La rimediazione

01Dopo la decisione, eliminare il divario #sec_4d44cfc6

Una revisione degli accessi non produce solo verdetti. Quando un diritto, una configurazione o una proprietà di risorsa non è conforme, questa constatazione deve diventare un'azione seguita fino al suo risultato. La rimediazione è il collegamento tra ciò che è stato deciso e ciò che è realmente cambiato.

REVIEWIT separa volontariamente il verdetto dall'obbligo. Il verdetto esprime il giudizio del revisore. L'obbligo di rimediazione è derivato dalla politica applicabile: indica il divario da correggere, il suo responsabile, la sua scadenza e il canale previsto. Questa separazione conserva l'integrità della decisione permettendo allo stesso tempo alla strategia di correzione di evolversi in modo versionato.

Ogni criterio in divario crea il proprio obbligo. Un risultato globale "parzialmente conforme" rimane quindi azionabile: le cause che lo compongono non sono né appiattite né perse.

02Un obbligo duraturo, non un ticket usa e getta #sec_45f75eb7

Una nuova campagna non azzera l'anzianità del rischio. Se esiste già un obbligo aperto per la stessa risorsa e lo stesso criterio, la nuova decisione gli viene collegata. Il suo orologio di anzianità continua dalla prima constatazione.

Questa persistenza permette di distinguere :

• gli obblighi nati durante il ciclo corrente ;
• quelli ereditati da una campagna precedente ;
• i divari ricorrenti o cronici, che la ripetizione delle revisioni non deve mascherare.

L'obbligo attraversa diversi stati: può essere differito da un'eccezione temporanea, pronto per essere inviato, inviato, in verifica, chiuso, dichiarato fuori perimetro o diventato senza oggetto dopo una nuova raccolta. Quando nessuna azione è tecnicamente realizzabile, rimane visibile in stato non eseguibile e un'attività interna materializza l'impossibilità. Un difetto del connettore non fa mai scomparire il rischio.

Il termine di servizio inizia quando l'obbligo diventa effettivamente inviabile. REVIEWIT misura separatamente l'età reale della constatazione e il tempo di elaborazione imputabile al responsabile.

03Tre canali, una stessa responsabilità #sec_08ce1de8

La correzione segue una degradazione ordinata :

1. Runbook automatizzato, quando REVIEWIT dispone delle autorizzazioni e dell'azione adatta ;
2. ITSM connesso, ad esempio ServiceNow o Jira, quando l'esecuzione è delegata al sistema di ticket del cliente ;
3. Attività interna REVIEWIT, che costituisce il piano universale.

Il canale non cambia mai il proprietario della prova. Un ticket esterno è una correlazione, non un'uscita dal processo. La sua chiusura non è sufficiente per dichiarare il divario corretto. REVIEWIT continua a portare l'obbligo e conserva il collegamento tra la decisione, l'invio, le azioni intraprese e la constatazione finale.

L'eligibilità di un'azione viene verificata sin dalla progettazione della campagna, poi di nuovo al momento dell'esecuzione. Un'autorizzazione può essere revocata tra le due; l'esecuzione adotta quindi un comportamento fail-closed e passa al canale che permette di mantenere l'obbligo visibile.

Il revisore vede il risultato di questo controllo preliminare prima di firmare: correzione automatica disponibile, ticket previsto o azione non eseguibile. Questa informazione non modifica il suo verdetto, ma rende esplicita la reale capacità di elaborazione nel momento in cui la decisione viene attestata.

04Eccezione temporanea non significa conformità #sec_15a71bc9

Un'eccezione sospende l'invio, mai il verdetto. La risorsa rimane non conforme; il rischio è accettato per un periodo determinato, con una giustificazione e una data di ripresa.

Alla scadenza, l'obbligo diventa nuovamente inviabile senza richiedere una nuova revisione. I dashboard presentano queste eccezioni come rischio accettato e datato. Quindi, un'eccezione non può diventare silenziosamente una conformità permanente.

La politica definisce il responsabile della correzione, eventualmente criterio per criterio. Se questo obiettivo manca, REVIEWIT applica una catena di ripiego fino al proprietario della campagna. Una risorsa orfana conserva quindi sempre un destinatario responsabile.

05Chiudere con il giusto livello di prova #sec_c4c3d392

REVIEWIT non confonde prova di esecuzione e prova di conformità. Una chiamata riuscita, un ticket chiuso o una casella spuntata mostrano che un'azione è stata dichiarata compiuta. Non dimostrano necessariamente che il divario sia scomparso.

La chiusura più forte si basa su una nuova raccolta che constata lo stato corretto. Quando questa verifica è impossibile, l'obbligo può essere chiuso con un livello di prova più debole, chiaramente indicato :

• constatato: la raccolta conferma la conformità ;
• riferito: il canale annuncia il compimento, senza verifica possibile ;
• dichiarato: il responsabile conferma manualmente l'azione.

Se una raccolta contraddice un compimento annunciato, l'obbligo viene riaperto e il tentativo rimane visibile. Un tasso di completamento non vale quindi mai più del livello di prova che lo compone.

06In sintesi #sec_06bae4e3

La rimediazione mantiene il filo della responsabilità dal divario attestato alla constatazione della correzione. Non perde alcun obbligo durante un cambio di campagna o di canale, distingue esecuzione e conformità e rende visibile l'anzianità reale del rischio.