c4.1 Compartilhar o trabalho e a responsabilidade de segurança
A segurança é responsabilidade de todos, não apenas da equipe de segurança. Documente quem faz o quê em uma matriz RACI e, para decisões ambíguas e de baixo risco, delegue a decisão ao dono do negócio que tem o contexto, preservando seus escassos especialistas para o trabalho estratégico.
Guia de implementação
Documente responsabilidades em uma RACI
Muitas tarefas relevantes para a segurança são realizadas por outras equipes: a TI costuma fazer os backups, os desenvolvedores escrevem infraestrutura como código. Capture essas colaborações em uma matriz RACI (Responsável, Accountable, Consultado, Informado). Por exemplo, a TI pode ser Responsável por fazer os backups enquanto a equipe de segurança é Accountable por confirmar que são feitos corretamente; definir a frequência e retenção dos backups pode ser uma tarefa à parte que a equipe de segurança possui com o negócio Consultado sobre os requisitos. Se uma equipe delega uma tarefa a um terceiro, confirme que o contrato a contempla.
Delegue as decisões ambíguas a quem tem o contexto
Os casos claros são automáticos: um ataque a uma vulnerabilidade crítica é simplesmente bloqueado. Mas para anomalias ambíguas e de baixo risco, a equipe de segurança muitas vezes não é a decisora correta e raramente tem capacidade de investigar todas. Em vez disso, enriqueça a descoberta com contexto de negócio e encaminhe a decisão ao dono. Por exemplo, uma regra baseada em taxa do AWS WAF sinaliza um pool de IPs gerando um alto volume de pedidos que você consegue absorver: adicione os nomes de usuário autenticados por trás dessas IPs e quaisquer sinais de fraude (idade da conta, transações passadas, dados de contato de baixa reputação) e deixe o dono do negócio decidir permitir ou bloquear. Isso preserva seu recurso mais escasso —os especialistas qualificados— para o trabalho estratégico.
Como validar
- As tarefas relevantes para a segurança são delegadas às equipes certas com propriedade clara?
- Existe uma matriz RACI, e ela é detalhada o suficiente para ser acionável?
- Quando uma tarefa é delegada a um terceiro, o contrato a contempla?
- Você encaminha as decisões ambíguas e de baixo risco ao dono do negócio com contexto enriquecido?
Ameaças atendidas
- Quando a segurança é tratada como tarefa de uma única equipe, aparecem lacunas nas tarefas que outras equipes de fato realizam, e os especialistas são consumidos por decisões operacionais que outros estão mais bem posicionados para tomar.