37장. Incident Command를 역할로 분리한다

한 사람이 원인 분석, 명령 실행, 공지와 기록을 모두 맡으면 tunnel vision과 무승인 변경이 생긴다. Incident Commander는 우선순위와 결정을, Operations는 명령을, Communications는 사용자·이해관계자 업데이트를, Scribe는 timeline과 증거를 맡는다. 작은 팀은 역할을 겸할 수 있어도 누가 무엇을 결정하는지 선언한다.

사건 문서 첫 화면에는 영향, 시작 시각, severity, 현재 완화, 다음 업데이트, commander와 안전 금지선을 둔다. chat의 추측을 사실로 옮기지 않는다. 명령은 실행자·대상 환경·기대 출력·중단 조건·확인자를 기록한다. credential과 개인정보는 timeline에 붙이지 않는다.