Una catena di accountability è l'insieme collegato di persone, team, fornitori, manager e controlli responsabili di come un sistema viene progettato, configurato, distribuito e monitorato. Nella sicurezza informatica, risponde a una domanda critica: chi ci si aspetta che prevenga i danni, rilevi gli abusi, approvi le modifiche e reagisca quando qualcosa va storto? La catena può includere sviluppatori, ingegneri della sicurezza, provider cloud, responsabili della conformità e addetti alla risposta agli incidenti, ciascuno con compiti diversi ma con un'esposizione condivisa.
Questo è importante perché gli aggressori spesso sfruttano le lacune tra le responsabilità, come una debole supervisione dei fornitori, percorsi di approvazione poco chiari o l'assenza di registrazione e di escalation. In difesa, una catena di accountability chiara supporta lo sviluppo sicuro del software, il controllo degli accessi, la gestione delle patch e la risposta agli incidenti rendendo esplicita la titolarità. Aiuta anche gli investigatori a risalire dai guasti al controllo che avrebbe dovuto bloccarli, che si tratti di un processo di revisione, di una policy o di una decisione umana. Senza una catena definita, la sicurezza diventa facile da esternalizzare e difficile da far rispettare.