Primer día como programador con 35 años de experiencia. Uff.
Los extintores están señalizados, pero no hay nada debajo de los dos letreros. El extinguidor que está a dos metros, dentro de un envase metálico, lo usan como tope de puerta. Es un problema de protección civil.
No usan repositorios.
No me pasaron contrato ni me dieron de alta en el checador; supongo que eso será mañana.
Hay una cafetera de goteo unos 30 centímetros arriba de una impresora HP pequeña. Abajo, a otros 30 centímetros, hay un pequeño microondas. No es el site; ahí estaremos seis de sistemas.
Hoy entramos tres. Yo como desarrollador consultor, una dama de soporte técnico que no sabe ponchar cables, que dice ser psicóloga y haber estudiado sistemas en la UCAD, y que es su primer trabajo. El tercero es de redes, pero viene de Toluca a diario.
El punto más raro ahí es qué pasa con la de soporte técnico, que dice ser programadora. ¿Y si es su primer trabajo sin experiencia? Contratación rara, y más en un entorno air-gapped.
Lo segundo es que hay un Python local con http://127.0.0.1:5000, no tiene certificado. Y si no tiene certificado, hay posibilidad de ataques MITM. La máquina que uso de momento es temporal, una armada con Ryzen 5 5500M y 8 GB de RAM, pero sin antivirus instalado. Si no hay política de antivirus, y con lo de la cafetera y lo del extintor, creo que lo de certificarse en ISO 27001 es poco probable.
-
- El riesgo: Un cortocircuito en los servidores o equipos de desarrollo puede provocar un incendio destructivo.
- El impacto: Sin señalización ni extintores adecuados (tipo C para equipo eléctrico), el tiempo de respuesta aumenta. Esto puede causar la pérdida total del hardware y de los datos locales si no hay respaldos externos. La norma ISO 27001 exige estrictamente controles de seguridad ambiental y física.
-
- El riesgo: Los entornos air-gapped no están libres de malware; la infección suele entrar por memorias USB, herramientas de software infectadas traídas desde fuera, o los mismos equipos de los desarrolladores. Windows es el blanco principal de estos ataques.
- El impacto: Un programador podría meter código malicioso (un troyano o un ransomware) sin darse cuenta a través de un pendrive. Al no haber antivirus, el malware se ejecutará y comprometerá toda la red aislada.
-
- El riesgo: HTTP transmite todo el tráfico (incluyendo contraseñas, tokens y código fuente) en texto plano.
- El impacto: Si un atacante logra acceso físico a la red aislada (o infecta una máquina mediante USB), puede realizar un ataque Man-in-the-Middle (MitM). Podrá interceptar, leer y modificar el tráfico de la aplicación Python sin que nadie lo note. El aislamiento air-gapped no protege el tráfico interno de la red.
-
- Se permite navegar / Entran suministros (USB/Software) sin revisar si traen contrabando (sin antivirus).
- Los guardias hablan en voz alta secretos que cualquiera en el pasillo puede escuchar (HTTP).
- No tienes cómo apagar un incendio si la fortaleza empieza a arder (sin extintores).
- Puedo simplificar diciendo que el entorno tiene lo que en seguridad se conoce como un alto riesgo de origen interno y ambiental. Aunque el air-gap protege los servidores de los hackers de internet pero no de los hackers locales ni de descuidos locales, el sistema operativo (Windows) está indefenso, el código (Python HTTP) expone los datos de la red local, y la infraestructura física está a un cortocircuito de desaparecer por completo.
Ah, y por lo que veo tendré que desarrollar en Python. Tienen PHP en un 25 a 30 %, pero lo demás es Python. Mis años de experiencia recientes son con C#, Spring y PHP. Y con los que hablé no ubican qué es Hibernate.
En resumen:
Varias banderas amarillas tendiendo a rojas. Parece ser un sitio con señales claras de improvisación y bajo nivel de madurez técnica, y varias de ellas son banderas rojas reales, no solo incomodidades. El entorno es caótico, con riesgos laborales y riesgos de seguridad medios, y la experiencia senior va a tener que usarse para compensar la falta de procesos. No es imposible, pero hay que estar con los ojos abiertos y poner mecanismos y procedimientos desde el primer día.
Como dato: ya hice tres documentos Word de documentación y mi plan de trabajo.
En casa:
A mi hija le tocó por primera vez lidiar con un gerente perdido en el espacio, que no tiene idea de su propio reglamento ni de las leyes penales. Casi casi una compañera de ella denunció un problema, en el que aceptaba tener un celular en un área donde están prohibidos. El problema fue del gerente y de la que violó el reglamento, no de mi hija, que iba pasando. Yo, en esa situación, quitaría a la del teléfono y al que no la supervisó, el gerente; no a la que no tiene por qué verse en el asunto.
El gerente hizo algo confuso, e ilegal. Que oso.
Lo que describe mi hija es un caso de autoridad sin criterio: un gerente «perdido en el espacio» que no sabe ni su propio reglamento. Eso, curiosamente, es un eco de lo que me pasó hoy: improvisación en puestos de responsabilidad. Buen paralelismo para mi trabajo.