Antes de agir
Identificar a pessoa e a organização, conferir o papel e delimitar quais informações e ações estão disponíveis.
Identidade e permissõesCatalisa / GovernançaConfiança tem
Confiança tem
estrutura.
Quem pode agir. O que precisa de revisão. Como entender o que aconteceu. Governança conecta essas respostas à operação.
Explore as responsabilidades ↓Mais clareza para agir.
Mais contexto para responder.
Mais contexto para responder.
A base oferece mecanismos.
A operação dá direção.
A governança aparece no desenho de cada jornada: nos acessos, nas regras, na revisão e nos registros que ajudam a reconstruir o trabalho.
A plataforma conecta essas capacidades. Cada organização define sua política, configura os controles e valida se eles atendem ao contexto em que vai operar.
Antes, durante e depoisUma ação precisa
Uma ação precisa
fazer sentido
em cada momento.
Quando a ação exige revisão
Definir o que precisa de outra pessoa, em qual etapa e com qual autoridade. O desenho da aprovação faz parte da jornada.
Política de acessoDepois de acontecer
Relacionar a ação aos registros disponíveis, à mudança realizada e à regra que orientou o resultado.
Histórico e evidênciasDuas pessoas. Responsabilidades diferentes.Um pedido não precisa
Um pedido não precisa
ser a própria aprovação.
Experimente a separação entre
quem solicita e quem revisa.
Uma leitura do princípio de quatro olhosPrepare.
Prepare.
Confira.
Decida.
O IAM documenta uma política de revisão por segunda pessoa para mudanças de acesso sensível cobertas por esse controle.
Quando a política da organização está ativada, a alteração gera um pedido. A revisão cabe a outra pessoa autorizada da mesma organização.
Este é um exemplo local e ilustrativo. Não altera permissões. O escopo real depende da política ativada e das ações cobertas no IAM.
Veja o escopo documentadoEXEMPLO / MUDANÇA DE ACESSO SENSÍVELPedido ainda não criado
Conceder um papel
de acesso sensível.
Uma pessoa solicita. Outra pessoa autorizada revisa, na mesma organização.
SolicitantePrepara o pedido
RevisorConfere e decide
Comece pela pessoa A e prepare o pedido.
Quando chega a pergunta: o que aconteceu?O histórico precisa
O histórico precisa
ajudar a contar a história.
Uma alteração ganha contexto quando é possível relacionar quem agiu, o que mudou e qual referência foi utilizada.
LEITURA ILUSTRATIVA / SEM DADOS REAISUma mudança.
Uma mudança.
Mais de uma
pergunta.
Os registros vêm das capacidades responsáveis. O exemplo organiza as perguntas que uma investigação precisa responder.
Pessoa, sistema e organização
O contexto de identidade acompanha a ação conforme o mecanismo utilizado.
Recurso e alteração
O histórico pode mostrar o estado anterior e o que ficou depois.
Referência e versão
Uma avaliação pode ser relacionada à versão da política que foi publicada.
Eventos efetivamente registrados
A trilha depende dos eventos que cada capacidade publica. A cobertura precisa ser conferida.
Audit Trail está em Beta. Retenção declarada não significa eliminação automática; configuração, coleta e procedimentos operacionais precisam estar ativos. A integridade verificável da trilha tem limites documentados.
Consulte a cobertura e os limitesA governança acompanha
o tipo de trabalho.
Uma visão dos acessosPessoas, papéis
Pessoas, papéis
e estados precisam
ser compreensíveis.
Uma interface ajuda a equipe a conferir quem participa da operação e em qual condição. A permissão continua sendo aplicada pela capacidade responsável.
Interface de referência do guia da plataforma bancária: protótipo com dados de exemplo. A tela não comprova a disponibilidade de todos os fluxos apresentados.
Explore a Plataforma bancáriaConsole / Pessoas e acessoAmpliar ↗
Capacidades por trás dos controlesCada mecanismo tem
Cada mecanismo tem
um papel e um estágio.
Explore o propósito da capacidade
e consulte os limites antes de integrar.
IAMProdução↗API KeysProdução↗Decision EngineProdução↗Audit TrailBeta↗BiometricsAlpha↗Feature FlagsProdução↗
Identidade e acesso
Reconhecer a pessoa, a organização e as permissões que acompanham a ação.
Acesso entre sistemas
Delimitar o que uma integração pode consultar ou realizar.
Regras com referência
Identificar a versão de política utilizada em uma avaliação.
Histórico de alterações
Consultar os eventos publicados, com contexto sobre o que mudou.
Verificação de identidade
Associar a avaliação e suas evidências à sessão de verificação.
Mudança por etapas
Controlar a exposição de uma função conforme a configuração do produto.
Para avaliar com clarezaConfiança também
Confiança também
é conhecer o escopo.
Ter uma trilha significa registrar tudo?
Não. A trilha depende dos eventos publicados pelas capacidades. Verifique quais ações estão cobertas, se a coleta está habilitada e quais registros estão disponíveis na sua composição.
O princípio de quatro olhos vale para qualquer ação?
O mecanismo documentado no IAM cobre mudanças de acesso sensível previstas pela política, quando ativada. Aprovação de pagamentos, documentos ou outras ações precisa de desenho e validação próprios.
Um agente pode usar tudo porque recebeu uma instrução?
As instruções orientam o comportamento. O acesso às ferramentas e às ações precisa de controles próprios, configurados para o papel e o contexto em que o agente participa.
Definir um prazo de retenção já elimina os registros?
Não. A documentação do Audit Trail distingue a política declarada da execução do procedimento de eliminação. A operação precisa configurar e acompanhar esse processo, considerando os limites documentados.
Esses mecanismos garantem conformidade por si só?
Eles fornecem recursos para o desenho de controles. Política, configuração, cobertura, operação e avaliação de suficiência dependem do contexto da organização. Não equivalem a uma certificação automática.
Por onde começar a avaliação?
Escolha uma jornada. Identifique quem atua, que informações utiliza, quais ações exigem revisão e que registros precisam estar disponíveis. Cruze essa necessidade com o estágio e os limites das capacidades escolhidas.
Autonomia que encontra responsabilidadeConstrua o próximo passo.