c4.1 Compartir el trabajo y la responsabilidad de seguridad
La seguridad es responsabilidad de todos, no solo del equipo de seguridad. Documente quién hace qué en una matriz RACI y, para decisiones ambiguas y de bajo riesgo, delegue la decisión al dueño del negocio que tiene el contexto, preservando a sus escasos especialistas para el trabajo estratégico.
Guía de implementación
Documente responsabilidades en una RACI
Muchas tareas relevantes para la seguridad las realizan otros equipos: TI suele hacer los backups, los desarrolladores escriben infraestructura como código. Capture estas colaboraciones en una matriz RACI (Responsable, Accountable, Consultado, Informado). Por ejemplo, TI puede ser Responsable de tomar los backups mientras el equipo de seguridad es Accountable de confirmar que se toman correctamente; definir la frecuencia y retención de los backups puede ser una tarea aparte que el equipo de seguridad posee con el negocio Consultado sobre los requisitos. Si un equipo delega una tarea a un tercero, confirme que el contrato la contempla.
Delegue las decisiones ambiguas a quienes tienen el contexto
Los casos claros son automáticos: un ataque a una vulnerabilidad crítica simplemente se bloquea. Pero para anomalías ambiguas y de bajo riesgo, el equipo de seguridad a menudo no es el decisor correcto y rara vez tiene la capacidad de investigar todas. En su lugar, enriquezca el hallazgo con contexto de negocio y enrute la decisión al dueño. Por ejemplo, una regla basada en tasa de AWS WAF marca un pool de IPs que genera un alto volumen de pedidos que puede absorber: agregue los nombres de usuario autenticados detrás de esas IPs y cualquier señal de fraude (antigüedad de la cuenta, transacciones pasadas, datos de contacto de baja reputación) y deje que el dueño del negocio decida permitir o bloquear. Esto preserva su recurso más escaso —los especialistas cualificados— para el trabajo estratégico.
Cómo validar
- ¿Las tareas relevantes para la seguridad se delegan a los equipos correctos con propiedad clara?
- ¿Existe una matriz RACI, y es suficientemente detallada para ser accionable?
- Cuando una tarea se delega a un tercero, ¿el contrato la contempla?
- ¿Enruta las decisiones ambiguas y de bajo riesgo al dueño del negocio con contexto enriquecido?
Amenazas que atiende
- Cuando la seguridad se trata como tarea de un solo equipo, aparecen brechas en las tareas que realizan otros equipos, y los especialistas se consumen en decisiones operativas que otros están mejor posicionados para tomar.