Seis servicios, y lo que te queda cuando me voy.

Para tu plataforma: pipelines golden path, gobernanza de despliegues y un camino zero-touch en CloudBees CI y CD/RO o Jenkins. En SWIFT incorporé más de 40 apps Java a la orquestación de releases zero-touch, y mi equipo cumplió más del 80 % del KPI de la empresa de llevar el 100 % de las aplicaciones a zero-touch. Terminas con un pipeline que los equipos siguen porque sale más barato que saltárselo, con los controles mapeados a SLSA y SSDF (NIST SP 800-218).

Evidencia que un auditor puede leer sin una reunión: SBOM en CycloneDX o SPDX, firma y procedencia, policy as code, mapeada a DORA y, donde aplican, a NIS2, al Cyber Resilience Act, al AI Act de la UE, a ISO 27001, SOC 2 y PCI DSS.

Para tus equipos: tareas acotadas, reglas de revisión y gates que tratan el código de los agentes como código; el AI DevSecOps Framework establece los controles. Mi propio trabajo con agentes de código en SWIFT sigue el mismo camino: agent-first con Claude Code, OpenAI Codex y Devin, con revisión humana y los mismos gates de seguridad que el código escrito por personas.

Dos semanas, alcance cerrado, sobre el DevSecOps Maturity Model abierto: cinco niveles en ocho dominios, una posición puntuada por dominio y una hoja de ruta priorizada.

Formatos de dos días para equipos de plataforma y de entrega, con los ejercicios de techstream-learn; en SWIFT acompaño a más de 5 squads hasta que el estándar se sostiene. El objetivo es un equipo que opera el pipeline sin mí.

Java 21 y Spring en una plataforma regulada: una migración de 2.500 millones de registros a Oracle en Swissquote. Vert.x y Kafka a escala: un backend CQRS en Eleven Sports que sostuvo cientos de miles de interacciones concurrentes.