Доказательства, которые можно передать
Запись с хешем, экспортируемая, называющая утверждающего.
След утверждений, который можно передать аудитору
Запись о том, кто утвердил какое изменение и против какой версии контента. Каждая запись несёт хеш. Хеш показывает, что запись с тех пор не редактировалась.
Ваш аудиторский след пишется сам, пока вы работаете.
Управляемые изменения попадают в журнал с цепочкой хешей на обычном SHA-256 без секретного ключа, поэтому ваш аудитор может перепроверить его целостность по выгрузке своими инструментами.
Утверждение это шлюз
Каждое управляемое действие готовится как план. Оно применяется только после того, как человек его утвердит. Утверждение это событие в записи.
- Человек утверждает, прежде чем что-либо применяется
- План, утверждающий и отметка времени записываются вместе
- ИИ предлагает, а человек применяет, в каждом инструменте
Запись доказывает, что её не редактировали
Журнал, в который любой может дописать, это журнал, который аудитор не принимает всерьёз. Записи хешируются по содержимому и сцепляются. Более позднее редактирование перестаёт совпадать.
- Хеширование содержимого SHA-256 в журнале
- Весь журнал экспортируется, и копия остаётся у вас
- Запись хранит форму секрета, никогда его значение
Идентификация, которой вы уже доверяете
Входите с управляемым именем пользователя и паролем плюс обязательное приложение-аутентификатор. Или используйте SAML 2.0 со своим провайдером идентификации, одно подключение на организацию.
- Многоарендный SAML: вход одной организации не может создать сессию для другой
- Доступ заканчивается при следующем запросе
- Роль читается заново при каждом запросе, никогда не переносится в токене
Что меняется
Одно место, куда смотреть
Каждый управляемый инструмент пишет в один и тот же след.
Где заканчивается сопоставление
Какие проверки сопоставлены с каким контролем, и где сопоставление заканчивается.
Сначала прочитайте сопоставление контролей
Оно говорит, какие стандарты покрыты настоящими проверками, а какие нет.