El marco DevSecOps busca integrar seguridad, desarrollo y operación durante todo el ciclo de vida de los sistemas del INE.
El Instituto Nacional Electoral (INE) incorporó en la agenda de su Junta General Ejecutiva del 14 de septiembre de 2026 la aprobación de los Lineamientos para la gestión integrada de desarrollo, seguridad y operaciones (DevSecOps) de sus sistemas y servicios tecnológicos, junto con la primera modificación al proyecto G090310, destinado a fortalecer la resiliencia tecnológica y operativa del organismo. La sesión se realizó de manera virtual desde la Ciudad de México y el instituto publicó tanto el orden del día como el documento técnico de los lineamientos. (INE)
La decisión importa porque cambia el punto en el que la seguridad informática debe intervenir: ya no sólo al final de un desarrollo o después de un incidente, sino desde la planeación, el diseño, las pruebas, el despliegue y la operación continua. En el contexto de la ciberseguridad electoral en México, el objetivo no se limita a proteger bases de datos. También busca que cada cambio en una plataforma institucional pueda ser identificado, probado, autorizado, auditado y, si es necesario, revertido.
En breve
- Los lineamientos aplican a sistemas que soporten procesos sustantivos o electorales, procesen datos personales, estén expuestos a redes públicas o incorporen integración y despliegue continuos.
- El INE plantea escaneos automatizados de código, dependencias, contenedores, infraestructura y secretos, así como bloqueo de despliegues con vulnerabilidades críticas, altas o medias sin remediar.
- La supervisión corresponderá a la UTSI y al Grupo de Gobierno de TIC, con métricas de desempeño, revisiones al menos anuales y evidencia disponible para auditoría.
Qué cambia para los sistemas del INE
El documento establece que el marco será aplicable a proyectos, plataformas, componentes y entornos de desarrollo administrados por el instituto, incluidos los que se realicen internamente o en colaboración con terceros. La aplicación será gradual y proporcional al riesgo, la exposición, la criticidad, la madurez tecnológica y las capacidades presupuestales.
El texto no enumera en una lista pública todos los sistemas que quedarán sujetos al esquema. En cambio, ordena al Grupo de Gobierno de Tecnologías de la Información y Comunicaciones mantener un catálogo actualizado con base en criterios objetivos. Entre ellos están los sistemas que soporten procesos electorales o misionales, manejen información personal o reservada, ofrezcan servicios a la ciudadanía o utilicen flujos de integración y despliegue continuos.
Esto significa que el alcance deberá aterrizarse en decisiones posteriores de gobierno tecnológico. Para directivos y responsables de áreas, una pregunta central será qué aplicaciones entrarán primero al catálogo y con qué nivel de exigencia. La priorización tendría que concentrarse en los activos cuya interrupción, alteración o filtración genere el mayor impacto institucional, operativo o reputacional.
Controles obligatorios: de las pruebas al bloqueo de cambios
Los lineamientos fijan controles mínimos que convierten la seguridad en una condición de liberación. El ciclo DevSecOps deberá contemplar análisis estático del código, pruebas dinámicas de seguridad, revisión automatizada de dependencias, detección de secretos, escaneo de imágenes de contenedores y revisión de infraestructura como código.
Las vulnerabilidades clasificadas como críticas, altas o medias deberán corregirse antes de que una versión llegue a ambientes de integración o producción, salvo que exista una excepción autorizada y documentada. El flujo de trabajo deberá impedir el despliegue productivo cuando esos riesgos permanezcan abiertos. Las vulnerabilidades bajas no bloquearán necesariamente una liberación, pero tendrán que registrarse como deuda técnica y contar con un plan de remediación.
El marco también exige firma digital de artefactos, uso de imágenes base confiables, generación de un inventario de componentes de software —conocido como SBOM—, control de acceso basado en roles, autenticación centralizada y aplicación del principio de mínimo privilegio. Para los datos personales, prevé cifrado o enmascaramiento, mientras que las contraseñas, tokens y claves privadas no podrán almacenarse en texto plano.
En la práctica, estas disposiciones pueden elevar el costo inicial de los proyectos, pero reducen el riesgo de que una vulnerabilidad pase inadvertida hasta la operación. El beneficio empresarial para los proveedores no será sólo ganar una licitación: tendrán que demostrar procesos repetibles, evidencia técnica, capacidad de respuesta y compatibilidad con la herramienta institucional autorizada para gestionar el ciclo de vida del software.
Proveedores y contrataciones: la exigencia estará en la evidencia
Los lineamientos no presentan por sí mismos una matriz completa de evaluación de proveedores ni definen puntajes de contratación. Sin embargo, sí establecen condiciones técnicas que pueden trasladarse a futuras convocatorias, contratos y acuerdos de nivel de servicio. Un proveedor que participe en desarrollos o servicios tecnológicos para el INE deberá estar preparado para entregar reportes de escaneo, bitácoras de despliegue, documentación versionada, evidencias de pruebas y registros de excepciones.
El antecedente presupuestal muestra que la resiliencia tecnológica ya se relaciona con servicios de protección perimetral, monitoreo continuo, respuesta a incidentes, gobierno, cumplimiento y atención técnica bajo demanda. La cartera institucional del INE describe el proyecto G090310 como un modelo orientado a prevenir, detectar, contener y recuperar oportunamente ante eventos que afecten la infraestructura. (Cartera Institucional de Proyectos 2026)
La primera modificación al proyecto incluida en la sesión del 14 de septiembre deberá revisarse para identificar si cambia metas, servicios, plazos, indicadores o recursos. La agenda consultada confirma la modificación, pero no muestra en el resumen público el monto reasignado ni el detalle completo de sus ajustes. Por ello, el seguimiento presupuestal debe hacerse sobre los anexos y el acuerdo definitivo, no sobre estimaciones.
Cómo se medirá la resiliencia y el desempeño
El marco asigna a la Unidad Técnica de Servicios de Informática la coordinación de la verificación y al Grupo de Gobierno de TIC el seguimiento institucional. La medición podrá incluir métricas DORA, como frecuencia de despliegue, tiempo de entrega de cambios, tasa de fallos y tiempo medio de recuperación, además de cobertura de pruebas, defectos, vulnerabilidades y cumplimiento de niveles de servicio.
Este punto es relevante para la gestión ejecutiva porque permite pasar de afirmaciones generales sobre seguridad a indicadores comparables. Una organización puede tener muchas herramientas de protección y, aun así, tardar demasiado en detectar una intrusión o recuperar un servicio. La resiliencia debe observarse en la capacidad de continuar operaciones, limitar daños y restablecer funciones críticas.
Los lineamientos ordenan conservar reportes de escaneos, registros de integración y despliegue, métricas, excepciones y acciones de remediación. También contemplan retención de registros operativos en línea durante 90 días y archivado en frío por al menos un año; la evidencia histórica de análisis de seguridad deberá conservarse entre uno y tres años o durante la vida de la versión liberada, lo que resulte mayor. (Lineamientos DevSecOps del INE)
La conexión con la confianza pública
La ciberseguridad electoral no sustituye los controles jurídicos, operativos y de vigilancia que acompañan a una elección. Tampoco implica que una falla de software altere automáticamente un resultado. Su importancia está en reducir superficies de ataque, limitar cambios no autorizados y producir evidencia verificable sobre quién modificó un sistema, qué versión se desplegó, cuándo se hizo y cómo podría revertirse.
Para la ciudadanía, esa trazabilidad puede ser tan importante como la disponibilidad de un portal o una plataforma. Para el INE, representa una defensa técnica y documental frente a incidentes, controversias y señalamientos de opacidad. Para los proveedores, anticipa un mercado público con mayores barreras de entrada: no bastará con entregar una aplicación funcional; habrá que acreditar que fue construida, probada y operada bajo controles de seguridad continuos.
El siguiente paso será observar cómo el instituto convierte el marco en procedimientos, catálogos de sistemas, cláusulas contractuales, indicadores públicos y resultados de auditoría. Ahí se determinará si DevSecOps queda como una norma técnica interna o se convierte en una capacidad institucional medible para proteger servicios, datos y confianza en los procesos electorales.
Fuentes consultadas
- Instituto Nacional Electoral, sesión extraordinaria de la Junta General Ejecutiva del 14 de septiembre de 2026.
- Instituto Nacional Electoral, Lineamientos para la gestión integrada de desarrollo, seguridad y operaciones (DevSecOps).
- Instituto Nacional Electoral, Bases Generales del Presupuesto 2026 y descripción del proyecto G090310.
- Diario Oficial de la Federación, actualización del Manual de Proceso y Procedimientos de Gestión de TIC del INE, 28 de enero de 2026.
About The Author
