Il santuario
01In una frase #sec_08a1b71d
Il Santuario permette di rimuovere una risorsa dal perimetro delle revisioni di accesso — e impone che questa deroga sia motivata, datata, attribuita e riesaminata.
02Il problema #sec_e5c2dc9d
Ogni campagna di ricertificazione incontra risorse che non hanno nulla a che fare: un account di servizio che alimenta un connettore, un sito archiviato conservato per obbligo legale, un team i cui accessi sono gestiti al di fuori del sistema. Sottoporli a un revisore umano produce rumore, consuma attenzione e finisce per degradare la qualità di tutte le altre decisioni.
È quindi necessario poter escludere. Ma l'esclusione è l'angolo cieco naturale di un dispositivo di conformità: ciò che esce dal controllo esce anche dalla vista . Una risorsa esclusa non appare in nessuna campagna, in nessun rapporto, in nessun tasso di copertura. Se l'esclusione è silenziosa, diventa il modo più semplice per far sparire un problema piuttosto che trattarlo.
È precisamente ciò che un auditor cerca per primo: non ciò che è stato rivisto, ma ciò che non lo è stato, e perché.
03Il partito preso #sec_646bb086
Non si impedisce di escludere. Si rende l'esclusione costosa in termini di trasparenza.
Proibire non funziona: un amministratore bloccato aggira — disattiva la funzionalità, crea un perimetro parallelo o rinuncia ad avviare la campagna. Si perde quindi la traccia invece di guadagnarla.
Il Santuario prende quindi la strada inversa. Escludere rimane possibile, semplice e legittimo. Ma ogni esclusione lascia un'impronta completa, consultabile dall'auditor, e porta una data di scadenza . La dissuasione non viene da un muro, viene dal fatto che tutto si vede.
Ne derivano tre principi :
1. Un'esclusione si giustifica. Motivo codificato, giustificazione scritta e autore identificato sono richiesti al momento della posa. Il campo libero non è decorativo: è la frase che l'auditor leggerà, citata così com'è nel dossier.
2. Un'esclusione ha una fine. La scadenza di riesame è obbligatoria. Senza di essa, una deroga posta un martedì per tre settimane diventa permanente perché nessuno la riapre mai. Il prodotto si rifiuta di creare questo tipo di buco.
3. Un'esclusione non si cancella. Si leva — e la leva si giustifica a sua volta. La riga rimane nel database come ciclo chiuso. È ciò che permette di ricostruire una sequenza a posteriori, comprese quelle che nessuno avrebbe voglia di mostrare.
04Come funziona #sec_9e591ad2
Posare un'esclusione
Un pannello dedicato guida la selezione (piattaforma → servizio → tipo di risorsa → oggetto), poi chiede le tre informazioni obbligatorie. Il pulsante di convalida rimane inattivo finché il tutto non è completo — la restrizione è strutturale, non un semplice avviso.
Motivi disponibili: fuori perimetro · account di servizio · risorsa archiviata · deroga documentata · altro.
Scadenza: 3 mesi, 6 mesi, 1 anno o data libera. Lo schermo annuncia la data di richiamo non appena viene inserita.
Il ciclo di vita
Ogni esclusione è un ciclo: aperto al momento della posa, chiuso al momento della leva. Una risorsa può essere esclusa, reintegrata e poi re-esclusa — ogni passaggio crea il proprio ciclo e l'insieme si legge come una cronologia.
| Azione | Effetto |
|---|---|
| Posare | Apre un ciclo (motivo, giustificazione, scadenza, autore) |
| Prolungare | Ritarda la scadenza di riesame — e la traccia |
| Levare | Chiude il ciclo con il proprio motivo; la risorsa ritorna nelle revisioni |
| Eliminare | Non esiste |
Unica eccezione all'indelebibilità: una riga senza oggetto sfruttabile, nata da un import corrotto. Non ha mai escluso nulla — non è una prova, è un rifiuto, e viene eliminata automaticamente.
La scadenza, segnale principale dello schermo
L'elenco delle esclusioni attive è ordinato attorno a una sola domanda: quale avrebbe già dovuto essere riesaminata?
- 🔴 Superata — l'intera riga è colorata; la scheda Cronologia porta un avviso di allerta.
- 🟠 Meno di 30 giorni — da trattare presto.
- 🟢 Aggiornata — niente da fare.
- ⚪ Senza scadenza — solo per righe precedenti a questa regola; impossibile da creare oggi.
La cronologia, e ciò che rivela
La scheda Cronologia elenca i cicli chiusi, una riga per risorsa, con la durata dell'esclusione e le campagne che si sono svolte durante il ciclo.
Questa correlazione è il cuore del dispositivo. Rende visibile un motivo che nient'altro mostra: una risorsa esclusa poco prima del lancio di una campagna, poi reintegrata poco dopo la sua chiusura. Il dossier lo enuncia quindi come un fatto datato :
⚠️ Levata il 17/08/2026, 3 giorni dopo la chiusura della campagna SharePoint Experience — la risorsa vi è sfuggita.
Il prodotto non giudica e non accusa nessuno: espone la sequenza. L'interpretazione appartiene all'auditor.
05Volumetria: un limite graduato #sec_3c647a21
Un tetto assoluto non ha senso. Seicento esclusioni in un workspace di ottocento risorse svuotano il controllo della sua sostanza; le stesse seicento in un tenant di duecentomila sono aneddotiche. Il Santuario ragiona quindi in termini di parte del perimetro esclusa e gradua la sua reazione :
| Livello | Soglia | Reazione |
|---|---|---|
| Informazione | 5 % | Il tasso viene visualizzato sullo schermo |
| Avviso | 10 % | Barra ambra + segnalazione nella postura di audit del workspace |
| Tetto | quota di sottoscrizione | La posa viene rifiutata fino a quando non vengono levate delle esclusioni |
I cicli levati non consumano alcuna quota: la cronologia non penalizza mai l'uso corrente.
L'importazione di massa obbedisce alle stesse regole — motivo, giustificazione e scadenza si applicano a tutto il lotto — e annuncia chiaramente ciò che non potrà importare invece di troncare in silenzio.
06Ciò che l'auditor vi trova #sec_2e9517f9
Lo schermo gli è aperto in sola lettura: consulta ed esporta, non posa né leva nulla.
Vi trova, senza doverli chiedere: l'elenco di ciò che sfugge alle revisioni e da quando, la giustificazione di ogni deroga nelle parole del suo autore, le esclusioni la cui scadenza è superata, la cronologia completa degli andirivieni e la correlazione con le campagne.
L'esportazione riprende l'integralità di questi elementi — motivo e giustificazione compresi. Un'esportazione di esclusioni senza il perché non avrebbe alcun valore probante.
07Buon uso #sec_c198674c
Ciò per cui il Santuario è fatto: account di servizio e identità tecniche, risorse archiviate conservate per obbligo, perimetri governati da un dispositivo esterno documentato, deroghe validate e datate.
Ciò per cui non è fatto: far sparire una risorsa problematica in attesa che passi, migliorare artificialmente un tasso di conformità, aggirare un disaccordo con un revisore. Questi usi non sono tecnicamente bloccati — sono semplicemente visibili, e è deliberato.
08Da ricordare #sec_dab7f98b
Il Santuario non protegge le risorse: protegge la credibilità del dispositivo di revisione. Un controllo da cui si può uscire senza lasciare traccia non dimostra nulla. Rendendo ogni esclusione motivata, datata, rivisitabile e leggibile da un terzo, permette di affermare non solo ciò che è stato rivisto, ma anche ciò che non lo è stato, perché, e fino a quando.