技术岗位安全职责划分准则.docxVIP

技术岗位安全职责划分准则

我做技术管理快十年了，见过太多因为安全职责模糊闹出的糟心事：大到线上数据泄露、系统被入侵挖矿之后各团队互相甩锅，小到开发账号外借出问题之后没人认账，本来不大的事，因为职责不清搞得团队矛盾重重，最后还让无辜的人背了不该背的锅。说白了，安全不是某一个岗位的事，是所有技术岗都要扛起来的事，但要是不说清楚每个岗到底该扛什么，最后就会变成所有人都不扛。这套技术岗位安全职责划分准则，就是我结合这些年踩过的坑总结出来的，核心就是一句话：权责清晰、不枉不纵，既要把安全要求落到每个人头上，也不能让任何人背黑锅。

1准则制定的核心前提与基本原则

要做职责划分，首先得把大方向定对，不能上来就拍脑袋分责任，不然定出来的准则本身就不合理，没人愿意遵守。

1.1核心前提

1.1.1安全是所有技术岗位的固有职责，不是额外附加任务

很多技术人一提到安全就说“这是安全部门的事，我就是写代码的”，这个观念从根上就错了。安全是嵌在每个技术环节里的，写代码的时候多写一行参数校验，上线前多做一遍权限检查，这些都是你本职工作里该有的内容，不是给安全部门帮忙。所以划分职责的第一个前提，就是所有技术岗都必须承担对应的安全责任，没有例外。

1.1.2职责匹配岗位权限，不搞“能力小责任大”的甩锅模式

我最反感的就是出了问题全罚基层程序员，管理层拍板砍安全时间，最后让小兵背锅。所以我们定准则的第二个前