Auditoría de seguridad en preproducción
Produce una evaluación de seguridad útil para la toma de decisiones sobre el lanzamiento especificado. Explica qué se examinó, qué respalda la evidencia, qué permanece desconocido y cómo remediar y verificar cada problema. El informe se generará en español, a menos que el usuario solicite otro idioma.
Utiliza únicamente las capacidades disponibles y autorizadas del host actual. Resuelve las referencias empaquetadas en relación con esta carpeta de skill. No se asume acceso a archivos locales, shell/escáneres, navegación, conectores ni delegación. Cuando una capacidad no esté disponible, revisa la evidencia proporcionada y registra las brechas U-###. Si no se puede escribir en el destino del sistema de archivos solicitado, proporciona el informe como un artefacto descargable o texto Markdown, e indica esa limitación de entrega.
Calibrar antes de seleccionar comprobaciones
- Identifica la evaluación solicitada, el lanzamiento o commit objetivo, el destino de despliegue, la evidencia disponible y la autorización existente. Conserva el alcance del usuario y las respuestas previas.
- Lee las preguntas de scoping. Resuelve Q-00 antes de inspeccionar el contenido del repositorio si la revisión del repositorio no ha sido solicitada o incluida claramente. Una solicitud de auditoría del repositorio o código ya la responde; no la preguntes de nuevo. Si el usuario excluye la revisión del repositorio, trabaja a partir de los documentos/configuración/evidencia de tiempo de ejecución seleccionados y registra el límite.
- Inspecciona únicamente los metadatos y la documentación del proyecto dentro del alcance, sin ejecutar código del proyecto. Registra los hechos por separado de las inferencias y las declaraciones del usuario. Haz un breve lote de preguntas materiales restantes y ramifica por producto, exposición, alojamiento, identidad, datos y acceso disponible. Continúa el trabajo autorizado de forma independiente mientras esperas; el silencio no responde una elección de alcance no resuelta.
- Registra una instantánea del alcance, los módulos seleccionados, los ID de control aplicables, las comprobaciones permitidas y las preguntas no resueltas en el informe. Actualiza esta instantánea cuando las respuestas cambien el alcance.
Enrutar a los módulos relevantes
Usa siempre el método de auditoría y hallazgos y prioridades. Carga los detalles del módulo solo cuando su superficie esté presente o necesite investigación. No cargues cada módulo simplemente porque existe.
Usa el mapa de cobertura de 35 dominios para relacionar las áreas de evaluación originales con los ID de control. Cuando las comprobaciones asistidas por herramientas estén dentro del alcance, sigue los procedimientos de ejecución de escáneres para Gitleaks, Semgrep CE, Trivy y ZAP; selecciona las herramientas según la evidencia y la disponibilidad, y registra las ejecuciones, errores y omisiones reales. Una solicitud solo manual no activa los escáneres.
Para los inventarios de dependencias, reutiliza primero un SBOM coincidente con el objetivo, luego usa Trivy si se necesita y permite la generación. Los gráficos de paquetes nativos, Syft y el análisis de importaciones de código son complementos opcionales; sigue el procedimiento de inventario en la misma referencia. Mantén las relaciones de paquetes separadas de las importaciones de código y las relaciones de tiempo de ejecución.
| Superficie | Módulo | Orientación de enrutamiento |
|---|---|---|
| Cada evaluación | Arquitectura | Establece activos, límites de confianza, acciones críticas, exposición y responsabilidad. |
| Cuentas, permisos, inquilinos, sesiones o identidades de servicio | Identidad y acceso | Incluye identidades de infraestructura incluso si el producto no tiene inicio de sesión. |
| Interfaces web, APIs, trabajadores, archivos o integraciones | Aplicación y API | Selecciona controles para las rutas reales de entrada, salida, protocolo y negocio. |
| Datos, credenciales, criptografía, bases de datos o almacenamiento | Datos y secretos | Incluye credenciales y metadatos incluso cuando los datos personales estén ausentes. |
| Un servicio desplegado o un despliegue planificado | Infraestructura y despliegue | Empareja el proveedor y el modelo de despliegue; distingue la configuración prevista del tiempo de ejecución observado. |
| Código fuente, dependencias, compilación o proceso de lanzamiento | Cadena de suministro | Cuando se incluya la revisión del repositorio, inspecciona las definiciones de CI/CD descubiertas, sus scripts/plantillas, transiciones de confianza y puertas de despliegue sin esperar una segunda pregunta de permiso. La configuración efectiva de la plataforma sigue siendo una fuente de evidencia separada. |
| Un servicio que entra o ya está en operación | Operaciones y resiliencia | Evalúa la detección, recuperación, manejo de incidentes, disponibilidad y propiedad. |
| LLMs, RAG, herramientas de IA, agentes o MCP | IA y agentes | Revisa las entradas del modelo, el acceso a datos, la autoridad delegada, las salidas y los límites de recursos. |
| Cliente móvil, de escritorio o extensión de navegador | Móvil y escritorio | Selecciona las secciones de la plataforma y audita el backend por separado. |
Para superficies especializadas no compatibles, como equipos industriales o hardware personalizado, documenta el límite de cobertura y la revisión especializada requerida. No implies que los módulos de software las evalúan completamente.
Examinar y registrar
- Sigue las reglas de evidencia, autorización y ejecución del método de auditoría. Una solicitud de auditoría autoriza el análisis y la creación del informe; no autoriza automáticamente cambios en producción, sondas destructivas ni la publicación de resultados confidenciales.
- Una revisión del repositorio cubre los archivos acordados, las rutas de código fuente, los manifiestos, el historial relevante y las definiciones de CI/CD. Incluye secretos hardcodeados, valores de respaldo inseguros, destinos específicos del entorno y políticas fijas de seguridad/identidad. Respeta exclusiones de rutas/historial más restringidas; no etiquetes constantes ordinarias como vulnerabilidades sin una consecuencia de seguridad.
- Mantén un registro de evidencia, matriz de control, hallazgos, incógnitas, bordes de la ruta de auditoría y bordes de dependencias mientras trabajas. Vincula todas las afirmaciones materiales a ubicaciones exactas del código fuente u observaciones, y a la versión/entorno inspeccionado.
- Trata la salida del escáner como una pista hasta que se contextualice. Rastrea los llamadores relevantes, guardias, rutas de datos, configuración y suposiciones de despliegue antes de asignar un defecto confirmado o una consecuencia de lanzamiento.
- Después del inventario, aplica el triaje de avisos actuales enfocado del módulo de cadena de suministro (SC-003), priorizando componentes críticos y problemas conocidos explotados o críticos/altos. Registra coincidencias exactas de paquete/versión, fuentes fechadas, correcciones verificadas, exposición local y cobertura consultada; las búsquedas fuera de línea o fallidas siguen siendo brechas explícitas.
- Usa el mismo ID de control en cobertura, hallazgos, remediación y gráficos. Deduplica hallazgos con la misma causa subyacente mientras conservas las superficies afectadas.
- Para revisiones largas, delega módulos independientes cuando sea compatible. Asigna a cada revisor el alcance y la asignación de ID, luego reconcilia los límites de confianza compartidos y las afirmaciones conflictivas antes de redactar el informe.
- Si una herramienta o acceso no está disponible, registra la limitación y continúa con el trabajo útil. Una verificación fallida no es una verificación aprobada. Un control desconocido no es no aplicable.
Entregar el informe
Usa la plantilla de informe. Por defecto, crea un nuevo archivo en security-audits/<YYYY-MM-DD>-<revision-or-target>/security-audit.md dentro del proyecto auditado, a menos que el usuario especifique otro destino. Usa un sufijo que no entre en conflicto si ese destino ya existe. No guardes informes de destino dentro de este skill, sobrescribas una evaluación anterior, ni confirmes/subas informes a menos que se solicite.
Incluye ambos diagramas Mermaid requeridos:
- Gráfico de ruta de análisis: el rastro de auditoría observable desde el alcance y los artefactos, pasando por las comprobaciones realizadas, hasta los hallazgos, las conclusiones respaldadas y las brechas. Muestra qué se inspeccionó y dónde se detuvo una verificación. Este es un mapa de evidencia, no un razonamiento privado ni una cronología inventada.
- Gráfico de dependencias analizadas: los componentes inspeccionados, las dependencias de paquetes, los servicios, los sistemas de identidad, el almacenamiento y las integraciones externas, con tipos de borde explícitos, referencias de evidencia y cobertura de inspección. Incluye los límites no inspeccionados materiales como tales.
Construye los gráficos a partir de los registros utilizando el contrato de gráficos en el método de auditoría. Incluye tablas de nodos/bordes para que el informe siga siendo utilizable sin renderizado de Mermaid. Divide los mapas de dependencias grandes por tiempo de ejecución/servicio, paquete/compilación o relaciones de confianza CI/CD bajo la sección de dependencias. Para pipelines revisados, muestra disparador/entrada → trabajo → ejecutor/identidad → artefacto → entorno, con puertas reales, límites de confianza y configuraciones no inspeccionadas distinguidas.
El informe debe contener un plan de corrección priorizado, propietarios o roles no asignados, dependencias entre correcciones, pruebas de aceptación, riesgos residuales y decisiones no resueltas. Indica una recomendación de preparación acotada utilizando las reglas de hallazgos; el skill no aprueba un despliegue ni certifica cumplimiento.
Verificación de calidad final
- Verifica que el alcance, la revisión, los enlaces de evidencia, los estados de control y todos los IDs de hallazgos/incógnitas coincidan en texto, tablas, gráficos y plan.
- Revisa las direcciones y etiquetas de los bordes del gráfico. Marca declaraciones, comportamiento observado, inferencias y evidencia no disponible de forma distinta. Elimina todos los datos de ejemplo de la plantilla.
- Asegúrate de que no se divulguen innecesariamente credenciales, muestras de datos personales, contenido confidencial de indicaciones ni identificadores de infraestructura privada.
- Cada hallazgo necesita una corrección concreta y un criterio de verificación. Cada incógnita crítica necesita una acción siguiente y su consecuencia para la decisión de lanzamiento.
- Indica qué comprobaciones se ejecutaron realmente, cuáles fallaron o se omitieron, y si los diagramas se renderizaron o solo se revisó la sintaxis. Nunca afirmes una prueba, renderización o verificación de tiempo de ejecución que no ocurrió.
- Entrega la ubicación del archivo, los principales bloqueadores de lanzamiento y los límites de cobertura de forma concisa. Deja la implementación de las correcciones para un seguimiento autorizado, a menos que ya esté incluida en la solicitud.