SOC 2 no exige pull requests: cómo Amp despliega sin ellos

"That's not SOC 2 compliant"

Amp, una empresa de 20 personas, construye software sin pull requests, empujando directamente a main. Cuando buscaron la certificación SOC 2, sus auditores no exigieron PRs, sino un proceso de cambios definido y controlado. Implementaron controles como acceso restringido, commits firmados, CI automatizado y un registro de auditoría completo. Will Dollman explica cómo este enfoque, basado en evaluar riesgos, escala más allá de su tamaño y desafía la suposición de que los PRs son indispensables para el cumplimiento.