Audit Trail — a prova verificável

01Uma pista de prova, não um jornal de diagnóstico #sec_8812bfdf

Um jornal de aplicações ajuda um operador a compreender um incidente técnico. Uma pista de auditoria deve permitir que um cliente ou um auditor estabeleça quem fez o quê, em que perímetro, com que resultado e porquê. O REVIEWIT trata estas duas necessidades como duas áreas distintas.

O Audit Trail constitui o núcleo comum a todas as superfícies: autenticação, API, administração, campanhas, certificações, RITA e tratamentos de plataforma. As ações partilham um catálogo estável em vez de listas codificadas de forma diferente em cada aplicação.

O código de uma ação é a sua chave duradoura; a sua denominação é um recurso traduzível. Corrigir uma formulação não reescreve, portanto, a história, e as pesquisas permanecem fiáveis de uma versão para outra.

02Dois caminhos de captura, dependendo do que aconteceu #sec_1dcb577c

Um ato bem-sucedido e uma tentativa recusada não obedecem à mesma atomicidade.

Para um ato bem-sucedido, o evento de auditoria é escrito na mesma transação que a alteração de negócio, graças a uma outbox. Se a transação falhar, nem o ato nem o seu rasto de sucesso subsistem. Torna-se impossível observar uma mudança duradoura sem a entrada de auditoria correspondente.

Para uma tentativa, uma recusa ou um fracasso, o rasto segue um caminho autónomo. O ato não foi precisamente bem-sucedido, mas a sua tentativa pode ser importante para a segurança. Uma retomada garante que não é abandonada silenciosamente.

A política de falha é declarada por categoria de ação. Uma operação de segurança crítica pode ser recusada se o seu rasto não puder ser garantido. Para os outros atos, o negócio continua e um alerta sinaliza a degradação. Uma falha de auditoria não é, portanto, nem sempre bloqueante, nem sempre ignorada: o seu efeito é decidido explicitamente.

03O conteúdo útil, e só ele #sec_8dce8c36

Um evento responde às questões essenciais: identidade do ator, papel efetivo, eventual ator de empréstimo, tempo UTC, código de ação, resultado, subscrição, workspace, campanha, alvo, modificação, motivo, canal e correlação.

Os parâmetros descrevem a intenção; as modificações descrevem o que realmente mudou. A identidade e o rótulo do alvo são fixos para que o evento permaneça legível após a saída de uma pessoa ou a renomeação de um recurso.

A minimização continua a ser uma regra de prova: a pista regista o ato, não uma cópia geral dos dados. Os valores sensíveis são mascarados ou qualificados. Uma consulta de dados pessoais, uma exportação ou a leitura de uma prova pode ela própria tornar-se um evento de auditoria.

A visibilidade segue o perímetro. O administrador da subscrição e o auditor veem a subscrição de acordo com o seu mandato; o administrador do workspace só vê o que diz respeito ao seu workspace. O papel de Auditor permanece apenas de leitura: consultar a prova não deve permitir pilotar o sistema observado.

04Uma cadeia cuja alteração é visível #sec_5a62e85f

Cada evento possui uma sequência, a impressão do evento anterior e a sua própria impressão calculada sobre uma forma canónica. Remover, reordenar ou modificar uma entrada rompe a cadeia.

Selos periódicos assinam a cabeça da cadeia. Eles elevam a garantia além da simples encadeação, separando a capacidade de escrever a base daquela de assinar o seu estado. Uma ancoragem externa pode reforçar ainda mais esta garantia face a uma comprometimento completo do operador.

O relatório de verificação nunca afirma mais do que demonstra. Especifica o início do período garantido, o último selo controlado, o número de eventos mais recentes cobertos apenas pelo encadeamento e a eventual presença de marcos de purga.

A assinatura de uma exportação responde a outra questão: atesta que o documento corresponde à extração produzida. Não substitui o selo da pista. Uma exportação indica, portanto, a que cabeça e a que selo se ancora.

05Pesquisar, exportar, verificar e conservar #sec_f798b47c

O Audit Trail oferece quatro leituras complementares:

• pesquisar por ator, ação, período, perímetro, alvo, resultado ou correlação;
• restituir um encadeamento compreensível por um auditor não técnico;
• exportar de forma incremental ou alimentar o BEACON;
• verificar a continuidade, as impressões digitais e os selos num relatório reprodutível.

O arquivamento e a purga não se confundem. O arquivamento move os corpos dos eventos para um armazenamento frio, deixando a cadeia verificável e o conteúdo repatriável. A purga destrói o conteúdo e conserva apenas os marcos necessários para provar que uma supressão legítima, e não uma falsificação, ocorreu.

A base de auditoria — ações de segurança, habilitações, segredos, tenants, governança de RITA e operações do próprio módulo — é protegida e não desativável. As leituras correntes podem ser amostradas quando são muito numerosas; as consultas sensíveis e os atos críticos nunca o são.

06Em resumo #sec_95815aed

O Audit Trail transforma a atividade do REVIEWIT num relato ordenado, mínimo e verificável. Liga o rasto ao sucesso do ato, conserva as tentativas que falham, torna qualquer alteração detetável e expõe claramente o nível de garantia realmente alcançado.