Des preuves SOC 2 qui se génèrent d'elles-mêmes
La pire partie d'un audit est de reconstituer ce qui s'est passé à partir de journaux qui n'ont jamais été conçus pour être des preuves. Construisez bien le registre et la preuve devient un sous-produit.
Les audits sont de l'archéologie
La plupart des préparations d'audit relèvent de l'archéologie : fouiller dans des journaux écrits pour le débogage, pas pour la preuve, et les assembler en un récit qu'un auditeur acceptera. C'est lent, c'est manuel, et cela arrive sous délai.
La raison pour laquelle cela fait mal, c'est que les décisions d'accès et leurs preuves vivent dans des endroits différents. Le système a décidé une chose ; la trace du pourquoi est éparpillée ou manquante.
Faire de la décision et de la preuve un seul et même événement
Quand chaque décision d'accès est évaluée en un seul endroit et consignée dans un registre prêt pour l'attestation au moment où elle se produit, la preuve cesse d'être un projet. Qui a agi, qui l'a parrainé, quel périmètre, ce que la politique a décidé, et quand — tout capturé au moment même de la décision.
Les preuves SOC 2 et ISO 27001 se génèrent alors d'elles-mêmes, car le contrôle et sa preuve sont le même événement. Vous ne reconstituez pas le passé. Vous l'exportez.
- #SOC 2
- #audit
- #preuve
More field notes
Le problème du 80:1 : l'identité machine est désormais le périmètre
Pour chaque humain dans votre équipe, il existe environ quatre-vingts identités machine agissant en son nom. Presque aucune n'a de propriétaire. Ce ratio est tout le problème de sécurité.
Daniel Osei · Ingénieur sécurité
6 min de lecture
Les identifiants de courte durée, en pratique
Tout le monde s'accorde à dire que les clés doivent expirer. Puis quelqu'un fixe la durée de vie à un an pour que rien ne casse. Voici comment nous faisons survivre des identifiants de quelques minutes au contact de charges de travail réelles.
Priya Nandakumar · Responsable plateforme
7 min de lecture
Ce que nous entendons par sponsor humain nommé
Chaque agent dans Mandavo est lié à une personne responsable. Pas une équipe, pas une rotation, pas un rôle. Une personne. Voici pourquoi nous avons tracé la limite là.
Lena Fischer · Responsable produit
5 min de lecture