知识卡片
安全团队的组织形态要随规模从集中走向嵌入
内容
一个安全团队维护所有产品线的全部安全配置，会被迫对每条产品线都有深入了解，否则就会拖慢发布或引入可靠性问题；但完全把安全责任下放给各产品团队，又会失去统一标准和跨团队视角。Google的演进路径是：先建一支独立于产品线的集团安全团队负责制定标准，随组织规模扩大，再向复杂产品团队引入专职”安全接口人”，最后为最复杂的产品（Android、Chrome）配备专门的独立安全团队，三种模式随规模递进叠加而非非此即彼。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第20章《理解角色和责任》20.2.2节案例：Google的嵌入式安全（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_161.html`）
- 结论依据：原文描述Google先建立集团安全团队"与产品工程团队并列运作，负责人是工程部的高级领导"，随着发展"独立产品工程团队引入的'安全接口人'也变得非常有用"，规模最大时"为更复杂的产品配备了专门的独立安全团队。例如，Android安全团队……Chrome也有类似的模式"。
- 原始内容：在Google，我们首先建立了一支集团安全团队，与产品工程团队并列运作……随着Google的发展，独立产品工程团队引入的"安全接口人"也变得非常有用……由于Google和Alphabet的规模庞大，除集团安全团队和分散在各组织的安全接口人外，我们还为更复杂的产品配备了专门的独立安全团队。