Постмортемы и извлечение уроков

Почему безвинность — инженерный выбор, а не доброта

Называть постмортем «безвинным» звучит как HR-любезность. Это не так. Это предпосылка для получения точных данных, а точные данные — единственный вход, из которого можно вывести настоящий фикс.

Механизм прост и беспощаден: люди, которые боятся наказания, скрывают. NIST SP 800-61, федеральное руководство по обработке инцидентов, построено вокруг финальной фазы — постинцидентной активности, «извлечённых уроков», — вся ценность которой зависит от того, расскажут ли участники, что реально произошло, в каком порядке и во что они верили на каждом шаге. В тот миг, когда разбор может стоить кому-то квартала, поток правды иссякает. Дежурный инженер перестаёт добровольно говорить «я не был уверен, что раннбук актуален, поэтому импровизировал» — и ты теряешь единственный самый несущий факт во всей хронологии. Нельзя починить систему, которую не видишь, а страх делает систему невидимой.

Так что безвинность — это не «мы прощаем инженера». Это «мы исходим из того, что любой компетентный человек, помещённый в точно тот же контекст — те же инструменты, те же алерты, то же давление времени, те же устаревшие доки, — мог бы сделать то же самое». Этот переворот рамки и есть весь фокус. Он превращает вопрос из кто плохо делает свою работу (неотвечаемый, непочиняемый и лживый — обычно это твой лучший инженер, потому он и был дежурным) в что в среде сделало неверное действие лёгким, а верное — трудным (отвечаемый и починяемый в коде, конфиге и процессе).

Зрелый признак — это глагол. «Инженер забыл ограничить права» останавливается на человеке. «Деплой-инструмент по умолчанию давал широкие права и не предупреждал, когда изменение расширяло область MFA» обвиняет систему, которую можно изменить завтра. Тот же инцидент — два разных будущих.

Корневая причина — это цепочка, а не имя

Фраза «корневая причина» сбивает джунов с толку, заставляя искать ту самую одну вещь. Реальные инциденты — это цепочка скрытых условий, которые совпали: то, что инженерия безопасности называет моделью швейцарского сыра — несколько дыр в нескольких слоях случайно выстроились в линию, и опасность прошла сквозь все сразу. Остановись на первой найденной дыре — и ты залатаешь один ломтик, пока остальные останутся открытыми.

Дисциплина в том, чтобы продолжать спрашивать «а что позволило это?», пока не дойдёшь до условий, которые реально можешь изменить, — и ветвиться, потому что одной линии почти никогда нет. Возьмём инцидент с MFA:

• MFA отключилось на админском приложении. → Почему? Изменение конфига перещёлкнуло флаг принуждения.
• Почему одно изменение его перещёлкнуло? Консоль позволяла одному оператору переключить принуждение MFA без подтверждения и без второго согласующего.
• Почему часами никто это не поймал? Не было алерта на изменения политики аутентификации — SIEM это залогировал, но ни одно правило не сработало.
• Почему оператор вообще правил конфиг SSO руками? Документированный путь был сломан, поэтому ручные правки в консоли были фактическим раннбуком.

Заметь: ни одна из настоящих причин — не «инженер». Это отсутствующий гейт подтверждения, отсутствующий контроль «четырёх глаз», отсутствующее правило детектирования и сломанный автоматический путь. Каждое — это корректирующее действие с владельцем. Человек — последняя дыра в сыре, а не сыр. Заодно сопоставь это с MITRE ATT&CK: разметка техник инцидента (здесь — Modify Authentication Process, T1556) показывает, на какие детекции ты был слеп, — и отправляет пробел прямо в твой бэклог детектирования, вместо того чтобы дать ему испариться.

Корректирующие действия — единственный выход, который считается

Постмортем, который кончается на «мы обсудили и все многому научились», не породил ничего. Поставляемый результат — это список корректирующих действий, а корректирующее действие, переживающее столкновение с реальностью, обладает четырьмя свойствами, иначе это театр:

1. Конкретное — «упрочить SSO» это желание. «Требовать второго согласующего и шаг подтверждения с ручным вводом для любого изменения политики принуждения MFA» это действие.
2. Владеемое — поимённый человек, а не «команда». Невладеемые действия — это те, что всё ещё открыты на следующем инциденте.
3. Датированное — реальный срок, отслеживаемый в той же системе, что и продуктовая работа (Jira, Linear), а не зарытый в документе, который никто не переоткроет.
4. Проверяемое — ты можешь доказать, что оно выпущено. «Добавили алерт» → теперь есть правило, срабатывающее на изменения auth-политики, и ты протестировал его синтетическим изменением.

Иерархия тоже важна. Действия, которые устраняют сбой, бьют действия, которые ловят его быстрее, а те бьют действия, которые напоминают людям быть аккуратнее. «Напомнили команде» — слабейший возможный контроль, потому что опирается на память под давлением — ровно то, что уже отказало. Предпочитай устранить (сделать опасный переключатель невозможным без согласования), а не детектировать (алерт, когда это случилось), а не обучать (сказать людям не делать так). Обучение — это пол, никогда не фикс.

Замыкание цикла обратной связи строит устойчивость

Смысл всего этого — цикл. Фаза извлечённых уроков NIST — не церемония закрытия: она питает следующий раунд подготовки. Каждый инцидент — это бесплатный, дорого оплаченный урок о том, где именно твоя система слаба; устойчивость — это свойство организации, превращающей эти уроки в постоянные изменения быстрее, чем появляются новые слабости.

У этого цикла есть зубы только при трёх условиях. Действия доводятся до сделано — пункт, всё ещё «открытый» на следующем квартальном обзоре, это корректирующее действие, которое ничего не скорректировало. Модель перезапускается — найденные пробелы (отсутствующий алерт, сломанная автоматизация) втекают обратно в правила детектирования, модели угроз и раннбуки, так что система, обрабатывающая инцидент N+1, измеримо лучше той, что обработала N. И знание распространяется — постмортем читают за пределами команды, что его написала, потому что тот же сломанный паттерн (привилегированный переключатель без гейта) почти наверняка есть в трёх других консолях, на которые ты ещё не посмотрел.