REVIEWIT in una pagina
01Il problema #sec_39161269
In un'azienda di medie dimensioni, nessuno sa chi ha accesso a cosa.
Non è una negligenza, è una conseguenza. Gli accessi si accumulano: vengono concessi al arrivo di una persona, aggiunti per un progetto, dimenticati alla partenza di un collaboratore. Ogni azione è giustificata al momento in cui viene eseguita. Dopo tre anni, la somma non lo è più, e nessuno ha più il contesto per decidere.
Gli auditor, invece, pongono una domanda semplice: chi ha convalidato questo accesso, quando e su quale base? La maggior parte delle organizzazioni non ha una risposta. Hanno un foglio di calcolo.
02La risposta #sec_f8e9f261
REVIEWIT organizza la ricertificazione degli accessi: a intervalli regolari, le persone che sanno esaminano gli accessi di cui sono responsabili e decidono se mantenerli o rimuoverli. Il prodotto non decide al posto loro. Fa tre cose.
Raccoglie. Si connette a Microsoft 365 — e ad altre soluzioni — e rileva lo stato reale degli accessi: chi è in quale gruppo, chi possiede quale spazio, chi non ha aperto nulla negli ultimi diciotto mesi.
Organizza. Suddivide questa massa in campagne: un ambito, una politica, dei revisori, una scadenza. Ogni revisore riceve ciò di cui è responsabile, e nient'altro.
Prova. Ogni decisione porta il nome di chi l'ha presa, la data e la giustificazione scritta. La traccia di audit è sigillata: non può essere riscritta.
03La promessa, e la sua controparte #sec_52756ffe
REVIEWIT promette che una decisione sull'accesso è imputabile a una persona che ha esaminato, valutato e ne è responsabile.
Questa promessa ha una controparte che il prodotto assume ovunque: un amministratore non approva nulla. Organizza, sollecita, sblocca, rende conto — ma nessuna superficie di amministrazione gli permette di prendere una decisione di revisione al posto di un revisore. Anche l'API pubblica non lo consente. Non è una limitazione che verrà rimossa in una versione futura: è la ragione d'essere del prodotto.
04Ciò che vedrete sullo schermo #sec_d4095e07
Tre interfacce, una per ogni ruolo.
| Superficie | Chi la apre | Cosa ci si fa |
|---|---|---|
| REVIEW Center | Il revisore | Prendere decisioni sugli accessi di cui è responsabile |
| Workspace Center | L'amministratore di workspace | Lanciare e gestire le campagne di un'entità |
| Centro di amministrazione | L'amministratore della sottoscrizione | Aprire workspace, allocare le risorse |
Non si sovrappongono, ed è una scelta strutturale. Vedi [Tre superfici, tre ruoli](chi-fa-cosa).
05Il risultato concreto #sec_5ec09af0
Un revisore apre la sua fila un lunedì mattina. Trova, ad esempio, quaranta risorse OneDrive segnate come inattive da oltre dodici mesi. Per ciascuna, lo schermo gli dice cosa la politica si aspettava e cosa ha osservato — « un'attività negli ultimi 12 mesi » contro « ultima attività il 07/05/2024 · 27 mesi fa ».
Decide: mantenere o confermare l'inattività. Scrive il motivo. Registra.
Tre mesi dopo, un auditor chiede su quale base l'accesso di questa persona è stato mantenuto. La risposta esiste, datata, firmata, e nessuno ha dovuto ricostruirla.
06E l'IA, in tutto questo #sec_82afb6d4
RITA è l'assistente integrata. Risponde in linguaggio naturale alle domande di gestione — « dove sono le mie campagne », « chi è in ritardo » — e propone una formulazione di giustificazione al revisore che esita sulle parole.
Non decide mai. Un suggerimento di giustificazione rimane un suggerimento: il revisore lo accetta, lo corregge o lo ignora, ed è il suo nome che appare sulla decisione. Vedi [RITA — l'assistente delle revisioni degli accessi](rita).
07Da ricordare #sec_840ec2f5
Un prodotto che organizza un giudizio umano e lo dimostra. Tre superfici per tre attività che non si confondono. E una regola che tiene tutto il resto: nessuno approva al posto di qualcun altro.