Evidências de SOC 2 que se geram sozinhas
A pior parte de uma auditoria é reconstruir o que aconteceu a partir de logs que nunca foram projetados para serem evidência. Construa o livro-razão certo e a evidência é um subproduto.
Auditorias são arqueologia
A maior parte da preparação para auditoria é arqueologia: vasculhar logs que foram escritos para depuração, não para prova, e costurá-los em uma história que um auditor aceitará. É lento, é manual, e acontece sob prazo.
O motivo de doer é que as decisões de acesso e sua evidência vivem em lugares diferentes. O sistema decidiu uma coisa; o registro do porquê está espalhado ou ausente.
Faça a decisão e a evidência serem o mesmo evento
Quando cada decisão de acesso é avaliada em um único lugar e registrada em um livro-razão pronto para atestação no momento em que acontece, a evidência deixa de ser um projeto. Quem agiu, quem patrocinou, qual escopo, o que a política decidiu, e quando — tudo capturado no momento da decisão.
As evidências para SOC 2 e ISO 27001 então se geram sozinhas, porque o controle e sua prova são o mesmo evento. Você não está reconstruindo o passado. Está exportando-o.
- #SOC 2
- #auditoria
- #evidência
More field notes
O problema de 80:1: a identidade de máquina agora é o perímetro
Para cada humano na sua equipe existem cerca de oitenta identidades de máquina agindo em seu nome. Quase nenhuma tem um dono. Essa proporção é todo o problema de segurança.
Daniel Osei · Engenheiro de Segurança
6 min de leitura
Credenciais de curta duração, na prática
Todo mundo concorda que chaves deveriam expirar. Aí alguém define o TTL para um ano para que nada quebre. Veja como fazemos credenciais de minutos sobreviverem ao contato com cargas de trabalho reais.
Priya Nandakumar · Head of Platform
7 min de leitura
O que queremos dizer com um patrocinador humano nomeado
Cada agente na Mandavo é vinculado a uma pessoa responsável. Não uma equipe, não um rodízio, não um cargo. Uma pessoa. Veja por que traçamos a linha ali.
Lena Fischer · Líder de Produto
5 min de leitura