ИБ задаёт политики, threat model, контроли и консультации; engineering владеет реализацией и эксплуатацией в своих системах. Shared responsibility: ИБ не «чинит чужой код», engineering не игнорирует risk acceptance. RACI снимает конфликты.
Разбор
- Security champion в командах разработки.
- Общие SLA на findings.
- Платформенные guardrails (policy as code) масштабируют ИБ.
- Эскалация к risk owner при тупике.
Итог
ИБ направляет риск; engineering реализует контроли в продукте.