Idea principal

Casi todas las exigencias que rodean un desarrollo se negocian frente a lo que está en juego en el objeto producido. El nivel de tests esperado en una pequeña herramienta interna desechable no es el de un módulo de facturación; la revisión, la documentación y la estrategia de despliegue se dosifican igual, y eso es sano.

La seguridad no se comporta así, porque su riesgo no se mide por la importancia de la herramienta sino por aquello a lo que da acceso. Una pantalla interna improvisada que consulta la base de producción es una puerta, sea cual sea la seriedad que se le conceda; la fuga no depende de la vida prevista del objeto, y el atacante no consulta la categoría en la que la organización lo había colocado.

La exigencia de seguridad debe plantearse, por tanto, fuera de la tabla de graduación, como la única línea que no depende del humor del momento ni del riesgo declarado.

Por qué es importante

Esto evita que una política de flexibilización — justificada y útil sobre los tests, la revisión y la documentación — se lleve por delante la seguridad por simple coherencia de razonamiento. Es el deslizamiento natural: en cuanto escribes "poco riesgo, poco formalismo", la seguridad cae en el mismo saco.

También vuelve aplicable la regla, porque la seguridad es justamente la línea donde las herramientas ya existen: integración continua, escáneres, reglas y prácticas mantenidas por los equipos de desarrollo no tienen que reinventarse para una producción venida de otra parte.

Matices y límites

La afirmación vale para la exigencia, no para los medios. Una herramienta aislada, sin datos reales y sin exposición de red, no requiere el mismo dispositivo que un servicio expuesto — pero la diferencia recae sobre la superficie a proteger, no sobre el derecho a no protegerla.

Y una exigencia innegociable no es una exigencia cumplida: solo vale si se apoya en controles automáticos, sin los cuales vuelve a ser una declaración.

Preguntas abiertas

• ¿Se comportan otras exigencias como la seguridad — el cumplimiento normativo, la trazabilidad de los accesos, la reversibilidad de las escrituras — o la excepción es realmente única?