O sign-off

01Do trabalho de revisão a uma atestação verificável #sec_8d4f2185

Numa revisão de acesso, terminar uma lista de decisões não é suficiente. É necessário poder estabelecer, mais tarde, qual perímetro foi examinado, segundo qual política, por quem, com quais decisões e em que condições. O sign-off é a função que transforma um trabalho de revisão terminado numa atestação duradoura.

As decisões pertencem ao desenrolar da campanha; a atestação pertence ao registo de prova. Ela não substitui o julgamento do revisor e não o corrige. Ela fixa o resultado, o contexto e a proveniência numa forma que pode ser verificada sem reinterpretar o estado atual do sistema.

A unidade probatória não é a decisão: é o perímetro. O REVIEWIT raciocina por lote de revisão — a parte confiada a um revisor para uma campanha dada. A atestação sela o perímetro completo do lote ao mesmo tempo que as decisões tomadas, o que fecha a contestação de auditoria mais difícil de refutar: « esse elemento, eu nunca o vi ».

02Dois atos que não devem ser confundidos #sec_5d9170c3

Uma campanha termina porque chega um prazo: é um facto temporal, e o sistema constata-o sozinho. Alguém pronuncia-se sobre o que foi revisto: é um ato formal, e pertence a uma pessoa.

O REVIEWIT separa estritamente os dois, e a consequência é explícita: o sistema nunca assina. Nenhuma expiração, nenhuma passagem de fundo, nenhuma regra de encerramento produz uma assinatura em nome de ninguém.

O que uma encerramento automático produz, quando a campanha o previu, são decisões de origem « regra » — identificadas como tais, com a regra aplicada e a sua origem não humana. Elas entram na atestação como as outras, mas nunca se disfarçam de julgamento humano.

Esta separação tem um custo, e é assumido: uma campanha pode terminar sem que ninguém tenha assinado. O produto prefere exibi-lo — uma cobertura cifrada honesta, incluindo o número de lotes não atestados — em vez de inscrever uma atestação que ninguém assume.

03Não se assina o que ainda pode ser contestado #sec_4647db05

Uma decisão de revisão pode ser contestada pela pessoa que a afeta, durante uma janela aberta após a decisão. Assinar antes do fim desta janela seria selar um resultado que uma contestação admissível ainda pode alterar.

O sign-off da campanha aguarda, portanto, o fim do período de contestação, calculado em dias úteis a partir das regras da campanha. A janela é exibida: o produto diz até quando é necessário esperar, em vez de recusar sem motivo.

Uma exceção, e apenas uma: se a campanha não produziu nada contestável, não há nada para esperar.

Em sentido inverso, uma contestação recebida após um selamento não reescreve nada. Ela produz um novo trabalho, portanto novas decisões, portanto uma nova atestação — que o nível seguinte agregará.

04O que é fixado no momento do sign-off #sec_6d93f41e

O sign-off tira um instantâneo de selamento. A partir deste instante, a construção da prova não relê mais os referenciais vivos: trabalha exclusivamente com os elementos fixados.

O instantâneo reúne nomeadamente:

• o perímetro exato do lote e a impressão da coleta de referência;
• as decisões, a sua origem — humana ou nascida de uma regra — e as regras por defeito efetivamente aplicadas;
• a versão de política fixada ao armamento da campanha, com os seus critérios;
• a identidade do decisor e, quando é distinta, a da pessoa que assinou;
• o modo de encerramento retido pela campanha;
• as versões de formato necessárias a uma verificação futura.

Esta fotografia protege a prova contra as mudanças posteriores. Um utilizador pode ser renomeado, uma política substituída, um referencial atualizado: a atestação continua a contar o que era verdade no momento do encerramento.

Duas categorias são tratadas explicitamente em vez de serem passadas em silêncio. Um elemento não decidido é contado e declarado; não é haxixe como uma decisão que não existe. Um elemento saído do perímetro — anulado, ou expirado em espera — não conta nem no avanço, nem na elegibilidade, nem no perímetro atestado; permanece listado.

O lote passa então por um estado de selamento explícito: está congelado, nenhuma decisão pode ser modificada e nenhum elemento pode ser adicionado. Este estado nunca é apresentado como uma atestação terminada. Ou a construção resulta, ou ela recomeça de maneira determinista a partir do mesmo instantâneo — um recomeço dá exatamente a mesma prova.

05Uma prova de integridade sem divulgar todo o lote #sec_ad54210d

A atestação envolve separadamente dois conjuntos: o perímetro examinado e as decisões tomadas. O REVIEWIT representa-os sob a forma de árvores de integridade. A sua raiz atua como uma impressão compacta: modificar um elemento, retirar um ou mudar uma decisão produz uma raiz diferente.

Este mecanismo permite uma verificação direcionada. Um auditor pode receber a prova de que um elemento preciso pertencia ao lote e tinha uma decisão dada, sem que todo o conteúdo da campanha seja divulgado. Os segredos que tornam esta prova possível são fornecidos pelo SEAL e nunca são expostos.

06Do lote à campanha: constatar a cobertura #sec_5f556982

Cada revisor atesta a sua parte. Restava a questão do topo: estas partes cobrem o perímetro da campanha?

Este é o objetivo do encerramento probatório da campanha. Ela agrega as atestações existentes e — para os elementos que nenhuma atestação cobre — a decisão atual, haxixe exatamente como as outras. Ela inscreve números: número de lotes, número de atestações, número de lotes não atestados.

Ela constata a cobertura, não a exige. Uma recusa de encerrar enquanto tudo não for atestado nunca diria nada de uma campanha real; um número honesto, sim. A única recusa é o caso vazio: uma campanha da qual nada foi atestado e da qual nenhuma decisão existe não tem nada para selar.

Uma regra de fundo, por outro lado, não se negocia: não se encerra um perímetro que ainda se move. Uma vaga visada deve ser terminada; uma campanha inteira exige que todas as suas vagas o sejam.

07Retificar sem reescrever: o ranking #sec_d12e5b19

Uma prova selada não se corrige. Ela se completa.

Quando as atestações chegam após um encerramento — uma contestação tratada, um relecteur atrasado —, o REVIEWIT não toca no ranking existente: ele pronuncia um novo, no mesmo perímetro. Os rankings são contados por perímetro: uma campanha inteira e cada uma de suas ondas têm sua própria sequência.

Um ranking superior carrega, selado em seu manifesto, a razão de sua existência e a impressão do ranking que o precede. A cadeia é, portanto, legível de ponta a ponta: cada ranking diz de onde vem e por que foi pronunciado. O ranking anterior permanece intacto, verificável e oponível.

08A ancoragem, depois o selo #sec_25ee923a

A integridade de uma atestação é demonstrada em duas etapas, e as duas provas se compõem.

A ancoragem inscreve a impressão da atestação na pista de auditoria, cuja cadeia é ela mesma infalsificável. O invariante é simples: nenhuma atestação observável pode existir sem ancoragem de prova.

O selo é emitido por uma autoridade externa ao produto, em uma conta distinta. O que a autoridade atesta é preciso, e deve ser dito tal qual: o ranking R do segmento S estava coberto por um selo que ela emitiu. Ela não atesta que tal impressão ocupa esse ranking — esse segundo link é demonstrado na cadeia, no cliente. Duas provas independentes, que não caem juntas.

Consequência prática, e ela conta: um pacote só se declara selado se puder citar seu selo. Enquanto o selo não estiver lá, ele se diz ancorado — nunca selado por otimismo.

09O que recebe o auditor #sec_5d0c3d07

O resultado explorável não é um status « terminado ». É um pacote de verificação coerente: o manifesto fixo, as raízes de integridade, as folhas ou os caminhos necessários, o estado de ancoragem e a citação do selo.

Três formas existem, de acordo com a questão colocada: o pacote completo de uma atestação, a prova pontual de um único elemento e o pacote de um encerramento de campanha.

Este pacote é verificado offline, por uma função pura, sem pedir nada ao REVIEWIT — é a propriedade que faz seu valor. Uma ferramenta de verificação independente é publicada com seu formato; um terceiro pode reimplementar o controle a partir da única especificação.

Um documento legível acompanha a atestação. É uma restituição do manifesto selado, composto uma única vez, com sua própria impressão: nunca é a fonte da verdade, e qualquer entrega serve a mesma cópia.

O leitor pode, assim, responder a quatro questões:

1. este perímetro é aquele que foi confiado ao relecteur?
2. as decisões apresentadas são aquelas que foram seladas?
3. quem decidiu e quem assinou?
4. sob qual política, em qual ranking e de acordo com qual modo o encerramento ocorreu?

A conservação do pacote segue a da atestação. Uma prova não deve sobreviver ao que permite interpretá-la, e um segredo necessário para uma verificação futura não deve desaparecer antes dela.

10O que o sign-off não faz #sec_7f00df1c

Não corrige nenhuma decisão. Ele constata o que foi decidido, inclusive o que foi decidido por uma regra.

Não altera nenhum estado de campanha, lote ou solicitação. O desenrolar pertence ao pipeline; o sign-off produz uma prova ao lado, com seus rankings e estados de selo.

Não executa nada. A fronteira é nítida e é estruturante para a remediação: o selo certifica a decisão, não sua execução. Que um acesso tenha sido revogado no sistema de origem pertence a outra prova e é demonstrado em outro lugar.

Não substitui a pista de auditoria. Ele se ancora nela.

11Em resumo #sec_1d07a18e

O sign-off é a fronteira entre fazer uma revisão e poder demonstrar o que foi revisado.

Ele fixa o contexto, separa o ato temporal do ato formal, nunca atribui uma assinatura a uma máquina, espera que a contestação seja encerrada, torna as retomadas determinísticas, completa com rankings em vez de reescrever — e produz uma atestação cuja integridade pode ser exercida por um terceiro, não apenas afirmada.