Il sign-off

01Dal lavoro di revisione a una attestazione verificabile #sec_8d4f2185

In una revisione degli accessi, completare un elenco di decisioni non è sufficiente. È necessario poter stabilire, in seguito, quale ambito è stato esaminato, secondo quale politica, da chi, con quali decisioni e in quali condizioni. Il sign-off è la funzione che trasforma un lavoro di revisione completato in una attestazione duratura.

Le decisioni appartengono allo svolgimento della campagna; l'attestazione appartiene al registro delle prove. Non sostituisce il giudizio del revisore e non lo corregge. Ne fissa il risultato, il contesto e la provenienza in una forma che può essere verificata senza reinterpretare lo stato attuale del sistema.

L'unità probatoria non è la decisione: è l'ambito. REVIEWIT ragiona per lotti di revisione, la parte affidata a un revisore per una determinata campagna. L'attestazione sigilla l'ambito completo del lotto insieme alle decisioni prese, chiudendo così la contestazione di audit più difficile da confutare: "quello lí, non l'ho mai visto".

02Due atti da non confondere #sec_5d9170c3

Una campagna termina perché arriva una scadenza: è un fatto temporale, e il sistema lo constata da solo. Qualcuno si pronuncia su ciò che è stato rivisto: è un atto formale, e appartiene a una persona.

REVIEWIT separa rigorosamente i due, e la conseguenza è esplicita: il sistema non firma mai. Nessuna scadenza, nessuna verifica di fondo, nessuna regola di chiusura produce una firma a nome di nessuno.

Ciò che una chiusura automatica produce, quando la campagna lo prevede, sono decisioni di origine "regola" - identificate come tali, con la regola applicata e la sua origine non umana. Entrano nell'attestazione come le altre, ma non si travestono mai da giudizio umano.

Questa separazione ha un costo, e è accettato: una campagna può terminare senza che nessuno abbia firmato. Il prodotto preferisce mostrarlo - una copertura cifrata onesta, incluso il numero di lotti non attestati - piuttosto che iscrivere un'attestazione che nessuno assume.

03Non si firma ciò che può ancora essere contestato #sec_4647db05

Una decisione di revisione può essere contestata dalla persona che la riguarda, durante una finestra aperta dopo la decisione. Firmare prima della fine di questa finestra significherebbe sigillare un risultato che una contestazione ricevibile può ancora modificare.

Il sign-off della campagna attende quindi la fine del periodo di contestazione, calcolato in giorni lavorativi a partire dalle regole della campagna. La finestra è visualizzata: il prodotto indica fino a quando bisogna attendere, piuttosto che rifiutare senza motivo.

Un'eccezione, e una sola: se la campagna non ha prodotto nulla di contestabile, non c'è nulla da attendere.

Al contrario, una contestazione ricevuta dopo un sigillo non riscrive nulla. Produce nuovo lavoro, quindi nuove decisioni, quindi un'ulteriore attestazione - che il livello successivo aggregherà.

04Ciò che viene fissato al momento del sign-off #sec_6d93f41e

Il sign-off prende un'istantanea di sigillatura. A partire da questo momento, la costruzione della prova non legge più i riferimenti viventi: lavora esclusivamente con gli elementi fissati.

L'istantanea riunisce in particolare:

• l'ambito esatto del lotto e l'impronta della raccolta di riferimento;
• le decisioni, la loro origine - umana o nata da una regola - e le regole di default effettivamente applicate;
• la versione della politica fissata all'armamento della campagna, con i suoi criteri;
• l'identità del decisore e, quando è distinta, quella della persona che ha firmato;
• la modalità di chiusura adottata dalla campagna;
• le versioni di formato necessarie per una verifica futura.

Questa fotografia protegge la prova contro i cambiamenti successivi. Un utente può essere rinominato, una politica sostituita, un riferimento aggiornato: l'attestazione continua a raccontare ciò che era vero al momento della chiusura.

Due categorie sono trattate esplicitamente piuttosto che taciute. Un elemento non deciso viene contato e dichiarato; non viene hashato come una decisione che non esiste. Un elemento uscito dall'ambito - annullato o scaduto in attesa - non conta né nell'avanzamento, né nell'eligibilità, né nell'ambito attestato; rimane elencato.

Il lotto passa quindi attraverso uno stato di sigillatura esplicito: è congelato, nessuna decisione può essere modificata e nessun elemento può essere aggiunto. Questo stato non viene mai presentato come un'attestazione terminata. O la costruzione ha successo, o riprende in modo deterministico dallo stesso istantaneo - una ripresa restituisce esattamente la stessa prova.

05Una prova di integrità senza divulgare l'intero lotto #sec_ad54210d

L'attestazione impegna separatamente due insiemi: l'ambito esaminato e le decisioni prese. REVIEWIT li rappresenta sotto forma di alberi di integrità. La loro radice agisce come un'impronta compatta: modificare un elemento, rimuoverne uno o cambiare una decisione produce una radice diversa.

Questo meccanismo consente una verifica mirata. Un revisore può ricevere la prova che un elemento preciso apparteneva al lotto e portava una decisione data, senza che tutto il contenuto della campagna venga divulgato. I segreti che rendono possibile questa prova sono forniti da SEAL e non vengono mai esposti.

06Dal lotto alla campagna: constatare la copertura #sec_5f556982

Ogni revisore attesta la sua parte. Restava la questione superiore: queste parti coprono l'ambito della campagna?

Questo è l'oggetto della chiusura probatoria della campagna. Aggrega le attestazioni esistenti e, per gli elementi che nessuna attestazione copre, la decisione corrente, hashata esattamente come le altre. Iscrive dei numeri: numero di lotti, numero di attestazioni, numero di lotti non attestati.

Constata la copertura, non la richiede. Un rifiuto di chiudere finché tutto non è attestato non direbbe mai nulla di una campagna reale; un numero onesto sì. L'unico rifiuto è il caso vuoto: una campagna di cui nulla è stato attestato e di cui nessuna decisione esiste non ha nulla da sigillare.

Una regola di fondo, d'altra parte, non si negozia: non si chiude un ambito che si muove ancora. Una vaga ondata deve essere terminata; una campagna intera richiede che tutte le sue ondate lo siano.

07Rettificare senza riscrivere: il rango #sec_d12e5b19

Una prova sigillata non si corregge. Si completa.

Quando le attestazioni arrivano dopo una chiusura — una contestazione trattata, un relecteur in ritardo —, REVIEWIT non tocca il rango esistente: ne pronuncia uno nuovo, sullo stesso perimetro. I ranghi si contano per perimetro: una campagna intera e ciascuna delle sue ondate hanno la propria sequenza.

Un rango superiore porta, sigillato nel suo manifesto, la ragione della sua esistenza e l'impronta del rango che lo precede. La catena è quindi leggibile da un capo all'altro: ogni rango dice da dove viene e perché è stato pronunciato. Il rango precedente rimane intatto, verificabile e opponibile.

08L'ancoraggio, poi il sigillo #sec_25ee923a

L'integrità di un'attestazione si dimostra in due tempi, e le due prove si compongono.

L'ancoraggio iscrive l'impronta dell'attestazione nella pista di audit, la cui catena è essa stessa infalsificabile. L'invariante è semplice: nessuna attestazione osservabile può esistere senza ancoraggio di prova.

Il sigillo è emesso da un'autorità esterna al prodotto, su un conto distinto. Ciò che l'autorità attesta è preciso, e bisogna dirlo tale e quale: il rango R del segmento S era coperto da un sigillo che ha emesso. Non attesta che tale impronta occupi quel rango — questo secondo collegamento si dimostra sulla catena, presso il cliente. Due prove indipendenti, che non cadono insieme.

Conseguenza pratica, e conta: un pacchetto si dichiara sigillato solo se può citare il suo sigillo. Finché il sigillo non è lì, si dice ancorato — mai sigillato per ottimismo.

09Ciò che riceve l'auditore #sec_5d0c3d07

Il risultato sfruttabile non è uno stato "terminato". È un pacchetto di verifica coerente: il manifesto fissato, le radici di integrità, le foglie o i percorsi necessari, lo stato di ancoraggio e la citazione del sigillo.

Esistono tre forme, a seconda della domanda posta: il pacchetto completo di un'attestazione, la prova puntuale di un solo elemento e il pacchetto di una chiusura di campagna.

Questo pacchetto si verifica offline, tramite una funzione pura, senza chiedere nulla a REVIEWIT — è la proprietà che ne fa il valore. Uno strumento di verifica indipendente è pubblicato con il suo formato; un terzo può reimplementare il controllo a partire dalla sola specificazione.

Un documento leggibile accompagna l'attestazione. È una restituzione del manifesto sigillato, composto una sola volta, con la sua propria impronta: non è mai la fonte della verità, e ogni consegna serve la stessa copia.

Il lettore può così rispondere a quattro domande:

1. questo perimetro è quello che è stato affidato al relecteur?
2. le decisioni presentate sono quelle che sono state sigillate?
3. chi ha deciso e chi ha firmato?
4. sotto quale politica, a quale rango e secondo quale modalità la chiusura ha avuto luogo?

La conservazione del pacchetto segue quella dell'attestazione. Una prova non deve sopravvivere a ciò che permette di interpretarla, e un segreto necessario a una verifica futura non deve scomparire prima di essa.

10Ciò che il sign-off non fa #sec_7f00df1c

Non corregge alcuna decisione. Constata ciò che è stato deciso, compreso ciò che lo è stato da una regola.

Non cambia alcuno stato di campagna, lotto o richiesta. Lo svolgimento appartiene al pipeline; il sign-off produce una prova accanto, con i suoi ranghi e i suoi stati di sigillo.

Non esegue nulla. Il confine è netto ed è strutturante per la rimediazione: il sigillo certifica la decisione, non la sua esecuzione. Che un accesso sia stato revocato nel sistema di origine rientra in un'altra prova e si dimostra altrove.

Non sostituisce la pista di audit. Si ancora ad essa.

11In sintesi #sec_1d07a18e

Il sign-off è il confine tra fare una revisione e poter dimostrare ciò che è stato rivisto.

Fissa il contesto, separa l'atto temporale dall'atto formale, non attribuisce mai una firma a una macchina, attende che la contestazione sia chiusa, rende le riprese deterministiche, completa con ranghi invece di riscrivere — e produce un'attestazione la cui integrità può essere esercitata da un terzo, non solo affermata.