Nueve frameworks, Apache-2.0, publicados bajo Techstream.

1. 01

   DevSecOps Framework

   Dónde poner la seguridad en un pipeline de entrega y qué control va en cada fase. Dentro: la arquitectura, una referencia de herramientas por fase del pipeline, una guía de implementación y una hoja de ruta.

   github.com/sotille/devsecops-framework

2. 02

   Secure CI/CD Reference Architecture

   Un pipeline tiene cinco puntos de ataque: código fuente, entorno de build, secretos, artefactos y despliegue. Las amenazas de cada uno quedan modeladas y su control fijado, con guías de implementación para GitHub Actions, GitLab CI y Jenkins y un modelo de madurez para cerrar.

   github.com/sotille/secure-ci-cd-reference-architecture

3. 03

   Release Orchestration Framework

   Gobernanza de releases, promoción entre entornos, flujos de aprobación, orquestación, rollback y recuperación, escritos para organizaciones con muchos equipos y muchos entornos. Léelo si eres el release manager o el responsable de programa que tiene que decir cuándo algo puede ir a producción.

   github.com/sotille/release-orchestration-framework

4. 04

   Software Supply Chain Security Framework

   Del código fuente a la distribución: dependencias, sistemas de build, artefactos y entornos de despliegue, con el ciclo de vida del SBOM y la procedencia como base de la confianza. Se apoya en SLSA, el SSDF de NIST, la Executive Order 14028 y el Cyber Resilience Act de la UE, y está escrito para el programa que un equipo empieza después de SolarWinds, Log4Shell y XZ Utils.

   github.com/sotille/software-supply-chain-security-framework

5. 05

   DevSecOps Maturity Model

   Cinco niveles en ocho dominios, un cuestionario de puntuación y un análisis de brechas. El linaje es CMMI, OWASP SAMM y BSIMM, extendidos a cloud-native y entrega continua; la evaluación de dos semanas de la página de servicios se apoya en este modelo.

   github.com/sotille/devsecops-maturity-model

6. 06

   Compliance Automation Framework

   Los controles se convierten en policy as code, la evidencia la recoge el pipeline y no una persona, y la monitorización la mantiene al día, en nube, Kubernetes y CI/CD. El mapeo de controles cubre SOC 2, ISO 27001 y PCI DSS, entre otros, para sustituir el cumplimiento puntual por evidencia continua.

   github.com/sotille/compliance-automation-framework

7. 07

   DevSecOps Methodology

   Una transformación en cuatro fases, evaluar, diseñar, implementar, optimizar, en cultura, proceso, herramientas y gobernanza. Dentro: marcos de evaluación y guías de entrevista, plantillas de estado objetivo, playbooks de 90 días y de 18 meses, matrices RACI y un programa de security champions. Para el CISO o el responsable de plataforma que patrocina o dirige el programa.

   github.com/sotille/devsecops-methodology

8. 08

   AI DevSecOps Framework

   Qué cambia en el pipeline cuando la IA escribe código y los agentes corren en CI/CD: modelos de amenazas, controles y gobernanza para el desarrollo asistido por IA, la defensa contra prompt injection, la cadena de suministro de modelos y la autorización de agentes. Parte de una base DevSecOps madura y la extiende a la superficie de IA, con ejemplos de GitHub Actions, GitLab CI y RBAC de Kubernetes.

   github.com/sotille/ai-devsecops-framework

9. 09

   Forensics & Incident Response Framework

   La infraestructura inmutable y efímera destruye la evidencia, salvo que la preservación se diseñe de antemano. Este repositorio es ese diseño: qué registrar, dónde guardarlo sin alterar, cómo correlacionar entre dominios, y playbooks de investigación para incidentes de CI/CD, nube, cadena de suministro, identidad y agentes de IA.

   github.com/sotille/forensics-and-incident-response-framework

Normas referenciadas en los frameworks

DORA, NIS2, el Cyber Resilience Act y el AI Act de la UE; SLSA, SSDF (NIST SP 800-218), ISO 27001, SOC 2, PCI DSS; CycloneDX y SPDX, Sigstore, OPA.