Curso · Referencia · Tema 2
Aspectos transversales
Hoja de repaso del Tema 2: riesgos, costes, calidad, personas, gobernanza y cumplimiento, DevOps y DevSecOps (lecciones 12-18). Pensada para imprimir.
La idea central
Riesgo, coste, calidad, personas, gobernanza y seguridad no son fases: atraviesan todo el proyecto. En todos se repite el mismo patrón: hacerlo explícito, medirlo con señales tempranas, decidir pronto y adaptarse (PDCA).
Riesgos
Concepto (L12)
- Riesgo = efecto de la incertidumbre sobre los objetivos (ISO 31000, PMBOK 7).
- Amenazas y oportunidades.
- Incertidumbre incluye ambigüedad y complejidad (y volatilidad).
- No se trata de eliminar toda incertidumbre.
- Riesgo (futuro) ≠ problema (ya ocurrió) ≠ causa (hecho) ≠ supuesto.
Proceso y artefactos (L12)
- Identificación → análisis → planificación/tratamiento → seguimiento y control → (ciclo).
- De registro estático a gestión continua integrada en decisiones.
- Artefactos: registro, mapa/valoración, planes de respuesta, KRIs, decisiones-responsables-fechas.
Formular (L12)
- Causa → evento → consecuencia → acciones.
- "Debido a <causa>, puede ocurrir <evento>, lo que provocaría <consecuencia>."
- Propietario desde el principio (≠ culpable).
Fuentes (L12)
- Tecnología y arquitectura · personas y conocimiento · organización y proveedores · requisitos y stakeholders · planificación y dependencias · seguridad, privacidad, cumplimiento.
- Nuevas: terceros, supply chain, cloud, vulnerabilidades, datos y modelos de IA, IA generativa (en desarrollo y por adversarios).
- Supply chain: dependencias abandonadas, proveedores comprometidos, secretos expuestos, ataques a CI/CD, procedencia.
- IA: datos, drift, alucinaciones, privacidad/PI, seguridad de modelos y prompts, evaluación difícil.
Identificar (L12)
- Brainstorming estructurado · checklists y taxonomías · entrevistas · premortem · revisión de arquitectura y dependencias · lecciones aprendidas.
- Premortem: "ha fracasado, ¿por qué?" → vence el exceso de confianza.
Analizar (L13)
- Probabilidad · impacto · exposición · incertidumbre de la estimación.
- Cualitativo: ≤ 5 niveles, definidos; sin falsa precisión.
- Matriz P-I: roja / amarilla / verde; no sustituye al juicio (raro + catastrófico).
- Cuantitativo: EMV, Monte Carlo, distribuciones, sensibilidad (tornado), CORAS.
- Riesgo individual vs global (interacciones).
Responder (L13)
- Amenazas: evitar (eliminar) · mitigar (↓P o ↓I) · transferir (parte de la exposición) · aceptar (consciente) · escalar.
- Oportunidades: explotar · mejorar · compartir · aceptar.
- Mitigación = antes (prototipo temprano). Contingencia = si ocurre (alternativa preparada), con disparador.
Reservas y seguimiento (L13)
- Contingencia: riesgos identificados, dentro de la línea base, la usa el JP.
- Gestión: no identificados, fuera de la línea base, la controla la dirección.
- Tolerancias: evitan reaccionar tarde.
- Seguimiento: revisar P/I, indicios, actualizar respuestas y reservas, cerrar, identificar nuevos.
- KRI: señal que anticipa más exposición (rotación, defectos críticos, dependencias sin mantener, retraso de hitos, incidentes, cambios de requisitos). Risk burndown: tendencia.
Contextos y errores (L13)
- Ágil: en backlog, refinamiento, planificación, retros; spikes; riesgos técnicos primero.
- DevOps: observabilidad, automatización, despliegues pequeños, rollback.
- Errores: identificar una vez · sin propietario · riesgo = problema · matrices sin criterios · no actualizar · ignorar oportunidades · riesgo técnico "sólo del equipo técnico".
- Priorizar exposición, no cantidad.
Matriz probabilidad-impacto (ejemplo 5×5)
| P ↓ · I → | Muy bajo | Bajo | Medio | Alto | Muy alto |
|---|
| Muy alta | 5 | 10 | 15 | 20 | 25 |
|---|
| Alta | 4 | 8 | 12 | 16 | 20 |
|---|
| Media | 3 | 6 | 9 | 12 | 15 |
|---|
| Baja | 2 | 4 | 6 | 8 | 10 |
|---|
| Muy baja | 1 | 2 | 3 | 4 | 5 |
|---|
Costes · Calidad · Personas
Costes (L14)
- Objetivo: recursos económicos usados de forma sostenible para el valor esperado; decisiones informadas, no "gastar menos".
- Costes: personas (el principal), infraestructura/cloud, pruebas y despliegue, seguridad y cumplimiento, mantenimiento y operación, cambios.
- TCO ≠ coste de desarrollo.
- Trabajo → esfuerzo → recursos → coste. Estimación ≠ presupuesto ≠ coste real.
- EVM: PV, EV, AC → CPI, SPI (ver fórmulas). Cuidado con el "% completado".
- Ágil: equipo + duración → capacidad/coste; se adapta el alcance. "¿Obtenemos suficiente valor?"
- Ojo: diap. 52 dice "EMV" por EVM.
Calidad (L15)
- Cumplir especificaciones… difícil: tensión cliente/desarrollador, requisitos ambiguos, especificaciones incompletas.
- Aseguramiento (establecer estándares de la organización) · planificación (seleccionar y adaptar al proyecto) · control (que se sigan).
- Calidad independiente de la gestión del proyecto. Cultura de calidad: de todos.
- Historia: ausencia de defectos → TQM (años 50, popular a mediados de los 80).
- Verificación (¿lo construimos bien?) vs validación (¿construimos lo correcto?).
- Proceso influye en producto, relación compleja (más en seguridad).
- ISO 25010: seguridad = característica propia (diap. 64 la sitúa bajo fiabilidad).
Personas (L16)
- Gestionar: capacidad, competencias, coordinación, motivación, comunicación, desarrollo. El responsable al servicio del equipo.
- Orientaciones: tareas, interacción, sí mismo (no excluyentes; equipos diversos).
- Tuckman: formación → conflicto → normalización → desempeño → disolución.
- Capacidad ≠ horas de contrato; nunca al 100 %.
- Carga: por horas · capacidad por iteración · WIP limitado · carga visible.
- Problemas de personal = riesgos; bus factor.
- Ley de Brooks; seguridad psicológica; conflictos de tarea (útiles) vs relacionales (destructivos).
Gobernanza · DevOps
Gobernanza (L17)
- Gobernanza = quién decide, qué y con qué reglas. Gestión = ejecutar en ese marco.
- Autoridad → responsabilidades → decisiones → controles → información.
- Principios: proporcionalidad, claridad, transparencia, trazabilidad, responsabilidad, adaptación al riesgo. Más controles ≠ mejor.
- Ágil/DevOps: DoD con seguridad, revisiones, gates, evidencias automáticas.
Cumplimiento (L17)
- Obligaciones legales, IA, de contrato (SLA, licencias), de organización, técnicas.
- Requisito → diseño → implementación → evidencia → verificación. Desde el principio.
- Incumplir → retrasos, retrabajo, bloqueo, incidentes, contratos, reputación ⇒ es un riesgo.
- RGPD: privacidad desde el diseño, EIPD, brechas en 72 h. NIS2: entidades esenciales/importantes, 24 h/72 h/1 mes, responsabilidad de la dirección. AI Act: inaceptable · alto · limitado (transparencia) · mínimo.
- ISO/IEC 38500 (gobernanza TI), 31000 (riesgo), 27001 (SGSI), 27701 (privacidad).
DevOps (L18)
- Dev + Ops como flujo continuo; no es herramienta ni puesto.
- Plan → code → build → test → release → deploy → operate → monitor → feedback.
- CI: integrar a menudo y validar automáticamente. CD: entrega (listo, decisión humana) / despliegue (automático).
- IaC; observabilidad (logs, métricas, trazas).
- DORA: frecuencia de despliegue, lead time, tasa de fallo de cambios, tiempo de recuperación. Velocidad y estabilidad juntas. Medir el flujo, no personas.
DevSecOps (L18)
- Seguridad intrínseca, no fase: shift left, automatización, colaboración.
- SAST (código: SonarQube, Checkmarx) · SCA (dependencias: Snyk, Dependabot) · DAST (en ejecución: OWASP ZAP, Nessus) · IAST · secretos (Vault) · IaC (Terraform + Terrascan).
- Ejemplo: SAST en el PR → corrección → el pipeline bloquea → no llega a producción.
- No es "DevOps + escáneres": cultura. No sustituye análisis y diseño: los integra.
Fuente: Tema 2, diap. 1-100, y ampliaciones de las lecciones 12-18. Otras hojas: Fundamentos (Tema 1) · Fórmulas · Glosario.