ITS Inc., una empresa dedicada a la formación y desarrollo de talento con más de 15 años de experiencia en su plataforma SaaS, enfrenta un desafío cada vez más común en el sector tecnológico: la aceleración en la producción de código gracias a asistentes de inteligencia artificial, como Claude Code, mientras la capacidad de revisión y control de seguridad permanece estancada.
Brad Young, vicepresidente de Tecnología de ITS desde hace dos años, heredó una plataforma madura con un legado de deuda técnica y riesgos de seguridad acumulados. Además, lidera en solitario las áreas de ingeniería, aseguramiento de calidad y DevSecOps, con la responsabilidad de modernizar un monolito heredado hacia una plataforma lista para la IA, sin interrumpir la operativa del negocio.
La realidad que encontró era preocupante pero común: la seguridad se gestionaba de forma inconsistente, con resultados dispersos de múltiples herramientas y formatos que dificultaban una atención adecuada. Al final, las alertas se convirtieron en ruido de fondo que los desarrolladores tendían a ignorar. Así, vulnerabilidades críticas y de alta gravedad llegaban a producción no por negligencia, sino porque el sistema no facilitaba una respuesta efectiva. 
La transición hacia una infraestructura basada en servicios y contenedores complicó aún más la superficie de ataque, sumando nuevos elementos como archivos de infraestructura como código, configuraciones de contenedores y secretos expuestos inadvertidamente. Y todo esto coincidió con un aumento en la velocidad de desarrollo impulsado por la inteligencia artificial, justo cuando los procesos de revisión estaban menos preparados para gestionar dicho volumen.
Una estrategia económica para controlar riesgos
Brad estableció desde el primer día una norma clara y exigente: bajo ningún concepto deben llegar a producción vulnerabilidades críticas o de alta severidad. Para conseguirlo, aplicó un principio económico fundamental: cuanto antes se detecten y solucionen las vulnerabilidades, menor es el coste tanto en tiempo como en riesgos.
Alertar y corregir fallos durante el proceso de desarrollo, en fases como el push de código o las pull requests, solo supone minutos. Sin embargo, que esos mismos fallos se descubran en producción implica días de trabajo para mitigarlos, además de exponer a la empresa a riesgos innecesarios.
Por ello, integró la seguridad de forma automática en el flujo de trabajo habitual de los desarrolladores, evitando la necesidad de que deban consultar paneles separados o cambiar de contexto.
Cuatro pilares para la seguridad integrada
- Feedback directo en el flujo de trabajo: Los resultados de escaneos se muestran dentro de la pull request, con notificaciones en Microsoft Teams, imitando la comunicación de los comentarios de revisión de código.
- Una integración única: Se consolidan las herramientas de análisis de código estático (SAST), análisis de composición de software (SCA), escaneo de infraestructura como código y detección de secretos en una sola plataforma, generando informes coherentes y reduciendo el ruido.
- Bloqueo basado en severidad: Las vulnerabilidades críticas y de alta gravedad impiden fusionar cambios hasta que se resuelven, mientras que las de nivel medio y bajo se señalan sin entorpecer la velocidad.
- Cobertura acorde a la arquitectura: Con la adopción de contenedores e infraestructura endurecida, se detectan configuraciones erróneas antes de que llegue a cualquier entorno.
Gracias a estas medidas, ITS Inc. ha conseguido que no se registre ningún hallazgo crítico o de alta gravedad en producción, atendiendo y resolviendo los problemas antes de que lleguen a ese punto. Además, la acogida entre los desarrolladores ha sido positiva, ya que las alertas están integradas en sus herramientas habituales y no suponen un obstáculo adicional.
Pequeños equipos y grandes avances gracias a la IA
El uso de inteligencia artificial no comenzó por casualidad en ITS Inc., sino tras dos años de transformación organizativa: dividir grandes equipos en grupos pequeños, mejorar las prácticas de ingeniería y construir infraestructuras que facilitasen lanzamientos más rápidos y seguros.
Desde hace aproximadamente un año, la plataforma Claude Code se implementó a nivel global, impactando no solo en ingeniería, sino también en atención al cliente y equipos directivos. Esto revolucionó la forma de abordar el desarrollo, pasando de asignar tareas horizontales entre diferentes especialistas, a que equipos reducidos de dos personas desarrollen características completas, desde la base de datos hasta la interfaz de usuario, apoyándose en la IA para gestionar la integración.
Este cambio representa una gran ganancia en productividad, pero también un reto importante: más código y equipos más pequeños suponen mayor superficie de revisión y menor capacidad para evaluar manualmente cada cambio. Por ello, contar con herramientas automatizadas de seguridad es indispensable.
Brad reconoce que Arnica ha sido fundamental para permitir esta aceleración, proporcionando una seguridad integrada que permite a estos equipos autónomos trabajar con confianza sin necesitar revisores dedicados para cada cambio.
El equilibrio entre productividad y seguridad es clave para el futuro
Este caso evidencia una realidad que muchas organizaciones enfrentan o enfrentarán pronto: la adopción masiva de herramientas de IA para programación aumenta la productividad, pero sin un incremento paralelo en la capacidad y calidad de la revisión de seguridad, el riesgo se dispara.
Los programas de inteligencia artificial ofrecen grandes oportunidades, pero omitir la inversión en revisiones y controles adecuados no es un simple error menor, sino la diferencia entre generar valor sostenido o acumular riesgos que podrían derivar en problemas graves.
En entornos donde los equipos trabajan en grupos pequeños y entregan funcionalidades completas, las herramientas de seguridad deben integrarse perfectamente en el flujo de trabajo, sin requerir pasos adicionales o revisores exclusivos. Las soluciones que necesiten logins separados, auditorías semanales o que incómodamente interrumpan el ritmo del equipo, difícilmente lograrán la adopción necesaria y serán ignoradas, perdiendo su propósito.
Por ello, la pregunta clave para cualquier CTO que apruebe un lanzamiento de herramientas IA de cara al desarrollo es clara: si has calculado cuánto más rápido escribirán código tus desarrolladores, ¿has previsto quién lo va a revisar y asegurar?
