Но если после груминга, тогда команда не будет вкурсе security requirements для user stories. Соответственно, команда не сможет точно сделать расценку времени на имплементацию задачи.
Ну вон, у твоего варианта больше голосов, так что твой лучше тебе подходит.
Не сцы. Всё в процессе ясным станет