Implementación de prácticas DevSecOps con inteligencia artificial para fortalecer la seguridad y eficiencia en el desarrollo de software en una empresa de fábrica de software

INTRODUCCIÓN

En los últimos años, el desarrollo de software se ha convertido en un elemento estratégico para la competitividad de las organizaciones, impulsado por la transformación digital, la adopción de arquitecturas basadas en la nube y la incorporación de metodologías ágiles junto con prácticas DevOps, las cuales buscan acelerar la entrega continua de software mediante una mayor integración entre desarrollo y operaciones [1]. Sin embargo, este incremento en la velocidad de desarrollo también ha ampliado la superficie de exposición a vulnerabilidades de seguridad, defectos de calidad y fallos operativos, generando impactos económicos, técnicos y reputacionales para las organizaciones [2].

Diversas investigaciones han demostrado que una parte importante de las vulnerabilidades de software se origina durante las primeras etapas del ciclo de vida del desarrollo de software (Software Development Life Cycle, SDLC), debido principalmente a prácticas de seguridad insuficientemente integradas, revisiones manuales limitadas y escasa automatización en la identificación temprana de riesgos [3]. En consecuencia, los enfoques tradicionales, donde la seguridad se incorpora únicamente en las fases finales del desarrollo, incrementan significativamente los costos de corrección, retrasan la entrega del software y reducen la capacidad de respuesta ante nuevas amenazas [4].

Esta problemática resulta especialmente crítica en las fábricas de software, donde la ejecución simultánea de múltiples proyectos, los ciclos de entrega acelerados y la necesidad de mantener altos niveles de productividad exigen procesos de desarrollo altamente automatizados y seguros. No obstante, la limitada integración entre los equipos de desarrollo, operaciones y seguridad continúa generando procesos fragmentados, escasa visibilidad de los riesgos y una mayor probabilidad de incidentes en ambientes de producción [5].

Como respuesta a estos desafíos, el enfoque DevSecOps propone incorporar controles y prácticas de seguridad de manera continua e integrada a lo largo de todo el SDLC, promoviendo la automatización de pruebas, el análisis continuo del código y la detección temprana de vulnerabilidades dentro de los pipelines de integración y despliegue continuo. Sin embargo, estudios recientes evidencian que la implementación de DevSecOps aún enfrenta limitaciones relacionadas con la elevada cantidad de alertas generadas por las herramientas de análisis, la presencia de falsos positivos, la limitada capacidad para priorizar riesgos de manera inteligente y la escasa incorporación de mecanismos avanzados de análisis predictivo [6].

En este contexto, la inteligencia artificial (IA), particularmente mediante técnicas de aprendizaje automático y modelos inteligentes de análisis de código, emerge como una tecnología habilitadora para fortalecer las prácticas DevSecOps. Su aplicación permite automatizar la detección de vulnerabilidades, priorizar riesgos según su criticidad, optimizar la ejecución de los pipelines de integración y despliegue continuo, así como apoyar la toma de decisiones durante el proceso de desarrollo, incrementando tanto la seguridad como la eficiencia operativa [7], [8]. A pesar de estos avances, la literatura científica evidencia que aún existe una limitada cantidad de estudios empíricos que documenten la implementación integral de DevSecOps apoyado por inteligencia artificial en entornos reales de fábricas de software, especialmente en organizaciones de tamaño pequeño y mediano, donde las restricciones de recursos dificultan la adopción de estas tecnologías [6], [8].

Aunque investigaciones recientes han explorado la incorporación de inteligencia artificial en entornos DevSecOps, la mayoría se ha centrado en componentes aislados, como la detección automática de vulnerabilidades, la priorización de alertas o el análisis de código mediante modelos de aprendizaje automático [10], [19], [23]. Aún existe una limitada evidencia empírica sobre modelos de integración que articulen de forma conjunta análisis estático, análisis dinámico, automatización del pipeline CI/CD y asistencia mediante modelos de lenguaje en entornos reales de fábricas de software. En este contexto, la presente investigación propone y valida un esquema de integración de prácticas DevSecOps apoyadas por inteligencia artificial que combina estas capacidades para fortalecer simultáneamente la seguridad y la eficiencia del proceso de desarrollo, constituyendo una propuesta metodológica replicable para organizaciones con procesos de integración y despliegue continuo.

En este escenario, la empresa objeto de estudio presenta dificultades relacionadas con la incorporación de prácticas DevSecOps fortalecidas mediante inteligencia artificial, lo que limita la detección temprana de vulnerabilidades, incrementa los tiempos de respuesta frente a riesgos de seguridad y reduce la eficiencia de los procesos de desarrollo. En consecuencia, la presente investigación propone la implementación de prácticas DevSecOps apoyadas en inteligencia artificial con el propósito de fortalecer la seguridad del software, optimizar los procesos de desarrollo y mejorar la eficiencia operativa de una fábrica de software, contribuyendo además a generar evidencia empírica sobre la aplicación de estas tecnologías en un contexto empresarial real.

Luego de revisar la realidad problemática, se estableció las siguientes preguntas de investigación ¿En qué medida la implementación de prácticas DevSecOps reforzadas con IA mejora la seguridad y la eficiencia del desarrollo de software en una fábrica de software?, y de manera específica: ¿En qué medida DevSecOps + IA mejora la oportunidad del aseguramiento de la densidad de hallazgos detectados? ¿En qué medida DevSecOps + IA disminuye el tiempo de detección de vulnerabilidades? ¿En qué medida DevSecOps + IA disminuye el tiempo de corrección de vulnerabilidades?

Por otro lado, la presente investigación se justifica teóricamente porque contribuye al fortalecimiento del conocimiento sobre la integración de prácticas DevSecOps con tecnologías de inteligencia artificial dentro del proceso de desarrollo de software. En un contexto donde las amenazas de ciberseguridad son cada vez más sofisticadas y los ciclos de desarrollo demandan mayor rapidez, resulta necesario estudiar enfoques que permitan incorporar la seguridad de manera continua y automatizada. En este sentido, el estudio permitirá generar evidencia sobre cómo la inteligencia artificial puede complementar las prácticas DevSecOps para mejorar la detección de vulnerabilidades, la gestión de riesgos y la calidad del software desarrollado. Asimismo, desde una perspectiva práctica, la investigación busca atender una necesidad real de las empresas de fábrica de software, las cuales enfrentan el desafío de entregar productos seguros en plazos cada vez más reducidos. Por ello, la implementación de prácticas DevSecOps apoyadas por inteligencia artificial permitirá optimizar los procesos de desarrollo, reducir vulnerabilidades, disminuir tiempos de detección y corrección de fallos, así como fortalecer la seguridad de las aplicaciones. De esta manera, se espera mejorar la eficiencia operativa y la competitividad de la organización, generando beneficios tanto para la empresa como para sus clientes. Finalmente, la investigación se justifica metodológicamente debido a que propone un procedimiento estructurado para evaluar el impacto de la implementación de prácticas DevSecOps con inteligencia artificial mediante indicadores cuantificables de seguridad y eficiencia. En consecuencia, el estudio permitirá obtener resultados medibles y comparables que faciliten la validación de la propuesta, además de proporcionar una metodología replicable para futuras investigaciones y proyectos orientados a la mejora continua de los procesos de desarrollo seguro de software.

Asimismo, el objetivo general de la investigación fue determinar en qué medida la implementación de prácticas DevSecOps apoyadas por inteligencia artificial fortalece la seguridad y la eficiencia del desarrollo de software en una empresa de fábrica de software, evaluadas mediante la densidad de hallazgos detectados, el tiempo de detección de vulnerabilidades y el tiempo de corrección de vulnerabilidades. En concordancia con este propósito, se plantearon como objetivos específicos determinar en qué medida la implementación de estas prácticas mejora la densidad de hallazgos detectados durante el desarrollo de software, disminuye el tiempo de detección de vulnerabilidades y reduce el tiempo de corrección de vulnerabilidades.

El resto del artículo se organiza de la siguiente manera. La sección Background presenta los fundamentos teóricos que sustentan la investigación, mientras que la sección Estado del Arte revisa los estudios más recientes relacionados con la integración de prácticas DevSecOps e inteligencia artificial en el desarrollo seguro de software. Posteriormente, la sección Materiales y Métodos describe el diseño metodológico, las variables e indicadores evaluados, la población y muestra, así como las técnicas de recolección y análisis de datos. La sección Metodología de la Solución expone el proceso de implementación de las prácticas DevSecOps apoyadas por inteligencia artificial en el entorno de estudio. A continuación, la sección Resultados presenta los hallazgos obtenidos a partir de la evaluación experimental, y la sección Discusión analiza estos resultados en contraste con investigaciones previas. Finalmente, la sección Conclusiones resume los principales aportes del estudio, sus limitaciones y las líneas de investigación futura.

BACKGROUND

Fundamentos de DevSecOps y la inteligencia artificial

DevSecOps representa la evolución del paradigma DevOps al incorporar la seguridad como una responsabilidad compartida durante todo el ciclo de vida del desarrollo de software (Software Development Life Cycle, SDLC). Este enfoque integra prácticas de desarrollo, operaciones y ciberseguridad mediante la automatización de controles, pruebas y monitoreo continuo, permitiendo identificar vulnerabilidades desde las primeras etapas del desarrollo bajo el principio de Shift-Left Security. La implementación de pipelines de integración y entrega continua (Continuous Integration/Continuous Delivery, CI/CD) facilita la ejecución automática de actividades como compilación, validación, pruebas y despliegue, favoreciendo la entrega continua de software sin comprometer la seguridad ni la calidad [1], [2], [5], [6], [21], [22].

La incorporación de inteligencia artificial (IA) ha ampliado las capacidades de DevSecOps al automatizar procesos como el análisis de vulnerabilidades, la clasificación de riesgos, la detección de anomalías y la priorización de acciones correctivas. Mediante técnicas de aprendizaje automático (Machine Learning, ML), los modelos inteligentes analizan información proveniente del código fuente, dependencias, registros de ejecución y resultados de pruebas para apoyar la detección temprana de amenazas y optimizar la toma de decisiones durante el desarrollo. Estas capacidades complementan los mecanismos tradicionales de seguridad, fortaleciendo la automatización y la eficiencia de los pipelines CI/CD [7], [10] - [13], [19], [23], [24], [28].

Un avance reciente en este ámbito corresponde a los modelos de lenguaje de gran tamaño (Large Language Models, LLMs), los cuales incorporan capacidades de comprensión y generación de código mediante procesamiento del lenguaje natural. En ingeniería de software, los LLMs apoyan actividades como generación y revisión de código, explicación de vulnerabilidades, documentación, refactorización y recomendación de acciones de remediación. Herramientas como GitHub Copilot ejemplifican esta evolución al asistir a los desarrolladores durante la programación; sin embargo, estudios recientes evidencian riesgos asociados con la generación de código inseguro, alucinaciones, ataques de prompt injection y problemas de privacidad. Por ello, la literatura recomienda utilizar los LLMs como mecanismos de apoyo, complementados por procesos de validación automatizada y supervisión humana [8], [9], [15] - [18], [20], [23].

Desde una perspectiva arquitectónica, un pipeline DevSecOps seguro integra herramientas especializadas de análisis estático de aplicaciones (SAST), análisis de composición de software (SCA), controles de quality gates y mecanismos de automatización dentro del flujo CI/CD para verificar continuamente la calidad y seguridad del software antes de su despliegue. La incorporación de IA y LLMs fortalece este ecosistema al proporcionar capacidades de análisis contextual y asistencia inteligente, mientras que herramientas de validación objetiva garantizan el cumplimiento de criterios técnicos y de seguridad. En conjunto, esta arquitectura híbrida combina automatización, controles de seguridad y asistencia basada en inteligencia artificial para construir procesos de desarrollo más seguros, eficientes y resilientes [22], [23], [25] - [28].

ESTADO DEL ARTE

La aceleración de los ciclos de desarrollo de software y el incremento de las amenazas de ciberseguridad han impulsado la evolución de DevOps hacia DevSecOps, integrando controles de seguridad desde las primeras etapas del ciclo de vida del desarrollo de software (SDLC). Este enfoque incorpora la automatización de pruebas, el monitoreo continuo y la colaboración entre desarrollo, operaciones y seguridad con el propósito de reducir vulnerabilidades sin afectar la velocidad de entrega. La literatura coincide en que DevSecOps constituye una estrategia efectiva para mejorar simultáneamente la seguridad y la eficiencia del desarrollo de software [6], [21], [22].

Las revisiones recientes muestran un elevado consenso respecto a los componentes fundamentales de DevSecOps. Entre las principales dimensiones identificadas se encuentran las prácticas organizacionales, la automatización de controles de seguridad, las métricas de desempeño y la cultura colaborativa. No obstante, pese a la consolidación conceptual del enfoque, persisten desafíos relacionados con la integración efectiva de herramientas de seguridad dentro de pipelines de integración y entrega continua (CI/CD), la automatización de controles y la escalabilidad de las soluciones en entornos industriales [6], [21], [22]. Estos resultados evidencian que la madurez de DevSecOps continúa siendo heterogénea entre organizaciones.

En este contexto, la inteligencia artificial (IA) ha emergido como un habilitador para fortalecer los procesos DevSecOps. La evidencia científica demuestra que la IA permite automatizar actividades como el análisis de vulnerabilidades, la clasificación de riesgos, la detección de anomalías, el monitoreo continuo y la respuesta a incidentes, incrementando la capacidad predictiva de los mecanismos de seguridad y reduciendo la carga operativa asociada a la revisión manual [23], [28].

No obstante, la literatura presenta diferentes enfoques para incorporar IA en DevSecOps. Algunos estudios concentran su aplicación en tareas específicas del pipeline CI/CD, como el análisis inteligente de código, el escaneo automatizado de dependencias y la detección temprana de vulnerabilidades [11], [13], mientras que otros proponen arquitecturas adaptativas orientadas al monitoreo continuo y la detección de amenazas en tiempo real [12], [19]. Esta diversidad refleja que la investigación continúa enfocándose en optimizar componentes particulares del pipeline más que en proponer modelos integrales de implementación y evaluación aplicables a entornos empresariales.

Paralelamente, la incorporación de los modelos de lenguaje de gran tamaño (Large Language Models, LLMs) representa una de las principales líneas de evolución de la ingeniería de software. Diversas revisiones sistemáticas evidencian que estos modelos pueden asistir en la generación y revisión de código, la explicación de vulnerabilidades, la priorización de riesgos y la recomendación de acciones de remediación, ampliando significativamente las capacidades de automatización dentro de los procesos DevSecOps [8], [20], [23]. Asimismo, la evidencia empírica indica que herramientas basadas en LLMs, como GitHub Copilot, pueden incrementar la productividad de los desarrolladores cuando se utilizan como apoyo durante el desarrollo de software [18].

Sin embargo, la incorporación de LLMs también introduce nuevos desafíos relacionados con la seguridad y la confiabilidad del software generado. Diversos estudios advierten riesgos asociados con la generación de código inseguro, alucinaciones, ataques de prompt injection, vulnerabilidades de tipo backdoor y problemas de privacidad, lo que limita su adopción sin mecanismos adicionales de validación [9], [15] –[17]. En consecuencia, la literatura converge en recomendar arquitecturas híbridas que combinen las capacidades de razonamiento de los LLMs con herramientas tradicionales de seguridad, como el análisis estático de código (SAST), el análisis dinámico (DAST), el análisis de composición de software (SCA) y controles automáticos integrados en el pipeline CI/CD. Asimismo, se enfatiza la necesidad de incorporar principios de gobernanza, explicabilidad y supervisión humana para garantizar un uso seguro de estas tecnologías [15] –[17], [23], [25].

En síntesis, la evidencia científica demuestra que la integración de DevSecOps con inteligencia artificial fortalece la seguridad y mejora la eficiencia del desarrollo de software. Sin embargo, la literatura presenta tres limitaciones relevantes. En primer lugar, predominan revisiones sistemáticas, estudios conceptuales y propuestas metodológicas. En segundo lugar, son escasos los trabajos que integran de manera conjunta herramientas tradicionales de seguridad, inteligencia artificial y LLMs dentro de un mismo pipeline CI/CD. Finalmente, existe limitada evidencia empírica obtenida en fábricas de software mediante indicadores cuantitativos que permitan evaluar simultáneamente el impacto sobre la seguridad y la eficiencia del proceso de desarrollo. Estas brechas justifican el presente estudio, orientado a evaluar el efecto de la implementación de prácticas DevSecOps fortalecidas con inteligencia artificial en un entorno industrial real, utilizando métricas objetivas de seguridad y eficiencia que contribuyan a generar evidencia empírica y una estrategia de implementación replicable.

MATERIALES Y MÉTODOS

DevSecOps incorpora la seguridad de forma transversal en todas las etapas del ciclo de vida del software mediante automatización, integración continua, colaboración interdisciplinaria y detección temprana de vulnerabilidades. Su adopción práctica se encuentra respaldada por marcos recientes que estructuran las prácticas, herramientas, métricas y desafíos asociados con su implementación [18]. Asimismo, la integración de inteligencia artificial y, particularmente, de Large Language Models (LLMs) fortalece este enfoque al automatizar el análisis de código, apoyar la priorización inteligente de vulnerabilidades, asistir en la generación de remediaciones y proporcionar métricas objetivas para evaluar el impacto de las prácticas DevSecOps sobre la seguridad y la eficiencia del proceso de desarrollo [19], [20].

Se aplicó la metodología PHVA (Planificar, Hacer, Verificar y Actuar) para implementar y evaluar prácticas DevSecOps fortalecidas con inteligencia artificial. Como parte de la intervención, se diseñó un entorno funcional que integró herramientas de asistencia a la codificación basadas en inteligencia artificial, análisis estático de código (SAST) y análisis de composición de software (SCA) dentro de un pipeline de integración y despliegue continuo (CI/CD) en una empresa de fábrica de software ubicada en Lima, Perú.

La investigación fue de tipo aplicada, con enfoque cuantitativo y diseño preexperimental con mediciones de pretest y postest. La población estuvo conformada por los 62 despliegues de software ejecutados en la rama de desarrollo del proyecto Capa de Servicios del ERP de la empresa Software Enterprise Services, realizado durante el período comprendido entre enero y diciembre de 2025.

La muestra estuvo constituida por 25 despliegues de software, seleccionados mediante un muestreo no probabilístico intencional, aplicando como criterio de inclusión aquellos despliegues que registraron el mayor número de líneas de código modificadas (Lines of Code Modified, LOC) durante el período de estudio. Para ello, los 62 despliegues fueron ordenados de forma descendente según el volumen de código modificado y se seleccionaron los primeros 25 registros (Tabla 1).

Este criterio se adoptó debido a que los despliegues con mayor volumen de cambios presentan una mayor complejidad técnica y un mayor riesgo de incorporar defectos funcionales y vulnerabilidades de seguridad. En consecuencia, estos escenarios permiten evaluar con mayor sensibilidad el impacto de la implementación de prácticas DevSecOps apoyadas por inteligencia artificial sobre los indicadores de seguridad y eficiencia, al concentrar el análisis en despliegues donde los efectos de la intervención resultan más evidentes. Asimismo, el criterio de selección fue definido previamente al análisis de los datos, garantizando un procedimiento objetivo, reproducible y consistente con el propósito de la investigación.

La unidad de análisis estuvo constituida por cada despliegue de software ejecutado a través del pipeline de integración y despliegue continuo (CI/CD), entendido como el proceso completo de integración, validación y liberación de una versión del software. En cada despliegue se evaluó la variable “Eficiencia y seguridad en el desarrollo de software”, medida mediante tres dimensiones técnicas y cuantificables: densidad de hallazgos detectados (DH), tiempo de detección de vulnerabilidades (TD) y tiempo de corrección de vulnerabilidades (TC). Estos indicadores fueron registrados antes y después de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial utilizando fichas de observación diseñadas específicamente para la investigación, cuya operacionalización se presenta en la Tabla 2.

En consecuencia, los instrumentos propuestos fueron sometidos a un proceso de validación mediante juicio de expertos, contando con la participación de tres especialistas de la Facultad de Ingeniería. Los expertos designados evaluaron la claridad, objetividad, actualidad, organización, suficiencia, intencionalidad, metodología, relevancia, coherencia y consistencia de los instrumentos, emitiendo su respectivo dictamen técnico, garantizando de esta manera la validez y rigurosidad de los instrumentos utilizados en la investigación. La Tabla 3 presenta los indicadores utilizados en la prueba de validez, aprobada por los expertos. En ella se obtuvo la siguiente calificación para el material grabado: Deficiente (0-20%), Regular (21-40%), Buena (41-60%), Muy buena (61-80%) y Excelente (81-100%).

La Tabla 4 presenta el OWASP Top 10 del año 2021, una clasificación ampliamente reconocida que identifica las principales categorías de vulnerabilidades en aplicaciones web. En el presente estudio, estas categorías fueron operacionalizadas como criterios de referencia para la detección, clasificación y seguimiento de vulnerabilidades durante la implementación de prácticas DevSecOps con inteligencia artificial. Los hallazgos obtenidos a partir de herramientas automatizadas de análisis de código y seguridad permitieron identificar defectos asociados a categorías como Broken Access Control, Injection, Security Misconfiguration y Cryptographic Failures, entre otras.

La información recopilada fue utilizada para evaluar las dimensiones de la variable dependiente. En la dimensión calidad del desarrollo, las vulnerabilidades detectadas fueron consideradas dentro del cálculo de la densidad de hallazgos detectados por cada 500 líneas de código, permitiendo medir la calidad del software generado. En la dimensión eficiencia operativa, las categorías OWASP sirvieron como referencia para determinar el tiempo de detección de vulnerabilidades (TD), calculado desde la introducción del defecto hasta su identificación mediante los mecanismos de seguridad implementados. Finalmente, en la dimensión eficiencia en respuesta, dichas vulnerabilidades permitieron medir el tiempo de corrección de vulnerabilidades (TC), definido como el intervalo transcurrido entre la detección del hallazgo y la aplicación de la solución correspondiente. De esta manera, el OWASP Top 10 constituyó un marco de evaluación que permitió cuantificar el impacto de la implementación de DevSecOps con inteligencia artificial sobre la seguridad y eficiencia del proceso de desarrollo de software.

METODOLOGÍA DE LA SOLUCIÓN

La implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial se desarrolló mediante la metodología PHVA (Planificar, Hacer, Verificar, Actuar), utilizada como marco de mejora continua para estructurar la intervención y evaluar sistemáticamente su impacto sobre la seguridad y la eficiencia del proceso de desarrollo de software. La aplicación de este ciclo permitió planificar la estrategia de implementación, ejecutar las acciones definidas, verificar los resultados obtenidos y establecer acciones de mejora para su consolidación y escalabilidad.

La metodología se aplicó a través de las siguientes fases:

Planificar (Plan): Se realizó el diagnóstico del proceso de desarrollo de software de la empresa con el propósito de identificar brechas en materia de seguridad, automatización y eficiencia. Asimismo, se definieron los requerimientos de la solución, se seleccionaron las herramientas de apoyo basadas en inteligencia artificial y se diseñó la estrategia de implementación de las prácticas DevSecOps dentro del pipeline de integración y despliegue continuo (CI/CD).

Hacer (Do): Se implementó el entorno DevSecOps mediante la integración de herramientas de asistencia a la codificación basada en inteligencia artificial, análisis estático de código (SonarQube), análisis de composición de software (Snyk) y automatización del pipeline CI/CD utilizando GitHub Actions y GitHub Copilot. Durante esta fase se configuraron los controles de seguridad automatizados y se ejecutaron los despliegues correspondientes al período de evaluación.

Verificar (Check): Se evaluó el impacto de la implementación mediante la comparación de los indicadores definidos en la investigación: densidad de hallazgos detectados (DH), tiempo de detección de vulnerabilidades (TD) y tiempo de corrección de vulnerabilidades (TC). Los resultados obtenidos en las mediciones de pretest y postest permitieron determinar el efecto de las prácticas DevSecOps fortalecidas con inteligencia artificial sobre la seguridad y la eficiencia del proceso de desarrollo.

Actuar (Act): Con base en los resultados obtenidos, se realizaron ajustes al pipeline DevSecOps, se establecieron recomendaciones para optimizar la integración de las herramientas implementadas y se elaboró una hoja de ruta para favorecer la adopción progresiva del modelo en futuros proyectos de la organización y su posible replicación en otras empresas de desarrollo de software.

La aplicación de la metodología PHVA permitió estructurar la implementación de manera iterativa, asegurando un proceso de mejora continua basado en evidencia, la evaluación objetiva de los resultados y la consolidación de un modelo DevSecOps apoyado por inteligencia artificial orientado al fortalecimiento de la seguridad y la eficiencia del desarrollo de software (Figura 1).

Analizar la situación actual

En esta fase se realizó el diagnóstico del proceso de desarrollo de software de la empresa con el propósito de identificar oportunidades de mejora relacionadas con la seguridad, la automatización y la eficiencia del ciclo de desarrollo. Para ello, se analizaron los repositorios de código fuente, la configuración de los pipelines de integración y despliegue continuo (CI/CD) y las prácticas de desarrollo empleadas en el proyecto “Capa de Servicios del ERP”. Asimismo, se llevaron a cabo entrevistas semiestructuradas con los integrantes de los equipos de desarrollo y operaciones para complementar la caracterización del proceso.

El diagnóstico permitió identificar brechas asociadas a la incorporación de controles de seguridad, el nivel de automatización de los pipelines CI/CD y la ausencia de mecanismos de análisis proactivo para la detección temprana de vulnerabilidades. Del mismo modo, se evidenció la necesidad de fortalecer la integración entre los equipos de desarrollo, operaciones y seguridad mediante un flujo de trabajo unificado basado en prácticas DevSecOps y herramientas apoyadas por inteligencia artificial.

La Tabla 5 presenta un resumen de las principales brechas identificadas durante el diagnóstico. Estas fueron clasificadas en cuatro categorías: Seguridad, Automatización, Colaboración y Formación, con el propósito de establecer una base objetiva para el diseño del plan de implementación y priorizar las acciones de mejora contempladas en la presente investigación.

Los resultados del diagnóstico evidencian que la ausencia de mecanismos automatizados de escaneo y de controles de seguridad integrados en el pipeline de integración y despliegue continuo (CI/CD) incrementa el riesgo de que vulnerabilidades sean incorporadas al software sin ser detectadas oportunamente. Asimismo, la limitada integración entre los equipos de desarrollo, operaciones y seguridad dificulta la comunicación y la priorización de las acciones de remediación, afectando la capacidad de respuesta ante riesgos de seguridad. Finalmente, el reducido nivel de conocimiento sobre prácticas DevSecOps apoyadas por inteligencia artificial pone de manifiesto la necesidad de fortalecer las competencias técnicas del personal mediante procesos de capacitación, con el fin de facilitar una adopción efectiva de las herramientas propuestas.

Selección de herramientas tecnológicas

En base a estas evidencias, se procedió a definir los objetivos específicos de esta fase, los cuales consistieron en seleccionar herramientas alineadas al enfoque DevSecOps que incorporaran capacidades de automatización e inteligencia artificial para fortalecer tanto la calidad como la seguridad del desarrollo de software. Las herramientas seleccionadas fueron GitHub Copilot, SonarQube y Snyk, debido a su complementariedad dentro del ciclo de desarrollo.

GitHub Copilot fue incorporado como un asistente de codificación basado en inteligencia artificial cuya función principal consistió en apoyar al desarrollador durante la etapa de construcción del software mediante la generación de sugerencias de código, recomendaciones de buenas prácticas y propuestas de implementación orientadas a reducir errores de programación. Su contribución se evaluó de manera indirecta a través de indicadores relacionados con la calidad del desarrollo, específicamente la disminución de la densidad de hallazgos detectados por cada 500 líneas de código, comparando los resultados obtenidos antes y después de su implementación.

Por su parte, SonarQube cumplió el rol de analizar estáticamente el código fuente para identificar defectos, vulnerabilidades y problemas de mantenibilidad en etapas tempranas del desarrollo, permitiendo medir el tiempo de detección de vulnerabilidades (TD). Asimismo, Snyk fue utilizado para el análisis de dependencias y bibliotecas externas, identificando vulnerabilidades asociadas a componentes de terceros y contribuyendo a la reducción del tiempo de corrección de vulnerabilidades (TC).

A partir de las brechas identificadas, la Tabla 6 presenta el conjunto mínimo de herramientas seleccionadas para el prototipo DevSecOps + IA. Cada una desempeñó una función específica dentro del flujo de desarrollo y generó evidencias medibles para evaluar el impacto de la propuesta. Mientras GitHub Copilot actuó de forma preventiva durante la creación del código, SonarQube y Snyk funcionaron como mecanismos de verificación y control orientados a la detección y gestión de vulnerabilidades. Esta diferenciación permitió analizar la contribución de cada herramienta sobre los indicadores definidos en la investigación.

El stack tecnológico seleccionado fue definido en función de las brechas identificadas en la Tabla 6, con el propósito de fortalecer los procesos de seguridad, automatización y colaboración dentro del pipeline CI/CD. La integración de estas herramientas no solo contribuye a mitigar los problemas diagnosticados, sino que también proporciona métricas objetivas y trazables que permiten evaluar el impacto de la implementación de prácticas DevSecOps apoyadas por inteligencia artificial sobre los indicadores de seguridad y eficiencia del desarrollo de software.

Definir métricas de éxitos

Además, se definieron los indicadores clave de evaluación que permitieron medir los cambios producidos tras la implementación del modelo. Estos indicadores fueron la densidad de hallazgos detectados (DH), el tiempo de detección de vulnerabilidades (TD) y el tiempo de corrección de vulnerabilidades (TC). En conjunto, estos indicadores se alinearon con los objetivos de mejorar la calidad del código, anticipar riesgos de seguridad y optimizar la respuesta ante incidentes.

Para medir el efecto del prototipo se definieron indicadores operativos y comparables en el tiempo. La densidad de hallazgos detectados (DH) se definió como la cantidad de defectos de código identificados mediante análisis estático, incluyendo errores de programación, fallos de mantenibilidad y vulnerabilidades reportadas por SonarQube, normalizados por cada 500 líneas de código analizadas. Por su parte, el tiempo de detección (TD) y el tiempo de corrección (TC) se utilizaron para evaluar la eficiencia del proceso de gestión de vulnerabilidades (Tabla 7).

Glosario: NTHD = número total de hallazgos detectados mediante herramientas automatizadas de análisis de código y seguridad (incluye vulnerabilidades, defectos de código, code smells y otros problemas de mantenibilidad); TLC = total de líneas de código analizadas. Las unidades se consignan por indicador para asegurar la comparabilidad entre iteraciones.

En consecuencia, una disminución de la densidad de hallazgos detectados (DH), así como de los tiempos de detección (TD) y corrección (TC), evidenciará que el modelo DevSecOps + IA contribuye a mejorar la calidad del software y la eficiencia de los procesos de seguridad durante el ciclo de desarrollo.

Plan de capacitación para el equipo

Como parte de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial, se diseñó y ejecutó un plan de capacitación dirigido al equipo de desarrollo y operaciones, con el propósito de fortalecer las competencias técnicas necesarias para la adopción de las herramientas y prácticas incorporadas en la solución propuesta. La capacitación estuvo orientada a proporcionar conocimientos sobre el desarrollo seguro, la automatización de controles de seguridad y el uso de herramientas basadas en inteligencia artificial dentro del pipeline de integración y despliegue continuo (CI/CD).

El plan de capacitación se estructuró en cinco módulos que abordaron los fundamentos de DevSecOps, el funcionamiento del pipeline CI/CD, el uso de herramientas de análisis de seguridad, la integración de GitHub Copilot como asistente de codificación y la aplicación de criterios de calidad mediante Quality Gates. Asimismo, cada módulo definió objetivos de aprendizaje, contenidos, duración y mecanismos para evidenciar su ejecución, tal como se presenta en la Tabla 8.

La ejecución del plan de capacitación permitió homogeneizar los conocimientos del equipo respecto a las prácticas DevSecOps y al uso de las herramientas implementadas, favoreciendo su integración dentro del proceso de desarrollo. Asimismo, contribuyó a fortalecer las competencias necesarias para la automatización de controles de seguridad, la interpretación de los resultados generados por las herramientas de análisis y la adopción de una cultura de mejora continua orientada al desarrollo seguro del software.

Fase 2: Hacer

En la Figura 2 se muestra el diagrama de la arquitectura DevSecOps con inteligencia artificial. En esta fase se presentan un resumen de las evidencias de la implementación del modelo propuesto.

Implementación de pipelines DevSecOps fortalecido con Inteligencia artificial

En esta fase se ejecutó la propuesta diseñada durante la etapa de planificación mediante la implementación de un pipeline de integración y despliegue continuo (CI/CD) fortalecido con prácticas DevSecOps e inteligencia artificial. La solución se implementó sobre el proyecto “Capa de Servicios del ERP” de la empresa Software Enterprise Services, integrando herramientas de asistencia a la codificación, análisis automatizado de seguridad y validación continua con el propósito de fortalecer la seguridad y la eficiencia del proceso de desarrollo.

Para la ejecución de la solución se definió un plan de acción que comprendió la configuración del entorno CI/CD, la integración de herramientas de análisis de seguridad e inteligencia artificial, la capacitación del equipo de desarrollo y el registro de los indicadores utilizados para evaluar el impacto de la intervención. La Tabla 9 resume las actividades desarrolladas, las herramientas empleadas y los resultados esperados durante la implementación.

Como parte de la implementación, se configuró el pipeline CI/CD para automatizar las actividades de integración, compilación, análisis de seguridad y validación del código fuente en cada pull request. Esta configuración permitió incorporar controles de seguridad desde las primeras etapas del ciclo de desarrollo (Shift-Left Security), favoreciendo la detección temprana de vulnerabilidades y la aplicación de criterios objetivos para aprobar la integración de cambios. La configuración general del pipeline implementado se presenta en la Figura 3.

La configuración integra de forma automatizada las etapas de compilación, ejecución de pruebas, análisis estático de código mediante SonarQube, análisis de dependencias con Snyk y validación de Quality Gates antes de autorizar la integración y el despliegue del software. Esta arquitectura permitió establecer controles continuos de seguridad y calidad, reduciendo la intervención manual y fortaleciendo la trazabilidad del proceso de desarrollo.

De manera complementaria, se habilitó GitHub Copilot como herramienta de asistencia basada en inteligencia artificial para apoyar las actividades de codificación y revisión del código fuente. Su incorporación facilitó la generación de sugerencias de código y recomendaciones durante el desarrollo, complementando los mecanismos automatizados de validación implementados en el pipeline DevSecOps. La activación de esta herramienta en el repositorio del proyecto se presenta en la Figura 4.

La habilitación de GitHub Copilot requirió la asignación de una licencia institucional y su configuración en el entorno de desarrollo utilizado por el equipo. Una vez integrada, la herramienta proporcionó asistencia durante la escritura y revisión del código; sin embargo, todas las sugerencias generadas fueron validadas mediante los análisis automatizados de SonarQube y Snyk, así como por el proceso de revisión de pull requests, garantizando que únicamente el código que cumplía los criterios de calidad y seguridad establecidos fuera incorporado al repositorio principal.

Ejecución de la capacitación del equipo

Como parte de la implementación de la solución, se ejecutó el plan de capacitación dirigido al equipo de desarrollo y operaciones con el propósito de fortalecer las competencias necesarias para la adopción de las prácticas DevSecOps apoyadas por inteligencia artificial. La capacitación estuvo orientada a estandarizar el uso de las herramientas incorporadas en el pipeline CI/CD y promover una comprensión integral del flujo de trabajo propuesto. La Figura 5 presenta parte del material utilizado durante las sesiones de capacitación impartidas al personal involucrado en el proyecto

con inteligencia artificial.

Durante las sesiones se abordó la arquitectura del pipeline implementado para el proyecto “ServiceLayer”, describiendo las etapas de integración, análisis y validación del código fuente. Asimismo, se explicó el funcionamiento de las herramientas incorporadas, incluyendo GitHub Copilot como asistente de codificación, SonarQube para el análisis estático del código (SAST) y Snyk para el análisis de composición de software (SCA). También se presentó la ubicación e interpretación de los reportes de vulnerabilidades generados por cada herramienta, los criterios de validación mediante Quality Gates y las principales buenas prácticas para la aplicación de DevSecOps fortalecidas con inteligencia artificial.

La ejecución de la capacitación permitió homogeneizar los conocimientos del equipo sobre el funcionamiento del pipeline y el uso de las herramientas implementadas, facilitando su adopción dentro del proceso de desarrollo y contribuyendo a una aplicación consistente de las prácticas de desarrollo seguro establecidas en la investigación.

Registro de datos para las métricas de éxito

Para la recolección de la información se utilizaron fichas de observación diseñadas específicamente para la investigación, las cuales permitieron registrar los indicadores definidos para evaluar la variable “Eficiencia y seguridad en el desarrollo de software”. En total, se documentaron 25 despliegues de software correspondientes a las mediciones realizadas antes (pretest) y después (postest) de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial.

En la fase de pretest, los datos fueron obtenidos a partir de los registros históricos del proceso de desarrollo y de los reportes generados por las herramientas utilizadas por el equipo antes de la intervención. En la fase de postest, la información se recopiló automáticamente a partir de los reportes generados por el pipeline CI/CD, incluyendo los resultados del análisis estático de código mediante SonarQube/SonarCloud, el análisis de composición de software realizado con Snyk y los registros de ejecución del pipeline. Estos insumos permitieron medir objetivamente la densidad de hallazgos detectados (DH), el tiempo de detección de vulnerabilidades (TD) y el tiempo de corrección de vulnerabilidades (TC). Si bien GitHub Copilot formó parte de la intervención como herramienta de asistencia a la codificación, sus resultados no fueron utilizados como fuente directa para la medición de los indicadores. La Figura 6 y Figura 7 muestran ejemplos de las fichas de observación empleadas durante las etapas de pretest y postest, respectivamente.

Fase 3: Verificar

Estrategia de verificación

En esta fase se evaluó el impacto de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial sobre la seguridad y la eficiencia del proceso de desarrollo de software. Para ello, se compararon los resultados obtenidos antes (pretest) y después (postest) de la intervención, utilizando los indicadores definidos en la investigación y registrados mediante las fichas de observación.

La estrategia de verificación se estructuró de la siguiente manera:

i. Unidad de análisis: cada despliegue de software ejecutado a través del pipeline de integración y despliegue continuo (CI/CD) correspondiente al proyecto “Capa de Servicios del ERP”.

ii. Datos recopilados: registros históricos del proceso de desarrollo (pretest) y reportes generados por SonarQube/SonarCloud, Snyk y el pipeline CI/CD (postest), incluyendo el número de líneas de código modificadas (LOC), la densidad de hallazgos detectados (DH), el tiempo de detección de vulnerabilidades (TD) y el tiempo de corrección de vulnerabilidades (TC).

iii. Indicadores evaluados: densidad de hallazgos detectados (DH), tiempo de detección de vulnerabilidades (TD) y tiempo de corrección de vulnerabilidades (TC), definidos como indicadores de la variable “Eficiencia y seguridad en el desarrollo de software”.

iv. Estrategia de comparación: los resultados obtenidos mediante el proceso de desarrollo previo a la intervención fueron comparados con los obtenidos tras la implementación del pipeline DevSecOps fortalecido con inteligencia artificial, con el propósito de determinar el efecto de la intervención sobre los indicadores evaluados.

Análisis de resultados

La fase de verificación tuvo como propósito evaluar objetivamente el efecto de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial sobre el proceso de desarrollo de software. Para ello, se compararon los resultados obtenidos antes (pretest) y después (postest) de la intervención utilizando la misma muestra de 25 despliegues de software, con base en los indicadores definidos en la investigación: densidad de hallazgos detectados (DH), tiempo de detección de vulnerabilidades (TD) y tiempo de corrección de vulnerabilidades (TC).

Como línea base, se analizaron los registros correspondientes al proceso de revisión previo a la implementación de la solución. La Figura 8 presenta un ejemplo del registro utilizado para documentar la revisión manual de los despliegues, incluyendo información relacionada con las líneas de código modificadas, el número de hallazgos identificados, el tiempo empleado en la revisión y el tiempo estimado para la corrección de las vulnerabilidades.

Estos registros constituyeron la referencia inicial para comparar el desempeño alcanzado tras la implementación del pipeline DevSecOps con inteligencia artificial.

La Figura 9 muestra el detalle de los hallazgos identificados durante la revisión manual. Cada registro incluye información sobre el nivel de severidad, el archivo afectado, el tipo de vulnerabilidad, la línea de código comprometida y el responsable de su corrección. Esta información permitió caracterizar el estado inicial del proceso de desarrollo y establecer la línea base para el análisis comparativo.

Como parte de la intervención, se incorporó GitHub Copilot como herramienta de asistencia basada en inteligencia artificial para apoyar el proceso de codificación y revisión del código fuente. La Figura 10 presenta un ejemplo de las recomendaciones generadas por la herramienta durante un despliegue. Estas sugerencias facilitaron la corrección de problemas identificados por las herramientas de análisis automatizado y apoyaron al desarrollador en la aplicación de buenas prácticas de programación, sin reemplazar el proceso de validación realizado mediante los controles de seguridad del pipeline.

Posteriormente, el código fue sometido al proceso de validación automatizada mediante SonarQube Cloud, cuyos resultados se presentan en la Figura 11. El reporte generado incluye la clasificación de los hallazgos según su severidad, tipo de vulnerabilidad, ubicación dentro del código fuente y tiempo estimado de remediación, además de indicadores de calidad y mantenibilidad utilizados para la validación mediante Quality Gates. Estos reportes constituyeron una de las principales fuentes de información para el cálculo de la densidad de hallazgos detectados (DH) y del tiempo de detección de vulnerabilidades (TD).

En conjunto, la evidencia presentada demuestra el cambio del proceso de revisión manual hacia un esquema automatizado basado en prácticas DevSecOps fortalecidas con inteligencia artificial. La integración de GitHub Copilot, SonarQube Cloud y Snyk permitió disponer de información objetiva y en tiempo real sobre la calidad y seguridad del software, proporcionando la base para el análisis estadístico de los indicadores evaluados y la determinación del impacto de la intervención.

A partir de los registros obtenidos mediante las herramientas implementadas y las fichas de observación, se consolidó la base de datos correspondiente a los 25 despliegues analizados. Sobre esta información se calcularon los indicadores DH, TD y TC, cuyos resultados descriptivos y comparativos se presentan en la siguiente sección resultados.

Evaluación de cumplimiento de objetivos

Los resultados obtenidos evidencian el cumplimiento de los objetivos planteados en la investigación, al demostrar que la implementación de prácticas DevSecOps fortalecidas con inteligencia artificial contribuyó a mejorar la seguridad y la eficiencia del proceso de desarrollo de software. La comparación entre las mediciones de pretest y postest permitió identificar mejoras en los indicadores evaluados, reflejadas en una mayor capacidad para detectar vulnerabilidades durante las etapas tempranas del ciclo de desarrollo, así como en la reducción de los tiempos requeridos para su identificación y remediación.

La integración de GitHub Copilot, SonarQube y Snyk dentro del pipeline de integración y despliegue continuo (CI/CD) permitió automatizar actividades de análisis y validación del código fuente, fortaleciendo los mecanismos de control de calidad y seguridad durante el proceso de desarrollo. Asimismo, los reportes generados por estas herramientas proporcionaron información objetiva y trazable para el cálculo de la densidad de hallazgos detectados (DH), el tiempo de detección de vulnerabilidades (TD) y el tiempo de corrección de vulnerabilidades (TC), facilitando la evaluación cuantitativa del impacto de la intervención.

La Tabla 10 presenta la evaluación del cumplimiento de los objetivos específicos de la investigación, relacionando cada objetivo con los indicadores utilizados y los resultados alcanzados.

En conjunto, los resultados obtenidos respaldan la efectividad de la solución propuesta y demuestran que la incorporación de prácticas DevSecOps apoyadas por inteligencia artificial constituye una estrategia viable para fortalecer la seguridad y la eficiencia del desarrollo de software. La automatización de los procesos de análisis, la integración continua de controles de seguridad y el apoyo de herramientas basadas en inteligencia artificial favorecieron la detección temprana de vulnerabilidades, optimizaron los tiempos de respuesta y contribuyeron a mejorar la calidad del software desarrollado.

Fase 4: Actuar

Hoja de ruta para la institucionalización de DevSecOps fortalecido con inteligencia artificial

Con base en los resultados obtenidos durante la fase de verificación, se estableció una hoja de ruta orientada a consolidar e institucionalizar las prácticas DevSecOps fortalecidas con inteligencia artificial dentro del proceso de desarrollo de software de la organización. El propósito de esta fase fue garantizar la sostenibilidad de la solución implementada, promoviendo la mejora continua y facilitando su escalabilidad hacia otros proyectos de la empresa.

Como primera acción, se formalizaron los controles de seguridad y calidad que demostraron mayor efectividad durante la intervención. Entre ellos se incluyó la adopción obligatoria de Quality Gates en SonarQube como requisito previo para la aprobación de pull requests, la ejecución automática de análisis de vulnerabilidades mediante Snyk durante los procesos de integración continua y en ejecuciones programadas, así como la incorporación de verificaciones previas al commit para fortalecer la detección temprana de vulnerabilidades.

De manera complementaria, se diseñó una hoja de ruta para la evolución del modelo DevSecOps, contemplando la incorporación progresiva de nuevas capacidades de seguridad y automatización. Las principales iniciativas propuestas se presentan en la Figura 12.

con inteligencia artificial.

La hoja de ruta considera la incorporación de análisis dinámico de seguridad de aplicaciones (DAST) en el entorno de staging, la generación y gestión del Software Bill of Materials (SBOM) para fortalecer la trazabilidad de componentes de software, la automatización de políticas de actualización de dependencias y el fortalecimiento de los mecanismos de monitoreo continuo del pipeline CI/CD. Estas acciones permitirán ampliar progresivamente el alcance de la estrategia de seguridad implementada y mejorar la capacidad de respuesta frente a nuevas amenazas.

Asimismo, se establecieron acuerdos operativos entre los equipos de desarrollo, seguridad y operaciones con el propósito de fortalecer la gobernanza del proceso DevSecOps. Entre las acciones definidas se incluyeron reuniones periódicas para la revisión y priorización de vulnerabilidades según su nivel de criticidad e impacto sobre el negocio, el seguimiento de indicadores de desempeño y la definición de metas orientadas a la mejora continua del proceso de desarrollo.

Finalmente, para garantizar la sostenibilidad de la solución implementada, se definieron acciones de mejora orientadas a la calibración de las reglas de análisis de seguridad, la optimización del proceso de revisión de pull requests, la estandarización de criterios para la gestión de excepciones y el fortalecimiento continuo de las competencias del equipo mediante programas de capacitación sobre desarrollo seguro y vulnerabilidades del OWASP Top 10. Estas acciones consolidan el ciclo PHVA, al transformar los resultados obtenidos durante la intervención en prácticas organizacionales permanentes, favoreciendo la mejora continua, la replicabilidad del modelo y su adopción progresiva en otros proyectos de desarrollo de software.

RESULTADOS

Confiabilidad de los instrumentos

Con el propósito de garantizar la consistencia del instrumento de recolección de datos, se aplicó un procedimiento de confiabilidad test-retest, comparando las mediciones obtenidas en dos momentos del estudio. Los resultados presentados en la Tabla 11 evidencian coeficientes superiores al umbral de 0,70, lo que indica una adecuada estabilidad temporal del instrumento.

En este sentido, se concluye que la ficha de observación utilizada en la investigación presenta niveles aceptables de confiabilidad, permitiendo asegurar la consistencia de las mediciones de los indicadores DH, TD y TC durante las fases de pretest y postest.

Análisis descriptivo

A continuación, se presenta los estadísticos descriptivos obtenidos para los indicadores evaluados antes (pretest) y después (postest) de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial.

En relación con la densidad de hallazgos detectados (DH), el promedio aumentó de 1,95 a 5,79 hallazgos por despliegue, lo que evidencia una mayor capacidad del proceso para identificar vulnerabilidades durante las etapas tempranas del desarrollo (Figura 13).

Respecto al tiempo de detección de vulnerabilidades (TD), el promedio disminuyó de 1,47 horas a 0,014 horas, indicando una reducción sustancial del tiempo requerido para detectar vulnerabilidades mediante el pipeline automatizado (Figura 14).

Asimismo, el tiempo promedio de corrección de vulnerabilidades (TC) presentó una reducción importante, pasando de 3,31 horas en el pretest a 0,41 horas en el postest, lo que refleja una mejora significativa en la eficiencia del proceso de remediación (Figura 15).

Análisis inferencial

Prueba de normalidad

Antes de realizar el análisis inferencial, se evaluó el supuesto de normalidad mediante la prueba de Shapiro–Wilk, recomendada para muestras pequeñas (n < 50) debido a su mayor potencia estadística frente a otras pruebas de normalidad. Los resultados evidenciaron valores de significancia inferiores a 0,05 para los tres indicadores analizados (DH: W = 0,896, p = 0,015; TD: W = 0,898, p = 0,017; TC: W = 0,645, p < 0,001), lo que indica que las distribuciones difieren significativamente de una distribución normal. En consecuencia, se rechazó el supuesto de normalidad y se optó por emplear la prueba no paramétrica de rangos con signo de Wilcoxon para comparar las mediciones obtenidas en el pretest y el postest (Tabla 12).

Contrastación de Hipótesis

Además del nivel de significancia estadística, se calculó el tamaño del efecto (r) para cuantificar la magnitud de las diferencias observadas entre el pretest y el postest. El tamaño del efecto fue obtenido mediante la expresión $r=\mathbf{|}\mathbb{Z}\mathbb{|}\mathbb{/}\sqrt{}N$, donde Z corresponde al estadístico de la prueba de Wilcoxon y N al número de observaciones pareadas. Los tres indicadores presentaron un tamaño del efecto de r = 0,87, considerado grande de acuerdo con los criterios propuestos por [29], lo que indica que la implementación de prácticas DevSecOps fortalecidas con inteligencia artificial produjo cambios sustanciales tanto en la detección como en la corrección de vulnerabilidades. Asimismo, para determinar si existían diferencias estadísticamente significativas entre las mediciones de pretest y postest se aplicó la prueba de rangos con signo de Wilcoxon para muestras relacionadas (Tabla 13).

Los resultados evidenciaron diferencias estadísticamente significativas en los tres indicadores evaluados (p<0,001). En consecuencia, se rechazó la hipótesis nula y se aceptó la hipótesis de investigación, concluyendo que la implementación de prácticas DevSecOps fortalecidas con inteligencia artificial produjo mejoras significativas en la densidad de hallazgos detectados, así como reducciones significativas en el tiempo de detección y el tiempo de corrección de vulnerabilidades.

Medianas e IQR

Debido a que las variables no presentaron distribución normal, además de los promedios se reportaron medidas robustas de tendencia central y dispersión. La mediana de la densidad de hallazgos detectados aumentó de 1,51 (IQR: 1,37–2,54) a 4,53 (IQR: 3,96–7,43). Asimismo, la mediana del tiempo de detección disminuyó de 1,30 horas (IQR: 1,08–1,88) a 0,012 horas (IQR: 0,010–0,015), mientras que el tiempo de corrección disminuyó de 2,43 horas (IQR: 2,05–3,03) a 0,33 horas (IQR: 0,292–0,39), Tabla 14.

Boxplots

La Figura 16, Figura 17 y Figura 18 muestran los diagramas de caja correspondientes a los tres indicadores evaluados antes y después de la implementación de las prácticas DevSecOps fortalecidas con inteligencia artificial. En conjunto, los boxplots evidencian un cambio sustancial en la distribución de los datos entre el pretest y el postest. La densidad de hallazgos detectados (DH) presenta un desplazamiento de la mediana hacia valores superiores en el postest, indicando una mayor capacidad para identificar vulnerabilidades durante el proceso de desarrollo. En contraste, el tiempo de detección de vulnerabilidades (TD) y el tiempo de corrección (TC) muestran un desplazamiento de sus medianas hacia valores considerablemente menores, reflejando una reducción importante en los tiempos requeridos para detectar y remediar vulnerabilidades. Asimismo, la menor dispersión observada en los boxplots del postest para TD y TC sugiere un proceso más estable y consistente tras la implementación de la estrategia DevSecOps con inteligencia artificial. Aunque se observan algunos valores atípicos en ambos momentos de evaluación, estos no alteran la tendencia general de mejora evidenciada en los tres indicadores, respaldando visualmente los resultados obtenidos mediante la prueba de rangos con signo de Wilcoxon.

DISCUSIÓN

Interpretación general de los resultados

Los resultados obtenidos demuestran que la implementación de prácticas DevSecOps fortalecidas con inteligencia artificial mejoró significativamente los indicadores de seguridad y eficiencia del proceso de desarrollo de software. El incremento observado en la densidad de hallazgos detectados no representa un deterioro de la calidad del software, sino una mayor capacidad del pipeline CI/CD para identificar de manera temprana los hallazgos reportados por las herramientas automatizadas de análisis, incluyendo vulnerabilidades de seguridad, defectos de código (bugs), code smells y otros problemas de mantenibilidad. En este contexto, el indicador refleja la efectividad de los mecanismos de detección incorporados durante el proceso de integración continua y no un incremento en la cantidad de problemas introducidos en el software.

Comparación con estudios anteriores

Los resultados obtenidos son consistentes con la revisión multivocal de [21], quienes identificaron que la automatización de controles de seguridad, la adopción del enfoque shift-left y la integración continua constituyen las principales dimensiones que favorecen el éxito de DevSecOps. Del mismo modo, [22] concluyeron que la integración temprana de controles de seguridad dentro del ciclo de desarrollo reduce la exposición a vulnerabilidades y mejora la colaboración entre los equipos de desarrollo, operaciones y seguridad.

En relación con la incorporación de inteligencia artificial, los resultados coinciden con lo reportado por [23], quienes sostienen que los modelos de IA permiten automatizar tareas de análisis de código, priorización de vulnerabilidades y asistencia en la toma de decisiones dentro del pipeline DevSecOps. De forma similar, [24] señalan que la aplicación de técnicas de aprendizaje automático contribuye a optimizar los procesos de pruebas de software y acelerar la identificación de defectos durante el desarrollo.

Explicar el incremento de DH

El incremento de la densidad de hallazgos detectados debe interpretarse como un indicador de mejora en la capacidad de inspección del proceso y no como un incremento real de vulnerabilidades o defectos del software. La integración de herramientas de análisis estático (SAST), análisis de composición de software (SCA) y mecanismos automatizados de validación permitió detectar un mayor número de vulnerabilidades, defectos de código, code smells y otros hallazgos de calidad que anteriormente podían pasar inadvertidos durante las revisiones manuales o los controles tradicionales. Esta interpretación coincide con las recomendaciones de [25], quienes evidenciaron que la combinación de diferentes técnicas de análisis incrementa significativamente la cobertura de detección respecto al uso aislado de herramientas SAST.

Implicaciones prácticas de los hallazgos

Los resultados obtenidos evidencian que la incorporación de prácticas DevSecOps fortalecidas con inteligencia artificial genera beneficios relevantes para la gestión de la seguridad y la eficiencia en el desarrollo de software. En primer lugar, la detección temprana de vulnerabilidades durante la evaluación de los pull requests reduce la probabilidad de que código inseguro sea integrado a las ramas principales del repositorio, disminuyendo la exposición del software a riesgos de seguridad y favoreciendo la aplicación del enfoque shift-left dentro del ciclo de vida del desarrollo de software (SDLC) [21], [22].

Asimismo, la reducción observada en el tiempo de detección (TD) y en el tiempo de corrección (TC) demuestra que la automatización de los procesos de análisis de seguridad contribuye a optimizar el flujo de desarrollo, reduciendo retrabajos y acelerando la entrega de versiones más seguras del software. La integración de herramientas como SonarQube, Snyk y GitHub Copilot permitió proporcionar retroalimentación inmediata a los desarrolladores, favoreciendo la corrección temprana de vulnerabilidades antes de su propagación hacia etapas posteriores del proceso [23], [21].

Desde la perspectiva organizacional, la implementación de políticas de calidad basadas en Quality Gates, criterios estandarizados de severidad, excepciones controladas y acuerdos de niveles de servicio (SLA) para la remediación de vulnerabilidades fortalece la gobernanza del proceso DevSecOps. Estas prácticas favorecen la trazabilidad de las decisiones de seguridad, promueven una gestión más eficiente de los riesgos y facilitan la integración efectiva entre los equipos de desarrollo, operaciones y seguridad [21], [22].

Por otra parte, la inteligencia artificial actúa como un mecanismo de apoyo para la toma de decisiones dentro del pipeline CI/CD, proporcionando capacidades de análisis automatizado, priorización de vulnerabilidades y asistencia durante la generación y refactorización del código. En este sentido, la IA no reemplaza la revisión realizada por los desarrolladores, sino que complementa el proceso mediante recomendaciones basadas en datos que permiten incrementar la productividad y mejorar la calidad del software desarrollado [25], [23].

Finalmente, los resultados obtenidos respaldan la conveniencia de evolucionar progresivamente el modelo implementado mediante la incorporación de capacidades complementarias orientadas a fortalecer la seguridad del proceso de desarrollo. Entre estas se encuentran la generación y gestión del Software Bill of Materials (SBOM) para mejorar la trazabilidad de los componentes de software y el análisis de la infraestructura como código (IaC) para identificar vulnerabilidades de configuración desde las etapas iniciales del ciclo de desarrollo. Estas prácticas amplían la cobertura de los controles de seguridad y contribuyen a fortalecer la gestión de riesgos en entornos DevSecOps [26], [27].

Limitaciones del estudio

La presente investigación empleó un diseño preexperimental con medición antes y después de la implementación de prácticas DevSecOps apoyadas por inteligencia artificial. Si bien este diseño permite evaluar los cambios observados en los indicadores de seguridad y eficiencia del proceso de desarrollo de software, presenta limitaciones relacionadas con la validez interna debido a la ausencia de un grupo de control, lo que restringe la capacidad para atribuir de manera exclusiva los efectos observados a la intervención implementada.

Entre las principales amenazas a la validez interna se identifican las siguientes:

Variables de confusión. Durante el período de implementación pudieron presentarse cambios organizacionales, tecnológicos o metodológicos ajenos a la propuesta, tales como actualizaciones de herramientas de desarrollo, mejoras en la infraestructura tecnológica o modificaciones en las políticas de gestión de proyectos, que potencialmente influyeron en los indicadores evaluados.

Efecto de aprendizaje del equipo. El desempeño del equipo de desarrollo pudo mejorar como consecuencia de la experiencia adquirida, la práctica continua y la familiarización progresiva con las herramientas y procesos utilizados, independientemente de la implementación de las prácticas DevSecOps apoyadas por inteligencia artificial.

Madurez incremental del proceso. La evolución natural de los procesos de desarrollo y de integración continua dentro de la organización pudo generar mejoras graduales en la calidad del software, la detección de vulnerabilidades y la eficiencia operativa, aun en ausencia de la intervención propuesta.

Sesgos temporales o históricos. Durante el período de estudio pudieron ocurrir eventos externos que afectaran los resultados, como variaciones en la carga de trabajo, cambios en la complejidad de los despliegues, modificaciones en los requerimientos funcionales o ajustes en la planificación del proyecto.

Instrumentación. La incorporación o actualización de herramientas automatizadas para el análisis estático de código, el análisis de dependencias o la detección de vulnerabilidades pudo incrementar la capacidad de identificación de hallazgos, generando diferencias entre las mediciones del pretest y el postest que no dependieran exclusivamente de la intervención.

Con el propósito de reducir parcialmente estas amenazas, el estudio se desarrolló sobre un mismo proyecto de software, utilizando el mismo pipeline de integración y despliegue continuo (CI/CD), los mismos indicadores de evaluación, criterios homogéneos de medición y un período continuo de observación. Asimismo, la muestra fue seleccionada mediante un criterio técnico previamente definido, considerando los despliegues con mayor volumen de líneas de código modificadas (LOC), lo que permitió mantener uniformidad en las condiciones de evaluación. No obstante, estas medidas no eliminan completamente las amenazas propias de un diseño preexperimental.

En consecuencia, los resultados deben interpretarse como evidencia de una asociación entre la implementación de prácticas DevSecOps apoyadas por inteligencia artificial y las mejoras observadas en los indicadores de seguridad y eficiencia. Sin embargo, debido a la ausencia de un grupo de control, no es posible establecer una relación causal definitiva ni atribuir de manera exclusiva todos los cambios observados a la intervención implementada.

Como línea futura de investigación, se recomienda desarrollar estudios con diseños cuasiexperimentales o experimentales que incorporen grupos de control, asignación de tratamientos y períodos de seguimiento más amplios, con el propósito de fortalecer la inferencia causal y validar con mayor rigor el impacto de la implementación de prácticas DevSecOps apoyadas por inteligencia artificial.

Otros alcances

En conjunto, la evidencia obtenida demuestra que la implementación de prácticas DevSecOps fortalecidas con inteligencia artificial constituye una estrategia viable para incrementar simultáneamente la seguridad y la eficiencia del desarrollo de software. El aumento de la densidad de hallazgos detectados refleja una mayor capacidad para identificar vulnerabilidades en etapas tempranas del ciclo de desarrollo, mientras que la disminución del tiempo de detección y del tiempo de corrección evidencia una mejora significativa en la eficiencia operativa del proceso.

Estos resultados son consistentes con la literatura reciente, que reconoce la integración temprana de controles de seguridad, la automatización del pipeline CI/CD y el uso de inteligencia artificial como factores clave para la madurez de DevSecOps y el fortalecimiento del desarrollo seguro de software [10], [21], [22], [28]. Asimismo, los hallazgos respaldan la conveniencia de continuar evolucionando el modelo mediante la incorporación de capacidades complementarias, como la gestión de Software Bill of Materials (SBOM), el análisis de infraestructura como código (IaC) y otras prácticas orientadas a fortalecer la seguridad de la cadena de suministro del software [26], [27].

A partir de los resultados obtenidos, se plantean diversas recomendaciones orientadas a fortalecer la adopción de prácticas DevSecOps apoyadas por inteligencia artificial y ampliar el alcance de futuras investigaciones.

En primer lugar, se recomienda consolidar la estandarización organizacional mediante la definición de políticas institucionales que establezcan Quality Gates obligatorios, criterios mínimos de severidad para la integración de cambios y acuerdos de nivel de servicio (SLA) para la remediación de vulnerabilidades, incorporando estos lineamientos dentro de la definición de Done de los equipos de desarrollo.

En segundo lugar, resulta conveniente ampliar la cobertura de los controles de seguridad incorporando mecanismos complementarios, tales como análisis dinámico de seguridad (DAST) en entornos de staging, análisis de infraestructura como código (IaC), generación y validación de Software Bill of Materials (SBOM), detección continua de credenciales expuestas y estrategias automatizadas para la actualización y gestión de dependencias. Estas prácticas contribuirán a fortalecer la seguridad de la cadena de suministro del software y a incrementar la madurez del modelo DevSecOps implementado.

Asimismo, se recomienda implementar mecanismos de monitoreo continuo mediante tableros de control que integren indicadores clave de desempeño, como la densidad de hallazgos detectados (DH), el tiempo de detección de vulnerabilidades (TD), el tiempo de corrección (TC), el porcentaje de pull requests aprobados en el primer intento y la evolución de la deuda técnica. El seguimiento periódico de estos indicadores facilitará la toma de decisiones basada en evidencia y la mejora continua de los procesos de desarrollo.

Desde la perspectiva del desarrollo de capacidades, se sugiere establecer programas permanentes de capacitación orientados a fortalecer las competencias del equipo en DevSecOps, inteligencia artificial aplicada al desarrollo seguro y buenas prácticas de ciberseguridad, complementados con ejercicios prácticos basados en vulnerabilidades reales identificadas durante el desarrollo de los proyectos.

Finalmente, futuras investigaciones podrían validar el modelo propuesto en diferentes organizaciones y contextos tecnológicos, incorporando muestras de mayor tamaño y diseños cuasiexperimentales o experimentales que permitan incrementar la validez externa de los resultados. Asimismo, sería pertinente evaluar indicadores adicionales, como la reducción de defectos en producción, el impacto económico asociado a la disminución del retrabajo, la calidad del código generado por asistentes basados en Large Language Models (LLMs) y la incorporación de nuevas capacidades de seguridad impulsadas por inteligencia artificial. Estas líneas de investigación contribuirán a consolidar un modelo de adopción gradual, escalable y sostenible de DevSecOps con inteligencia artificial en empresas dedicadas al desarrollo de software.

CONCLUSIONES

La implementación de prácticas DevSecOps fortalecidas con inteligencia artificial demostró ser una estrategia efectiva para mejorar la seguridad y la eficiencia del desarrollo de software en la empresa objeto de estudio. La integración de herramientas de análisis estático de código, análisis de composición de software, políticas de Quality Gates y asistencia basada en inteligencia artificial permitió automatizar controles de seguridad, fortalecer el proceso de integración continua y optimizar la detección y remediación de vulnerabilidades durante las etapas tempranas del ciclo de vida del software. En consecuencia, se alcanzó satisfactoriamente el objetivo general de la investigación.

Con respecto al primer objetivo específico, se determinó que la implementación de prácticas DevSecOps con inteligencia artificial incrementó significativamente la densidad de hallazgos detectados. El promedio pasó de 1,95 a 5,79 hallazgos por despliegue, lo que representa un incremento del 196,9 %. Este resultado evidencia una mayor capacidad del proceso para identificar vulnerabilidades y problemas de calidad antes de la integración del código, fortaleciendo el aseguramiento de la seguridad sin afectar la continuidad del desarrollo.

En relación con el segundo objetivo específico, se comprobó una reducción significativa en el tiempo de detección de vulnerabilidades. El tiempo promedio disminuyó de 1,47 horas a 0,014 horas, equivalente a una reducción del 99,05 %, demostrando que la incorporación de controles automatizados dentro del pipeline CI/CD permitió detectar vulnerabilidades de manera prácticamente inmediata y reducir considerablemente la exposición del software a riesgos de seguridad.

Respecto al tercer objetivo específico, se evidenció una mejora significativa en el proceso de remediación de vulnerabilidades. El tiempo promedio de corrección pasó de 3,31 horas a 0,41 horas, lo que representa una reducción del 87,61 %. Este resultado demuestra que la combinación de herramientas de análisis automatizado y asistencia basada en inteligencia artificial favoreció la priorización y resolución temprana de vulnerabilidades, reduciendo el retrabajo e incrementando la eficiencia operativa del equipo de desarrollo.

Asimismo, el análisis inferencial confirmó que las diferencias observadas entre las mediciones previas y posteriores a la implementación fueron estadísticamente significativas para los tres indicadores evaluados (p < 0,001), con tamaños del efecto elevados, lo que evidencia que las mejoras alcanzadas poseen no solo significancia estadística, sino también relevancia práctica dentro del contexto de una fábrica de software.

Finalmente, los resultados permiten concluir que la integración de prácticas DevSecOps con inteligencia artificial constituye una alternativa viable para fortalecer la madurez de los procesos de desarrollo seguro. La automatización de controles, el uso de asistentes inteligentes para apoyar la codificación y la incorporación de mecanismos de validación continua contribuyen a mejorar la calidad del software, reducir los tiempos de respuesta ante vulnerabilidades y fortalecer la competitividad de las organizaciones dedicadas al desarrollo de software.

El modelo propuesto constituye una evidencia empírica de que la integración de prácticas DevSecOps con herramientas de inteligencia artificial puede generar mejoras cuantificables en los procesos de aseguramiento de la seguridad y eficiencia del desarrollo de software, aportando una referencia para futuras implementaciones en empresas de fábrica de software.