Ce qui survit à l'audit

Une auditrice est assise en face de vous. Ni l'inspecteur incendie, ni l'assureur. Celle qui décide si votre site répond encore à la norme à laquelle il est tenu. Elle a une seule question, et elle la posera sous une douzaine de formes jusqu'à ce qu'elle soit satisfaite. Montrez-moi qui pouvait ouvrir la porte la plus importante de votre site, quand, selon quelle règle et qui l'a approuvé. Puis montrez-moi comment cela a changé au cours des dix-huit derniers mois.

Dans le premier numéro, j'avançais que la question de l'identité est tranchée. Okta et Workday ont pris ce terrain il y a dix ans, et le secteur de l'accès n'a jamais été dans la pièce. Le débat a avancé, et c'est là qu'il s'est déplacé. Non pas vers qui est quelqu'un. Mais vers ce qui survit à l'audit.

Un système de contrôle d'accès sérieux doit faire deux choses qui comptent pour l'auditrice, et elles tirent dans des directions opposées. Il doit maintenir le bon accès en place alors que rien de visible ne se passe. Aucun incident, aucune alarme, personne qui regarde. L'accès de la prestataire externe prend fin quand son contrat prend fin, que quelqu'un s'en souvienne ou non. Et il doit laisser des preuves qui tiennent encore dix-huit mois plus tard, quand les personnes qui ont pris les décisions sont parties depuis longtemps et qu'il ne reste que l'enregistrement.

Aucun des deux ne réside dans l'identité. L'identité sait qui est la prestataire. Elle ne sait pas quelles trois clés se trouvent encore dans son tiroir, quelles portes elles ouvrent, ni que l'une d'elles aurait dû revenir en mars. Elle ne détient pas la règle. Elle ne détient pas la preuve.

Votre journée est faite de petits mouvements. Quelqu'un arrive, quelqu'un change de bâtiment, quelqu'un part, une prestataire externe a besoin d'une clé pour une semaine, un responsable approuve une exception par téléphone parce que la règle tombe mal à seize heures. Chacun est mineur. Aucun ne ressemble à ce sur quoi une auditrice va s'arrêter. La journée de l'auditrice est l'inverse. Les mille petits mouvements ne l'intéressent pas. Ce qui l'intéresse, c'est celui qui n'aurait pas dû se produire, ou celui dont vous ne pouvez pas prouver qu'il était voulu.

C'est la couche que le secteur ne cesse de contourner. L'identité dit qui est quelqu'un. La couche en dessous dit ce qui aurait dû se passer, puis prouve ce qui s'est passé. Des plannings, des zones, des limites horaires, la règle qui définit quel rôle ouvre quelles portes à quelles heures et aucune autre. L'enregistrement de qui détenait quelle clé, qui a signé pour elle et quand elle est revenue. Le système RH ne le porte pas. La serrure ne peut pas le conserver. C'est la couche qui porte la règle et conserve la preuve, et le seul endroit où la question de l'auditrice peut réellement trouver une réponse.

Il existe une réponse confortable à tout cela, et c'est la mauvaise. C'est un meilleur cylindre. Une serrure plus intelligente, un cœur mécatronique, une clé numérique que vous pouvez désactiver depuis un écran. Du matériel utile, tout cela. Mais un site sérieux n'est pas rendu sûr par une serrure plus astucieuse sur la porte. Il est rendu sûr par la couche qui savait que la porte devait s'ouvrir à trois personnes en mars dernier, peut montrer exactement que ces trois-là détenaient les clés, et consigne le jour où la quatrième a été retirée de la liste. KRITIS n'est pas un problème de matériel. Cela ne l'a jamais été.

C'est la partie du système qui reste invisible tant que le travail se passe bien, et la seule partie qui compte au moment où quelqu'un vous demande de le prouver.

Rien du travail quotidien ne disparaît. Les clés circulent, les gens partent, les approbations se font sur le moment. La bonne couche n'arrête rien de tout cela. Elle l'enregistre, la confronte à la règle, et garde la réponse prête pour le jour où elle sera demandée. Le cylindre fait ce qu'on lui dit. L'audit demande qui le lui a dit, et pourquoi.