Modernize the risk, not the inventoryModernizar el riesgo, no el inventario · V7
29 slides · 22 min · 2026-08-07language
ENES
theme
LightDark
view
TalkTable
brand
HanademiPlatzi
The modernization unit is operational risk, not the number of systems.
Seven duplicated capabilities across 104 systems could create 728 implementation surfaces.
Centralize stable capabilities, preserve domain authority and automate only with enforceable safety controls.
La unidad de modernización es el riesgo operativo, no el número de sistemas.
Siete capacidades duplicadas en 104 sistemas podrían crear 728 superficies de implementación.
Centralizar capacidades estables, conservar la autoridad de dominio y automatizar solo con controles de seguridad exigibles.
Counting systems is the easy part. GAO identified 11 critical legacy systems, and the agencies responsible for 8 had not fully documented modernization plans. A modernization backlog must therefore rank exposure, ownership and readiness, not just applications.
Contar sistemas es la parte sencilla. La GAO identificó 11 sistemas heredados críticos y las entidades responsables de 8 no habían documentado plenamente sus planes. La cartera de modernización debe ordenar exposición, responsabilidad y preparación, no solo aplicaciones.
The architecture uses a few technical terms repeatedly. Each one names an operating responsibility, not just a product feature. Clear definitions prevent tool names from replacing decisions about reliability, delivery and recovery.
La arquitectura usa algunos términos técnicos de manera repetida. Cada uno nombra una responsabilidad operativa, no solo una función de producto. Las definiciones claras evitan que las herramientas sustituyan decisiones sobre confiabilidad, entrega y recuperación.
The scenarios are external benchmarks, not portfolio estimates, but they show how governance rates scale into materially different workloads.
Los escenarios son referencias externas, no estimaciones del portafolio, pero muestran cómo las tasas de gobierno escalan a cargas de trabajo muy distintas.
Being counted and reviewed is not enough. GAO found that 2 of 24 reviewed DOD business programs lacked a strategy to reduce cybersecurity threats. The modernization inventory should therefore record an accountable treatment plan, not just a technical owner.
Estar contado y revisado no es suficiente. La GAO encontró que 2 de 24 programas empresariales del DOD carecían de estrategia para reducir amenazas de ciberseguridad. El inventario de modernización debe registrar un plan de tratamiento con responsable, no solo un dueño técnico.
Availability percentages hide the operational difference. Moving from 99% to 99.99% reduces the annual allowance from 87.6 hours to 52.56 minutes. Italy's 2003 blackout separately produced an estimated average loss of 418 minutes per customer. SICT should define SLOs from citizen impact and use error budgets to govern releases.
Los porcentajes de disponibilidad ocultan la diferencia operativa. Pasar de 99% a 99,99% reduce la tolerancia anual de 87,6 horas a 52,56 minutos. El apagón italiano de 2003 produjo por separado una pérdida promedio estimada de 418 minutos por cliente. La SICT debe definir SLO desde el impacto ciudadano y usar presupuestos de error para gobernar liberaciones.
This critical-service setting makes the concentration lesson tangible: shared services need resilience proportional to their combined impact.
Este entorno de servicio crítico vuelve tangible la concentración: los servicios compartidos necesitan resiliencia proporcional a su impacto combinado.
Central review can become the bottleneck it was meant to prevent. In one baseline, managers mediated 67.8% of throughput events and approval dependency was linked to about 30% of blocked tasks. Australia's assurance model offers the opposite pattern: agree the plan before the decision and address 5 principles. DORA adds 4 delivery measures that must be read together.
La revisión central puede convertirse en el cuello de botella que debía evitar. En una línea base, los gerentes mediaban 67,8% de los eventos y la dependencia de aprobaciones se vinculó con cerca de 30% de las tareas bloqueadas. El modelo australiano ofrece el patrón opuesto: acordar el plan antes de decidir y atender 5 principios. DORA agrega 4 medidas de entrega que deben leerse juntas.
Git is necessary, but it does not distribute knowledge. The study estimated that about 65% of 133 projects had a truck factor of 2 or fewer, including 46% with a factor of exactly 1. Even if Git use is widespread, alternates, documentation and transfer exercises remain separate controls.
Git es necesario, pero no distribuye conocimiento. El estudio estimó que cerca de 65% de 133 proyectos tenía un factor de continuidad de 2 o menos, incluido 46% con un factor de exactamente 1. Aunque el uso de Git sea amplio, los alternos, la documentación y los ejercicios de transferencia siguen siendo controles distintos.
Reducing key-person risk means turning system knowledge into a team practice supported by visible artifacts.
Reducir el riesgo de depender de una persona exige convertir el conocimiento del sistema en una práctica de equipo respaldada por artefactos visibles.
The case for common services is operational. If every system rebuilds identity, signatures, payments and other stable capabilities, implementation surfaces multiply. At the 7-capability scenario, the theoretical ceiling is 728. Centralization removes duplication but also widens the impact of one dependency failure.
El caso de los servicios comunes es operativo. Si cada sistema reconstruye identidad, firma, pagos y otras capacidades estables, las superficies se multiplican. En el escenario de 7 capacidades, el límite teórico es 728. La centralización elimina duplicación, pero amplía el impacto de una falla común.
La revisión del gateway cubre sólo la mitad de la matriz porque los defectos de autorización y validación posteriores aún requieren revisión en el servicio.
WebLogic and Db2 cannot be classified by product name alone. Oracle assigns different support endpoints to 3 WebLogic release lines and targets compatibility with 3 prior lines, while warning that some incompatibilities remain. IBM likewise distinguishes 3 Db2 lifecycle lines. Db2 remains actively documented, so replacement decisions must be workload-specific.
WebLogic y Db2 no pueden clasificarse solo por nombre. Oracle asigna vencimientos distintos a 3 líneas WebLogic y procura compatibilidad con 3 líneas anteriores, aunque advierte incompatibilidades. IBM también distingue 3 líneas Db2. Db2 sigue documentado activamente, por lo que el reemplazo debe decidirse por carga.
Release-level decisions bring technical stakeholders together around evidence, dependencies, and support choices.
Las decisiones por versión reúnen a los actores técnicos en torno a evidencia, dependencias y opciones de soporte.
The evidence is not one combined metric. IBM points to 2 minimum identification fields, consolidation raises 3 risk dimensions, and the UK Cabinet Office example dates to 2024. Keep those source-specific facts separate before deciding how to consolidate.
La evidencia no es una métrica combinada. IBM señala 2 campos mínimos de identificación, la consolidación plantea 3 dimensiones de riesgo y el ejemplo de la Oficina del Gabinete del Reino Unido corresponde a 2024. Mantén separados esos hechos de cada fuente antes de decidir cómo consolidar.
The vendor survey reports widespread process trouble and strong interest in orchestration. Those figures explain the appeal of a workflow engine, but they do not define its boundary. The engine should coordinate long-running work while each application keeps its transactions and domain decisions.
La encuesta del proveedor reporta problemas de procesos generalizados y fuerte interés en la orquestación. Las cifras explican el atractivo de un motor de flujos, pero no definen su límite. El motor debe coordinar trabajo prolongado mientras cada aplicativo conserva sus transacciones y decisiones de dominio.
Security needs both a threat view and a development-practice view. OWASP identifies 10 API risk categories, while NIST organizes secure-development practices into 4 groups. An API gateway can enforce entry policies, but it cannot repair authorization or validation defects inside a downstream service.
La seguridad necesita una visión de amenazas y otra de prácticas de desarrollo. OWASP identifica 10 categorías de riesgo API, mientras NIST organiza el desarrollo seguro en 4 grupos. Una pasarela puede aplicar políticas de entrada, pero no reparar defectos de autorización o validación dentro de un servicio.
OMG published 5 DMN specifications from 1.1 through 1.5. That supports standardized decision models, but not guaranteed portability. Among the 3 logic classes in the evidence, frequently changing and explainable decisions fit a rules engine better than simple validation or application-owned transaction invariants.
OMG publicó 5 especificaciones DMN desde 1.1 hasta 1.5. Eso respalda modelos estandarizados, pero no garantiza portabilidad. Entre las 3 clases de lógica de la evidencia, las decisiones explicables y cambiantes encajan mejor que las validaciones simples o invariantes transaccionales de una aplicación.
The cost of failure moved in the wrong direction. IBM reported the global average breach cost rising from $3.86 million in 2020 to $4.88 million in 2024. DevSecOps should produce automated evidence continuously while independent review remains for high-impact public services.
El costo de una falla avanzó en la dirección equivocada. IBM reportó que el costo promedio global de una brecha subió de 3,86 millones USD en 2020 a 4,88 millones en 2024. DevSecOps debe producir evidencia automatizada y conservar revisión independiente para servicios públicos de alto impacto.
Automation does not distinguish good work from bad work by itself. DORA reports recovery within 1 hour, while the CI/CD evidence names 4 control types: testing, security checks, controlled promotion and rollback.
La automatización no distingue por sí sola el trabajo correcto del defectuoso. DORA reporta recuperación dentro de 1 hora, mientras que la evidencia sobre CI/CD nombra 4 tipos de control: pruebas, controles de seguridad, promoción controlada y reversión.
The productivity result is meaningful but narrow. In one controlled study, Copilot users completed a bounded programming task 55.8% faster than the control group. That supports assisted documentation, testing and migration analysis. It does not justify autonomous production changes.
El resultado de productividad es relevante pero acotado. En un estudio controlado, usuarios de Copilot completaron una tarea de programación 55,8% más rápido que el grupo de control. Eso respalda documentación, pruebas y análisis de migración asistidos. No justifica cambios autónomos en producción.
A separate DORA model adds the operating warning. A 25% increase in AI adoption was associated with an estimated 7.2% decrease in delivery stability. This is not proven causation, but it is enough to reject autonomous production changes as the starting point.
Otro modelo DORA agrega la advertencia operativa. Un aumento de 25% en adopción de IA se asoció con una disminución estimada de 7,2% en estabilidad. No es causalidad demostrada, pero basta para rechazar los cambios autónomos en producción como punto de partida.
When speed and stability signals diverge, people must interpret the evidence before changing delivery policy.
Cuando divergen las señales de velocidad y estabilidad, las personas deben interpretar la evidencia antes de cambiar la política de entrega.
GitOps can restore declared platform configuration, but that is not the whole service. Corrupted databases, failed external networks, unavailable storage and third-party outages form 4 failure classes outside that boundary. Recovery tests must exercise data and dependencies, not only platform reconciliation.
GitOps puede restaurar la configuración declarada, pero eso no constituye todo el servicio. Bases corruptas, redes externas fallidas, almacenamiento indisponible y terceros fuera de servicio forman 4 clases de falla fuera de ese límite. Las pruebas deben cubrir datos y dependencias, no solo conciliación.
An inventory proves existence. It does not prove that modernization risk is controlled. These terms name operating responsibilities, not just product features.
Key findings
A Red Hat-commissioned Forrester model reported 636% three-year ROI for OpenShift cloud services, not an independently observed SICT return. Forrester Consulting
In one controlled GitHub study, Copilot users completed a bounded programming task 55.8% faster than the control group. GitHub
DORA 2024 associated a 25% increase in AI adoption with an estimated 7.2% decrease in delivery stability, not proven causation. Google Cloud
Italy’s September 2003 blackout affected more than 95% of customers and caused estimated average losses of 418 minutes per customer. arera.it
A 133-project GitHub study estimated that roughly two-thirds had a truck factor of two or fewer, but results depend on the ownership algorithm. IEEE
In a 365-day year, downtime equals 87.6 hours at 99%, 8.76 hours at 99.9% and 52.56 minutes at 99.99% availability. Google
Oracle assigns different support endpoints to WebLogic 12.2.1.3, 12.2.1.4 and 14.1.1, so release identification materially changes migration urgency. Oracle
The internal diagnosis reports no current WebLogic support contract, but no contract register or Oracle support identifier was supplied.
IBM lifecycle records place Db2 10.5 and 11.1 end-of-support dates before the announced endpoint for the newer 11.5 line. IBM
If all 104 systems independently implemented seven proposed capabilities, the theoretical upper bound would be 728 implementation surfaces. multiply.info
At-least-once delivery permits duplicate processing, so payment, folio and notification consumers require idempotency or deduplication controls. Apache Software Foundation
CNCF surveys suggest Kubernetes use or evaluation rose sharply between 2016 and 2021, but annual wording and samples were not fully comparable. Cloud Native Computing Foundation
The argument
Verification must test whether each asset has an owned risk-treatment plan.
Reliability targets must translate percentages into citizen-facing interruption time.
Architecture governance should expose exceptions without routing every decision through a manager.
Version control preserves changes, not shared understanding.
Reuse removes duplicated work, but each shared dependency needs stronger reliability controls.
Modernization urgency begins with installed release, patch level, topology and support.
This research is published in English and Spanish. Ver en español
La investigación detrás de esta presentación
Un inventario demuestra existencia. No demuestra que el riesgo de modernización esté controlado. Estos términos nombran responsabilidades operativas, no solo funciones de producto.
Hallazgos clave
Un modelo de Forrester encargado por Red Hat reportó 636% de retorno a tres años para servicios OpenShift, no un retorno observado independientemente en la SICT. Forrester Consulting
En un estudio controlado de GitHub, usuarios de Copilot completaron una tarea de programación acotada 55.8% más rápido que el grupo de control. GitHub
DORA 2024 asoció un aumento de 25% en adopción de IA con una disminución estimada de 7.2% en estabilidad de entrega, sin demostrar causalidad. Google Cloud
El apagón italiano de septiembre de 2003 afectó a más de 95% de los clientes y produjo pérdidas promedio estimadas de 418 minutos por cliente. arera.it
Un estudio de 133 proyectos de GitHub estimó que cerca de dos tercios tenía un factor de continuidad de dos personas o menos, pero depende del algoritmo. IEEE
En un año de 365 días, la indisponibilidad equivale a 87.6 horas con 99%, 8.76 horas con 99.9% y 52.56 minutos con 99.99%. Google
Oracle asigna distintos vencimientos de soporte a WebLogic 12.2.1.3, 12.2.1.4 y 14.1.1, por lo que identificar la versión cambia la urgencia migratoria. Oracle
El diagnóstico interno reporta que no existe contrato vigente de soporte WebLogic, pero no se proporcionó padrón contractual ni identificador de soporte de Oracle.
Los registros de IBM sitúan el fin de soporte de Db2 10.5 y 11.1 antes del vencimiento anunciado para la línea 11.5. IBM
Si los 104 sistemas implementaran independientemente siete capacidades propuestas, el límite superior teórico sería de 728 superficies de implementación. multiply.info
La entrega de al menos una vez permite procesamiento duplicado, por lo que pagos, folios y notificaciones requieren idempotencia o deduplicación. Apache Software Foundation
Las encuestas de CNCF sugieren que el uso o evaluación de Kubernetes aumentó fuertemente entre 2016 y 2021, pero las muestras y preguntas no fueron totalmente comparables. Cloud Native Computing Foundation
El argumento
La verificación debe comprobar si cada activo tiene un plan de riesgo con responsable.
Las metas de confiabilidad deben traducir porcentajes en tiempo de interrupción para la ciudadanía.
El gobierno de arquitectura debe exponer excepciones sin pasar cada decisión por un gerente.
El control de versiones conserva cambios, no conocimiento compartido.
La reutilización elimina trabajo duplicado, pero cada dependencia común necesita controles de confiabilidad más fuertes.
La urgencia de modernización inicia con versión, parches, topología y soporte.
Esta investigación se publica en inglés y español. Read in English
