Постмортем без воды: как разбирать инцидент, а не искать виноватых

Постмортем без воды: как разбирать инцидент, а не искать виноватых

После инцидента полезно не «обсудить на созвоне», а собрать факты: таймлайн, симптомы, затронутые системы, точку обнаружения и точку отказа. Если в отчёте нет последовательности событий, это не постмортем, а коллективная память с багами.

Рабочий каркас простой:
— что сломалось и как это проявилось;
— почему алерт сработал поздно или не сработал вообще;
— где был первый необратимый шаг;
— какие условия позволили сбою пройти дальше.

Дальше нужен разбор причин, а не список неудобных фамилий. Ищите не «кто нажал», а почему система позволила нажать без защиты: не хватило валидации, ревью, ограничений прав, canary, отката или проверки зависимостей. Безопасность начинается с доступа.

Отдельно фиксируйте, что спасло сервис: ручной обход, фича-флаг, бэкап, деградация функциональности. Это не героизм, а сигнал, какие механизмы нужно сделать штатными. Мониторинг должен быть проактивным, а не реактивным.

Хороший постмортем заканчивается не эмоциями, а действиями: один владелец, срок, критерий готовности и контрольный чек. Иначе инцидент закрыт только в календаре, а в проде он уже просто ждёт следующий удобный момент.