1940 年 5 月底，英軍有三十幾萬人被壓在敦克爾克的海灘上，而海軍能調的驅逐艦不夠把人載回來。最後補上缺口的是徵召來的漁船、遊艇、渡輪，八百多艘民船。

幕二講的就是這件事。你要不到新的軍艦，只能先搞清楚手上有什麼船、每一艘能載多少。

「PSIRT 要幾個人」這題，最常見的回答是「先給我三個」。而這個回答會在第一次會議被打回來，因為它沒有推導。老闆問「為什麼是三個不是兩個」，你沒有第二句話可以講。

不要從人數開始，從職能開始

先把「PSIRT 這個東西存在的話，有哪些事一定要有人做」列出來。這一步跟編制無關，只是清點。

八項。這張表本身就是一份說服工具，因為它把「我們需要人」換成「這八件事現在誰在做」。

多數團隊列到一半會發現，其中五、六項的答案是同一個名字，或者是「還沒有人」。

這張表還有一個附帶效果：它會逼出「誰在假日也算數」這個問題。八項裡面有四項的負載不看行事曆，弱點不會等到週一才被公開。列表的時候如果只想著上班時間，推導出來的人數一定偏低。

哪些可以兼，哪些不能

八項不等於八個人。真正要判斷的是相容性。

可以兼的：收案、研判、評分是一條連續動線，同一個人做反而效率高。合規時鐘可以掛在收案那個人身上，因為他本來就在看時間。

不能兼的只有一組：通報決策不能由正在做修補的人兼。

理由不是不信任，是這兩件事的時間感相反。修補的人希望「再給我兩小時，我確認一下就好」，而通報決策的人必須在證據不完整的時候就決定要不要送。同一個腦袋做這兩件事，結果幾乎一定是慢送。

想像一間三個人的小餐廳。點餐、出菜、收錢都可以互相支援，但「今天這批食材要不要退貨」這個決定只能有一個人做，而且不能是正在炒菜的那位——他手上的鍋子會替他做決定。

然後才是席次

把職能對應完之後，人數是被推導出來的，不是被喊出來的。

我會這樣排優先順序：

一個有名字的通報決策人，加一個代理人。這一格不填滿，其他都沒有意義。
**一個做收案、研判、評分、掌時鐘的人。**這是唯一每天都有負載的位置。
修補協調與對外溝通，這兩項通常可以由既有角色兼，不必新增編制。
政策與稽核，週期性工作，可以外包或由主管自己扛。

所以一個資源有限的團隊，短鬧鐘那一段真正需要的新增編制往往是一到兩席，而不是一整個部門。剩下的是指定與授權的問題，不是頭數的問題。

這件事講出來對爭取編制沒有壞處，反而有好處。一份誠實的推導比一個膨脹的數字容易過。

要補一句：這一到兩席講的是短鬧鐘。長鬧鐘那頭的 SBOM 管線、安全開發流程、技術文件是另一筆帳，而且那筆帳大得多。兩件事寫在同一份提案裡沒問題，但要分開列，否則審的人會用同一個尺去量，然後兩邊都砍。

交付物：職能拆解表

把上面那張表印出來，加三欄。
職能 現在誰在做 每週工時 不做會怎樣
收案
研判
評分
通報決策
合規時鐘
修補協調
對外溝通
政策與稽核

==============================================================
填法三個提醒。

**第一，「現在誰在做」填不出來就寫「沒有人」，不要填部門名稱。**部門不會在半夜三點按送出鍵。

**第二，「不做會怎樣」這一欄是整張表的重點。**寫得出具體後果的職能，才有籌碼進提案；寫不出來的，你自己也該重新想它要不要存在。

**第三，工時請扣掉會議跟支援之後再填。**填三小時的人，實際上大概只有一個半。

明天 Day 08：中樞不做修補

集中式、分散式、混合式三種 PSIRT 模型的取捨。中小團隊為什麼只有混合式活得下來，以及中樞一旦開始接修補工作，多久會垮。

順便問一句。剛剛那八項職能：

你們現在有幾項答得出名字？

（a）七項以上　（b）四到六項　（c）一到三項　（d）零項，還沒有人

留個字母就好，不用打長篇。（d）不丟臉，多數公司在生效日之前都是這個狀態。

這系列每天更新，覺得有用的話幫忙訂閱一下，謝謝。

參考：職能拆解為個人整理，非法規明文。CRA 對組織形式沒有規定，第 14 條只要求義務被履行；FIRST 的 PSIRT Services Framework 可作為職能清單的對照。