoque de la gestión de políticas en el que éstas se definen, actualizan, comparten y aplican mediante código. Al aprovechar la automatización basada en código en lugar de depender de procesos manuales para gestionar las políticas, la política como código permite a los equipos avanzar con mayor rapidez y reducir la posibilidad de equivocaciones debidas a errores humanos.

Al mismo tiempo, un enfoque de las políticas como código en ámbitos como la seguridad permite definir y gestionar las políticas de forma que los distintos tipos de partes interesadas -como los desarrolladores y los ingenieros de seguridad- puedan entenderlas.

Esta página explica cómo funciona la política como código, por qué es importante y cómo aprovecharla en el contexto de la seguridad.

Definición de la política como código

Para entender lo que significa "política como código", primero debe comprender la definición de "política".

En este contexto, una política es cualquier tipo de regla, condición o instrucción que gobierna las operaciones o procesos de TI. Una política puede ser una regla que defina qué condiciones deben cumplirse para que un código pase un control de seguridad y pueda ser implementado, por ejemplo. O bien, podría ser un conjunto de procedimientos que se ejecutan automáticamente en respuesta a un evento de seguridad.

La política como código es el uso de código para definir y gestionar reglas y condiciones. Bajo un enfoque de política como código, los equipos escriben las políticas utilizando algún tipo de lenguaje de programación, como Python, YAML o Rego. El lenguaje específico suele depender de las herramientas de gestión y aplicación de políticas como código que esté utilizando.

Cuando los ingenieros necesitan realizar actualizaciones, lo hacen modificando el código existente. También pueden compartir el código con otras personas para darles visibilidad de sus políticas mediante sistemas de control de versiones (VCS). Y, por último, pero no por ello menos importante, pueden utilizar un motor de aplicación de políticas como código para garantizar el cumplimiento de las políticas. Un motor de aplicación puede ser un código independiente de política como código, o podría estar integrado en una plataforma más grande.

La política como código frente a la infraestructura como código

El concepto de política como código puede sonar similar a Infraestructura como código, o IaC. El IaC, que utiliza archivos basados en código para automatizar la configuración y el aprovisionamiento de la infraestructura, ha sido una práctica común para los equipos de operaciones de TI durante años.

Mientras que el IaC es beneficioso para los equipos de operaciones de TI que necesitan aprovisionar la infraestructura, la política como código puede mejorar las operaciones de seguridad, la gestión del cumplimiento, la gestión de datos y mucho más.

Ventajas de la política como código

En comparación con la alternativa -que consiste en gestionar manualmente las reglas, las condiciones y los procedimientos-, la política como código ofrece varias ventajas fundamentales:

• Eficiencia: Cuando las políticas se detallan como código, pueden compartirse y aplicarse automáticamente a una escala prácticamente ilimitada. Esto es mucho más eficaz que exigir a los ingenieros que apliquen una política manualmente cada vez que sea necesario hacerlo. Actualizar y compartir las políticas también es más eficaz cuando éstas se definen en un código claro y conciso, en lugar de estar descritas en un lenguaje humano que algunos ingenieros pueden interpretar de forma diferente a otros.
• Velocidad: La capacidad de automatizar la aplicación de las políticas también significa que la política como código da lugar a operaciones más rápidas que un enfoque manual.
• Visibilidad: Cuando las políticas se definen en código, es fácil para todas las partes interesadas utilizar el código para comprender lo que ocurre dentro de un sistema. Pueden revisar las reglas de alerta o corrección simplemente comprobando qué políticas basadas en código están en vigor, por ejemplo, en lugar de tener que preguntar a otros ingenieros y esperar una respuesta.
• Colaboración: Al proporcionar un medio uniforme y sistemático de gestionar las políticas, la política como código simplifica la colaboración. Esto incluye la colaboración no sólo dentro del mismo equipo, sino también entre distintos tipos de equipos, especialmente entre desarrolladores (que están acostumbrados a pensar y trabajar en términos de código) y especialistas en otros ámbitos, como la seguridad o las operaciones de TI.
• Precisión: Cuando los equipos definen y gestionan las políticas mediante código, evitan el riesgo de cometer errores de configuración al gestionar un sistema manualmente.
• Control de versiones: Si mantiene un registro de las diferentes versiones de sus archivos de políticas a medida que cambian, la política como código le garantiza que podrá volver fácilmente a una configuración anterior en caso de que una nueva versión de la política cree un problema.
• Pruebas y validación: Cuando las políticas están escritas en código, es fácil validarlas utilizando herramientas de auditoría automatizadas. De este modo, la política como código puede ayudar a reducir el riesgo de introducir errores críticos en los entornos de producción.

Cómo utilizar la política como código

La forma más sencilla de aprovechar las ventajas de las políticas como código hoy en día es adoptar herramientas que soporten de forma nativa las políticas como código para cualquier dominio que desee gestionar mediante un enfoque de políticas como código.

Por ejemplo, en el ámbito de la seguridad, Prisma Cloud, Bridgecrew y Checkov permiten a los equipos definir políticas de seguridad utilizando código. También pueden escanear y auditar automáticamente los archivos de políticas para detectar configuraciones erróneas o vulnerabilidades antes de su implementación. Este enfoque es una de las formas en que estas herramientas agilizan la gestión de la postura de seguridad en la nube.

También puede explorar herramientas como Open Policy Agent, cuyo objetivo es proporcionar un marco común para aplicar políticas como código a cualquier dominio. Hasta la fecha, sin embargo, la adopción por parte de los proveedores de marcos de políticas como código basados en la comunidad como éste sigue siendo limitada, razón por la cual la búsqueda de herramientas de proveedores con soporte nativo de políticas como código es el camino más sencillo hacia la implementación de un enfoque de políticas como código para la seguridad o cualquier otro dominio de TI.

Preguntas frecuentes sobre la política como código