Il problema
Un auditor chiede chi ha usato il portale dei pagamenti martedì scorso e chi lo ha approvato. Il log del fornitore dice “finance@”. L’approvazione era un messaggio in chat. Nessuno può dirlo con certezza.
Come lo gestisce LayerT
- Ogni decisione in un unico posto. Richieste, approvazioni ed eccezioni passano dall’Inbox della console, con il nome dell’approvatore e il motivo. Gli approvatori possono decidere anche da email o Slack, e il log registra dove è stata presa ogni decisione.
- Ogni sessione, attribuita. Chi ha usato quale account condiviso, quando, per quanto tempo e come si è conclusa la sessione.
- Parole semplici. Il log di audit è scritto per essere letto da un auditor, non decifrato da un ingegnere.
- Registrazioni dove servono, cifrate, con ogni visualizzazione registrata a nome di chi guarda e con il suo motivo.
- Una separazione dei compiti dimostrabile. L’IT configura. La compliance concede le eccezioni. Nessuno approva la propria richiesta.
- Revisioni degli accessi programmate. Ogni trimestre il titolare di ogni account condiviso conferma chi ne ha ancora bisogno, vedendo chi lo ha effettivamente usato. Il risultato è un report stampabile e un CSV con checksum.
Buono a sapersi
- LayerT produce evidenze per i vostri audit. LayerT stesso non è ancora certificato.
- Gli eventi di audit vengono conservati per 365 giorni di default. Filtrateli per persona, account, regola o data, ed esportate esattamente ciò che vedete in CSV o JSON Lines. Ogni esportazione viene a sua volta registrata.
- Il log di audit non rende ancora evidenti le manomissioni: è protetto dal controllo degli accessi, e le esportazioni includono checksum.
