Des preuves que vous pouvez remettre
Un registre avec un hachage, exportable, nommant l’approbateur.
Une piste d’approbation que vous pouvez remettre à un auditeur
Un registre de qui a approuvé quel changement, et contre quelle version du contenu. Chaque entrée porte un hachage. Le hachage montre que le registre n’a pas été modifié depuis.
Votre piste d’audit s’écrit pendant que vous travaillez.
Les changements gouvernés atterrissent dans un journal chaîné en SHA-256 simple, sans clé secrète. Votre auditeur peut en revérifier l’intégrité depuis l’export avec ses propres outils, sans nous croire sur parole.
L’approbation est la porte
Chaque action gouvernée est préparée comme un plan. Elle n’est appliquée qu’après qu’une personne l’a approuvée. L’approbation est l’événement inscrit au registre.
- Une personne approuve avant que rien ne soit appliqué
- Le plan, l’approbateur et l’horodatage sont enregistrés ensemble
- L’IA propose, et une personne applique, dans chaque outil
Le registre prouve qu’il n’a pas été modifié
Un journal auquel n’importe qui peut ajouter est un journal qu’un auditeur écarte. Les entrées sont hachées par contenu et enchaînées. Une modification ultérieure ne correspond plus.
- Hachage de contenu SHA-256 sur le registre
- Tout le registre s’exporte, et la copie est à vous
- Le registre garde la forme d’un secret, jamais sa valeur
Une identité à laquelle vous faites déjà confiance
Connectez-vous avec un nom d’utilisateur et un mot de passe gérés, plus une application d’authentification obligatoire. Ou utilisez SAML 2.0 avec votre propre fournisseur d’identité, une connexion par organisation.
- SAML multi-tenant : la connexion d’une organisation ne peut pas créer la session d’une autre
- L’accès prend fin à la requête suivante
- Le rôle est relu à chaque requête, jamais transporté dans le jeton
Ce qui change
Un seul endroit où regarder
Chaque outil gouverné écrit dans la même piste.
Là où la correspondance s’arrête
Quels contrôles correspondent à quelles vérifications, et où la correspondance s’arrête.
Lisez d’abord la correspondance des contrôles
Elle dit quels référentiels sont couverts par de vraies vérifications, et lesquels ne le sont pas.