c4.1 セキュリティの作業と責任を分担する

責任を RACI で文書化する

セキュリティに関わる多くのタスクは他チームが担います。バックアップは IT が行うことが多く、開発者は Infrastructure as Code を書きます。これらの協働を RACI（実行責任・説明責任・協議・報告）マトリクスに落とし込みます。たとえば、バックアップの取得は IT が実行責任を持ち、正しく取得されていることの確認はセキュリティチームが説明責任を持つ、といった具合です。バックアップの頻度と保持の定義は、セキュリティチームが所有し、業務側に要件を協議する別タスクになるでしょう。あるチームがタスクを第三者に委ねる場合は、契約がそれをカバーしているか確認します。

曖昧な判断は文脈を持つ者に委ねる

明確なケースは自動的です。重大な脆弱性への攻撃は単純にブロックします。しかし曖昧で低リスクな異常については、セキュリティチームが適切な意思決定者でないことが多く、すべてを調査する余力もめったにありません。代わりに、検出結果に業務上の文脈を付加し、判断をオーナーに回します。たとえば、レートベースの AWS WAF ルールが、吸収可能な高い注文量を生む IP プールを検出したとします。それらの IP の背後にある認証済みユーザー名と、不正の兆候（アカウントの作成時期、過去の取引、低評価の連絡先データ）を付加し、許可するかブロックするかを業務オーナーに決めてもらいます。これにより、最も希少な資源である有資格の専門家を戦略的な作業のために温存できます。