Qué es un campeón de seguridad y qué no

Un campeón de seguridad es una persona del propio equipo de desarrollo que dedica una parte acotada de su tiempo a llevar la seguridad hacia dentro del equipo: traduce los avisos, organiza la revisión del modelo de amenazas y sirve de primer contacto con el equipo de seguridad. Su valor está en que habla el idioma del equipo y conoce su código.

Lo que no es importa tanto como lo que es. No es un empleado de seguridad con otro nombre, no es el único que mira la seguridad del equipo y, sobre todo, no es el aprobador de las excepciones de su propio equipo: quien pide y quien aprueba deben ser personas distintas. Si el campeón aprueba, el programa le quita al control exactamente la independencia que lo hacía un control.

Un programa de campeones se mide primero por su cobertura: cuántos equipos tienen a alguien nombrado y cuántos no. Un equipo sin campeón no es un equipo sin seguridad, pero sí un equipo al que los avisos llegan sin traducir y que no tiene a quién preguntar. Para ver la cobertura se cruzan dos listas: la de equipos de la organización y la del registro de campeones.

La lista de equipos de Brezo está en equipos.txt y el registro en campeones/registro.txt. Léelos con cat.

La carta del programa fija, por escrito, lo que un campeón no hace. Una regla escrita sirve cuando se comprueba contra la actividad real: si la carta prohíbe algo y el registro de actividad lo muestra, la carta no se está cumpliendo, sea por prisa, por costumbre o porque nadie más podía firmar.

En campeones/actividad.txt hay una columna con las excepciones que cada campeón aprobó en el trimestre. Compárala con la primera regla de «Qué NO es un campeón» de la carta.

Un campeón sin actividad es peor que un cupo vacío, porque el equipo cree que tiene cobertura y no la tiene. Por eso la carta pone un umbral: pasados cierto número de días sin actividad registrada, el cupo se revisa con el equipo. No es una sanción para la persona; es una alarma sobre el programa.

La fecha de referencia está en la cabecera de campeones/actividad.txt, y el umbral, en la carta. Cuenta los días que han pasado desde la última actividad de cada campeón y cuántos pasan del umbral.

Cuando un campeón se queda aprobando excepciones suele haber una causa de fondo: la cola de seguridad tarda, la jefatura no está disponible o el equipo ha convertido a esa persona en el atajo. Castigar o retirar a la persona no arregla nada: el siguiente campeón heredará la misma presión. Lo que se arregla es el camino por donde las excepciones deberían fluir.

Relee el caso de Brezo y decide la respuesta del programa.