Campeones de seguridad y formación por rol

Un campeón de seguridad es una persona de un equipo de desarrollo que dedica una parte acordada de su tiempo a la seguridad de ese equipo: hace una primera revisión de los cambios, ayuda con el modelo de amenazas y es el puente con AppSec. Funciona cuando el tiempo está escrito en la planeación del equipo, cuando recibió formación antes de empezar y cuando hay un reemplazo previsto si se va.

Lo que un campeón no es: el responsable de la seguridad de su equipo. Esa responsabilidad sigue en quien dirige el equipo. Si se le traslada al campeón, se le da una carga sin autoridad, y la seguridad del equipo depende de una sola persona que además tiene su trabajo de desarrollo.

Abre el laboratorio y lee campeones.txt. Fíjate en la fecha de actualización. Después lee novedades-personal.txt, que recoge ingresos, traslados y retiros de los últimos meses. Una lista de campeones vieja es el modo más silencioso en que un programa se degrada: el equipo sigue figurando como cubierto y nadie le hace la primera revisión a sus cambios.

La práctica PO.2 del SSDF incluye dar a cada persona la formación que corresponde a su rol, y SAMM lo trata en Education & Guidance. Por rol quiere decir que lo que necesita quien escribe consultas a la base de datos no es lo que necesita quien construye la interfaz, ni lo que necesita quien decide si un riesgo se acepta. Un único curso anual para todos suele dejar fuera, justamente, a los roles que deciden.

Lee plan-formacion.txt y programa-campeones.txt. En el programa se dice quién firma ciertas excepciones; en el plan, qué módulos tiene cada rol.

El tablero de Oropéndola mide «personas con algún curso», y casi todos tienen al menos uno. La medida útil es otra: cuántas personas tienen completo lo obligatorio de su rol. Calcúlala para el equipo de Pensiones con registro-formacion.txt y el plan. Cuenta solo a las personas de Pensiones y compara lo que completó cada una con lo que su rol exige.

La asistencia a un curso dice que el curso ocurrió, no que cambió algo. La señal que importa es si bajan los fallos de la clase que el curso enseñó, en los equipos que lo recibieron, unos meses después. Lee hallazgos-por-clase.txt: hay dos módulos que se dictaron en el segundo trimestre y dos clases de fallo que deberían haber reaccionado.