Techstream · Bruselas
Entrega zero-touch para plataformas reguladas, con la evidencia para demostrarlo.
Felipe Sotille, Arquitecto e ingeniero DevSecOps
Diecisiete años en ingeniería de software, moldeados por el trabajo en SWIFT y Swissquote; más recientemente la orquestación de releases zero-touch en SWIFT. Diseño lo mismo para tu plataforma, y sigo escribiendo código.
§ 01, En cifras
Fuente: dev.felipe.sotille.com
| 17+años en ingeniería de software | 40+apps Java en orquestación de releases zero-touch | 300+VM con patching orquestado, un 40 % más rápido | 2.500 Mregistros financieros migrados a Oracle | 100k+usuarios concurrentes en una plataforma Kafka/Vert.x |
ExperienciaSWIFT, Bruselas (2019–2024; 2025–presente) · Swissquote, Ginebra (2024) · Eleven Sports, Lisboa (2018–2019)
Fuente: dev.felipe.sotille.com
§ 02, El gate
Una política de ejemplo, simplificada; no procede de ninguna plataforma en la que haya trabajado.
OPA · Rego
Cada release pasa por el mismo gate. Incluido el código escrito por agentes.
package release.gate
default allow := false
allow if {
input.sbom.format in {
"CycloneDX", "SPDX"
}
input.artifact.signature.verified
input.scans.sast == "pass"
input.scans.dast == "pass"
# applies to agents too
input.review.human_approvals >= 1
}§ 03, Quién
- Brasil·2008–2018
- Lisboa·2018–2019
- Ginebra·2024
- Bruselas·2019–2024, 2025–
Brasil, Lisboa, Ginebra, Bruselas.
Empecé en Brasil en 2008 escribiendo Java para WPLEX, Metaway, Città y Allcance. En 2018 lideré el backend de Eleven Sports en Lisboa: CQRS y eventos sobre Vert.x y Kafka, Kubernetes en GCP, cientos de miles de interacciones concurrentes. Desde 2019 estuve en SWIFT, en Bruselas, llevando el monolito de Identity Management a microservicios con el servicio en marcha.
En 2024 lideré una migración de 2.500 millones de registros a Oracle en Swissquote. Desde 2025 estoy de vuelta en SWIFT como DevSecOps Architect (Customer Success Architect), incorporando más de 40 apps Java a la orquestación de releases zero-touch. Allí entrego en modo agent-first, y mi propio trabajo con agentes de código pasa por tareas acotadas, revisión humana y los mismos gates de seguridad que el código escrito por personas. La versión larga está en la página sobre mí.
§ 04, Lo que hago
Alcance cerrado: 04, 05
Seis cosas que hago, y lo que tienes al final de cada una.
- 01
Orquestación de releases y diseño de plataforma de entrega segura
Un pipeline que los equipos siguen porque sale más barato que saltárselo.
- 02
Seguridad de la cadena de suministro de software y evidencia de auditoría
Evidencia que un auditor puede leer sin una reunión.
- 03
Agentes de código bajo gobernanza
Tareas acotadas, reglas de revisión y gates que tratan el código de los agentes como código.
- 04
Evaluación de madurez DevSecOps
Una posición puntuada por dominio y una hoja de ruta priorizada, en dos semanas.
- 05
Talleres y coaching
Un equipo que opera el pipeline sin mí, en dos días.
- 06
Ingeniería hands-on
Java 21 y Spring en Swissquote, Vert.x y Kafka a escala.
§ 05, Trabajo abierto
Apache-2.0
Nueve frameworks, Apache-2.0, publicados bajo Techstream.
- 01
DevSecOps Framework
Establece los principios, el ciclo de vida y el SDLC seguro, con controles a lo largo del pipeline.
- 02
Secure CI/CD Reference Architecture
Un modelo de amenazas del pipeline, con controles para SAST, DAST, SCA, secretos e IAM del pipeline.
- 03
Release Orchestration Framework
Gobierna los despliegues y controla la entrega entre entornos.
- 04
Software Supply Chain Security Framework
Cubre los cuatro puntos en los que se ataca una cadena de suministro: dependencias, sistemas de build, artefactos, entornos de despliegue.
- 05
DevSecOps Maturity Model
Cinco niveles en ocho dominios, un cuestionario de puntuación y un análisis de brechas.
- 06
Compliance Automation Framework
Convierte los controles en policy as code, recoge la evidencia y sigue monitorizando.
- 07
DevSecOps Methodology
Cuatro fases, evaluar, diseñar, implementar, optimizar, con los playbooks de cada una.
- 08
AI DevSecOps Framework
Asegura la entrega asistida por IA y agéntica: agentes de código en pipelines, defensa contra prompt injection, autorización de agentes.
- 09
Forensics & Incident Response Framework
Arquitectura de evidencia y playbooks de investigación para incidentes de CI/CD, nube, cadena de suministro, identidad y agentes de IA.
techstream-docs los une; techstream-learn contiene los laboratorios.
§ 06, De personas con las que he trabajado
Tres de cinco, en el inglés original.
He does not merely automate tasks; he engineers repeatable, resilient delivery systems that improve deployment reliability, enforce secure coding standards and reduce operational risk.
His ability to solve complex technical challenges and deliver scalable solutions in such a demanding environment reflects a deep understanding of modern software engineering practices.
A technical reference and mentor for multiple engineering teams, frequently sought out for guidance on secure software delivery and release orchestration.
§ 07, Escritos
Medium · Techstream Weekly · seis volúmenes
Lo que he publicado, y lo que sigo escribiendo.
- may 2026
Why Your AI Agent Is the Next SolarWinds: Supply Chain Security for the Agentic Era
- may 2026
The Four Layers of Software Supply Chain Integrity
- abr 2026
The 4-Phase DevSecOps Transformation
Todos los artículos en Medium →
Techstream Weekly
Plataforma, entrega segura y agentes de código, una vez por semana.
Cinco temas cada viernes, con una línea de hecho y una de opinión, para quienes entregan software en plataformas reguladas. Más una cosa mía.
9 de octubre de 2026
Agents under the same gates
Why the first question about coding agents in a regulated pipeline is not “how much” but “which gates”, and what changed this week in supply chain, platform and Java.
§ 08, Escríbeme
Cuéntame qué estás entregando y qué se interpone.
Leo y respondo cada mensaje yo mismo.