Bu açıklayıcı bir senaryodur, bir müşteri hikâyesi değil. Hiçbir gerçek kuruluş, hiçbir gerçek kişi ve hiçbir iddia edilen sonuç kullanmaz. Amacı, Threada’nın çalıştırılabilir Vendor Security pack’inin rutin bir güvenlik incelemesini talepten kayıtlı bir karara kadar nasıl taşıyacağını göstermektir. Aşağıda açıklanan her yüzey gerçek bir ürün yeteneğidir; durum açıklama amacıyla uydurulmuştur.
Güvenlik ekipleri, haftalarının şaşırtıcı derecede büyük bir bölümünü çoğunlukla rutin ve ara sıra ciddi olan incelemelere harcar. Yeni bir SaaS aracının onaya ihtiyacı vardır. Bir tedarikçi müşteri verilerini işlemek ister. Mevcut bir politikaya karşı bir istisna talep edilir. Bunların çoğu bilinen bir biçimi izler; birkaçı gerçek bir incelemeyi gerektirir. Zor kısım nadiren analizdir — her incelemeyi tutarlı, kanıta dayalı ve kayıt altında tutmaktır.
İşte bu işin Threada’nın Vendor Security pack’i aracılığıyla nasıl yürüyeceği.
İşin biçimi
Vendor Security, bir case arketipi ve üç tanımlı intent’e sahip bir workspace pack’idir:
- Tedarikçi incelemesi — yeni veya yenilenen bir tedarikçiyi politikaya göre değerlendirmek.
- Veri işleme incelemesi — bir tedarikçinin belirli verileri işleyip işleyemeyeceğini değerlendirmek.
- Güvenlik istisnası — mevcut bir kontrolden sapma talebini ele almak.
Bir incelemeci hangi formu açacağına karar vermek zorunda değildir. intent’i belirtir ve çalışma zamanı bunu güvenlik kuyruğunda yapılandırılmış bir WorkItem’a dönüştürür.
Bir gezinti
Bir talebin geldiğini hayal edin: bir ekip, ürün kullanım verilerini alacak yeni bir analitik tedarikçisini benimsemek istiyor. Bu senaryoda, yapılandırılmış bir alım kanalı aracılığıyla gelir ve bir WorkItem haline gelir.
Intent. İncelemeci (veya bir kanal aracılığıyla talep eden) ihtiyaç duyduğu sonucu tanımlar — “bu analitik tedarikçisini veri işleme onayı için incele.” Çalışma zamanı tedarikçiyi, söz konusu veri kategorilerini ve bir başlangıç risk işaretini çıkarır ve bunu Vendor Security kuyruğuna kaydeder.
Canvas. WorkItem uyarlanabilir bir canvas üzerinde açılır. Boş bir form yerine, workspace bu tür bir incelemenin ihtiyaç duyduğu alanları bir araya getirir: veri kategorileri, işleme konumu, alt işleyiciler, ilgili politika profili. Bilginin eksik olduğu yerde, ayrımsız bir anket sunmak yerine tam olarak onu ister.
Kanıt. Kanıt çekmecesi, değerlendirmenin dayandığı şeyi tutar — tedarikçinin sunduğu belgeler, aynı tedarikçinin önceki incelemeleri ve uygulanan politikaya yapılan atıflar. Sistem belirli bir iddiayı temellendiremezse, sahip olmadığı bir güveni iddia etmek yerine bir geri dönüş nedeni kaydeder. İncelemeci, her kaynağın ne kadar güncel olduğunu bir bakışta görebilir.
Kontroller. Bir incelemenin bir karara dönüştüğü yer burasıdır. Yeni bir tedarikçi için veri işlemeyi onaylamak sonuçları olan bir action’dır, bu yüzden yönetişimli kontroller yüzeyinden geçer: bir öneri, ardından aktif politika sürümüne karşı açık bir onay. Politika bu veri kategorisi için ikinci bir onaylayıcı gerektiriyorsa, kapı bunu zorunlu kılar. Hiçbir şey sessizce yürütülmez.
Çalıştırma günlüğü. Her adım çalıştırma günlüğünde birikir — alım, eksik bilgi istemleri, başvurulan kanıtlar, onay ve onu kimin verdiği ve son kaydedilen sonuç. AI katılımcı action’ları ayrı actor olayları olarak göründüğünden, günlük hangi adımları sistemin yürüttüğünü ve hangilerini bir insanın karar verdiğini açıkça gösterir.
Ekibin elinde kalan
Sonunda, güvenlik ekibinin elinde aksi takdirde elle bir araya getirmesi gereken üç şey vardır:
- Tutarlı bir inceleme. Aynı intent her zaman aynı workspace biçimini üretir, böylece incelemeler yoğun bir hafta ile sakin bir hafta arasında titizlik bakımından sapmaz.
- Temellendirilmiş bir karar. Onay, bir incelemecinin hatırasına değil, belirli kanıtlara ve adlandırılmış bir politika sürümüne bağlıdır.
- Bir makbuz. İncelemenin tamamı kayıt altındadır — bir denetçiye karşı savunulabilir ve benzer bir vakayı devralan bir sonraki incelemeci için okunabilir.
Rutin incelemeler hızla ilerler çünkü bir araya getirmeyi workspace yapar. Ciddi olanlar tam insan incelemesi alır çünkü kontroller yüzeyi bunda ısrar eder. Bu ayrım — rutini otomatikleştirmek, gerçekten zor vakaları insanlara yönlendirmek — bütün mesele budur.
Bunu neden bir senaryo olarak yayımlıyoruz
Bunu, eklenmiş etkileyici bir yüzdeyle bir müşteri başarı hikâyesi olarak süsleyebilirdik. Yapmayacağız. Gerçek, rızası alınmış bir müşteri gerçek sonuçlar paylaşana kadar, burada bastığımız her şey bir açıklamadır ve bunu sahip olmadığımız bir kanıtı ima etmektense dürüstçe etiketlemeyi tercih ederiz.
Gerçek olan pack’tir. Vendor Security, yukarıda açıklanan intent’ler ve beş yüzey ile, diğer her Threada pack’i ile aynı yönetişimli çalışma zamanında bulunan kurulabilir bir iş akışıdır. Gezinti yerine çalıştırılabilir sürümü görmek isterseniz, pack kataloğu başlamak için doğru yerdir.