Audit Trail — la prova verificabile
01Una pista di prova, non un registro di diagnostica #sec_8812bfdf
Un registro applicativo aiuta un operatore a comprendere un incidente tecnico. Una pista di audit deve permettere a un cliente o a un revisore di stabilire chi ha fatto cosa, su quale perimetro, con quale risultato e perché. REVIEWIT tratta queste due esigenze come due domini distinti.
Audit Trail costituisce il nucleo comune a tutte le superfici: autenticazione, API, amministrazione, campagne, certificazioni, RITA e trattamenti di piattaforma. Le azioni condividono un catalogo stabile invece di liste codificate diversamente in ogni applicazione.
Il codice di un'azione è la sua chiave durevole; il suo testo è una risorsa traducibile. Correggere una formulazione non riscrive quindi la storia, e le ricerche rimangono affidabili da una versione all'altra.
02Due percorsi di cattura, a seconda di cosa è successo #sec_1dcb577c
Un atto riuscito e un tentativo rifiutato non obbediscono alla stessa atomicità.
Per un atto riuscito, l'evento di audit viene scritto nella stessa transazione del cambiamento di business, grazie a un outbox. Se la transazione fallisce, né l'atto né la sua traccia di successo persistono. Diventa impossibile osservare un cambiamento durevole senza la corrispondente voce di audit.
Per un tentativo, un rifiuto o un fallimento, la traccia segue un percorso autonomo. L'atto non è precisamente riuscito, ma il suo tentativo può essere importante per la sicurezza. Una ripresa garantisce che non venga abbandonato silenziosamente.
La politica di fallimento è dichiarata per categoria di azione. Un'operazione di sicurezza critica può essere rifiutata se la sua traccia non può essere garantita. Per gli altri atti, il business continua e un'allerta segnala la degradazione. Un fallimento di audit non è quindi né sempre bloccante, né sempre ignorato: il suo effetto è deciso esplicitamente.
03Il contenuto utile, e solo lui #sec_8dce8c36
Un evento risponde alle domande essenziali: identità dell'attore, ruolo effettivo, eventuale attore d'impronta, tempo UTC, codice d'azione, risultato, sottoscrizione, workspace, campagna, target, modifica, motivo, canale e correlazione.
I parametri descrivono l'intenzione; le modifiche descrivono ciò che è realmente cambiato. L'identità e il testo del target sono fissi per rendere l'evento leggibile anche dopo la partenza di una persona o il rinominare di una risorsa.
La minimizzazione rimane una regola di prova: la pista registra l'atto, non una copia generale dei dati. I valori sensibili sono mascherati o qualificati. Una consultazione di dati personali, un'esportazione o la lettura di una prova possono esse stesse diventare un evento di audit.
La visibilità segue il perimetro. L'amministratore della sottoscrizione e il revisore vedono la sottoscrizione secondo il loro mandato; l'amministratore del workspace vede solo ciò che riguarda il suo workspace. Il ruolo di Revisor rimane in sola lettura: consultare la prova non deve permettere di controllare il sistema osservato.
04Una catena la cui alterazione si vede #sec_5a62e85f
Ogni evento possiede una sequenza, l'impronta dell'evento precedente e la propria impronta calcolata su una forma canonica. Rimuovere, riordinare o modificare una voce rompe la catena.
I sigilli periodici firmano la testa della catena. Eleva la garanzia oltre il semplice incatenamento separando la capacità di scrivere la base da quella di firmare il suo stato. Un ancoraggio esterno può rafforzare ulteriormente questa garanzia di fronte a una compromissione completa dell'operatore.
Il rapporto di verifica non afferma mai più di quanto non dimostri. Precisa l'inizio del periodo garantito, l'ultimo sigillo controllato, il numero di eventi più recenti coperti dal solo incatenamento e la presenza eventuale di pietre miliari di purga.
La firma di un'esportazione risponde a un'altra domanda: attesta che il documento corrisponde all'estrazione prodotta. Non sostituisce il sigillo della pista. Un'esportazione indica quindi a quale testa e a quale sigillo si ancora.
05Ricercare, esportare, verificare e conservare #sec_f798b47c
Audit Trail offre quattro letture complementari:
- ricerca per attore, azione, periodo, perimetro, target, risultato o correlazione;
- restituire un incatenamento comprensibile da un revisore non tecnico;
- esportare in modo incrementale o alimentare BEACON;
- verificare la continuità, le impronte e i sigilli in un rapporto riproducibile.
Archiviazione e purga non si confondono. L'archiviazione sposta i corpi degli eventi verso un'archiviazione fredda lasciando la catena verificabile e il contenuto recuperabile. La purga distrugge il contenuto e conserva solo le pietre miliari necessarie per dimostrare che una cancellazione legittima, e non una falsificazione, ha avuto luogo.
Il socle di audit — azioni di sicurezza, abilitazioni, segreti, tenant, governance di RITA e operazioni del modulo stesso — è protetto e non disattivabile. Le letture correnti possono essere campionate quando sono molto numerose; le consultazioni sensibili e gli atti critici non lo sono mai.
06In sintesi #sec_95815aed
Audit Trail trasforma l'attività di REVIEWIT in un racconto ordinato, minimale e verificabile. Lega la traccia al successo dell'atto, conserva i tentativi che falliscono, rende ogni alterazione rilevabile ed espone chiaramente il livello di garanzia realmente raggiunto.