Policy as code

Policy as code es expresar las reglas de la organización ("ningún bucket es público", "los contenedores no corren como root", "todo recurso tiene un responsable") en un lenguaje que una herramienta pueda evaluar automáticamente contra una entrada: un plan de Terraform, un manifiesto de Kubernetes, una solicitud de API.

La ganancia es consistencia y velocidad. La regla deja de depender de un revisor atento y pasa a ser un gate que responde en segundos, con un mensaje claro de por qué bloqueó.

OPA usa el lenguaje Rego. La política de abajo evalúa el plan de Terraform y niega la creación de un bucket sin bloqueo de acceso público. Con Conftest, el mismo archivo corre en el CI sobre el plan exportado en JSON.

Una política sin pruebas es una suposición. OPA permite pruebas unitarias en Rego con casos que deben pasar y casos que deben negarse. Sin ellas, una regla puede dejar de detectar algo sin que nadie lo note o, en el otro extremo, bloquear cambios legítimos y llevar al equipo a desactivarla.

Las excepciones existen, y lo importante es que sean explícitas, con responsable y plazo, y no huecos informales. Para adoptar sin bloquear a todos, empieza en modo de aviso (la política solo reporta), mide lo que se bloquearía, corrige el legado y solo entonces pasa a bloquear: la misma lógica de observación, shadow y enforcement que se usa en un WAF.