Đây là kịch bản minh họa, không phải câu chuyện khách hàng. Nó không dùng tổ chức thật, con người thật hoặc kết quả được tuyên bố. Mục đích là cho thấy pack Vendor Security có thể thực thi của Threada sẽ đưa một rà soát bảo mật thường lệ từ yêu cầu tới quyết định được ghi nhận như thế nào. Mọi surface mô tả bên dưới là năng lực sản phẩm thật; tình huống được tạo ra để minh họa.
Đội bảo mật dành một phần đáng kể trong tuần cho các rà soát phần lớn thường lệ và đôi khi nghiêm trọng. Một công cụ SaaS mới cần sign-off. Một vendor muốn xử lý dữ liệu khách hàng. Một ngoại lệ được yêu cầu so với chính sách hiện hành. Hầu hết theo một hình dạng quen thuộc; một số đòi hỏi xem xét thật kỹ. Phần khó hiếm khi là phân tích - mà là giữ mọi rà soát nhất quán, grounded trong bằng chứng và nằm trên record.
Đây là cách công việc đó chạy qua pack Vendor Security của Threada.
Hình dạng công việc
Vendor Security là một workspace pack với archetype case và ba intent đã định nghĩa:
- Vendor review - đánh giá vendor mới hoặc gia hạn theo chính sách.
- Data processing review - đánh giá vendor có được xử lý dữ liệu cụ thể hay không.
- Security exception - xử lý yêu cầu đi lệch khỏi một control hiện hành.
Người rà soát không cần quyết định mở form nào. Họ nêu intent, và runtime biến nó thành WorkItem có cấu trúc trên hàng đợi bảo mật.
Walkthrough
Hãy tưởng tượng một yêu cầu đến: một đội muốn dùng vendor analytics mới sẽ nhận dữ liệu sử dụng sản phẩm. Trong kịch bản này, yêu cầu đi qua một kênh intake đã cấu hình và trở thành WorkItem.
Intent. Người rà soát, hoặc người yêu cầu qua kênh, mô tả kết quả họ cần: “rà soát vendor analytics này để phê duyệt xử lý dữ liệu.” Runtime trích xuất vendor, các loại dữ liệu liên quan và risk flag ban đầu, rồi đưa vào hàng đợi Vendor Security.
Canvas. WorkItem mở ra trên adaptive canvas. Thay vì một form trống, workspace lắp các field mà loại rà soát này cần: loại dữ liệu, địa điểm xử lý, sub-processors, profile chính sách liên quan. Khi thiếu thông tin, nó hỏi chính xác điều đó, thay vì đưa ra một bảng câu hỏi không phân biệt.
Evidence. Evidence drawer giữ nền tảng của đánh giá: tài liệu vendor đã nộp, rà soát trước đó của cùng vendor và trích dẫn vào chính sách áp dụng. Nếu hệ thống không thể grounding một khẳng định cụ thể, nó ghi fallback reason thay vì khẳng định confidence không có thật. Người rà soát có thể thấy nhanh mỗi nguồn mới đến đâu.
Controls. Đây là nơi rà soát trở thành quyết định. Phê duyệt xử lý dữ liệu cho vendor mới là hành động có hệ quả, nên nó đi qua surface controls được quản trị: một đề xuất, rồi phê duyệt rõ ràng theo phiên bản chính sách đang hoạt động. Nếu chính sách yêu cầu người phê duyệt thứ hai cho loại dữ liệu này, gate sẽ thực thi. Không có gì được thực thi âm thầm.
Run log. Mọi bước tích lũy trong run log: intake, prompt xin thông tin thiếu, bằng chứng đã tham khảo, phê duyệt và ai đã đưa ra, cùng kết quả cuối cùng được ghi nhận. Vì hành động của participant AI xuất hiện như sự kiện actor riêng, log cho thấy rõ bước nào hệ thống xử lý và bước nào con người quyết định.
Đội ngũ còn lại điều gì
Cuối cùng, đội bảo mật có ba thứ mà bình thường họ phải tự lắp bằng tay:
- Một rà soát nhất quán. Cùng intent luôn tạo cùng hình dạng workspace, nên mức nghiêm ngặt không trôi giữa tuần bận và tuần yên.
- Một quyết định grounded. Phê duyệt gắn với bằng chứng cụ thể và phiên bản chính sách có tên, không phải trí nhớ của người rà soát.
- Một biên nhận. Toàn bộ rà soát nằm trên record, bảo vệ được trước auditor và dễ đọc cho người rà soát tiếp theo nhận case tương tự.
Rà soát thường lệ đi nhanh vì workspace làm phần lắp ráp. Những case nghiêm trọng nhận được rà soát đầy đủ của con người vì surface controls buộc như vậy. Sự phân chia đó - tự động hóa phần thường lệ, chuyển case thật sự khó cho con người - là toàn bộ điểm cốt lõi.
Vì sao chúng tôi công bố dưới dạng kịch bản
Chúng tôi có thể trình bày điều này như một câu chuyện thành công của khách hàng kèm một tỷ lệ ấn tượng. Chúng tôi sẽ không làm vậy. Cho tới khi một khách hàng thật, đồng ý công khai, chia sẻ kết quả thật, mọi thứ chúng tôi in ở đây là minh họa; chúng tôi thà dán nhãn trung thực hơn là ngụ ý bằng chứng chưa có.
Điều có thật là pack. Vendor Security là workflow có thể cài đặt trên cùng runtime được quản trị như mọi pack Threada khác, với các intent và năm surface đã mô tả ở trên. Nếu bạn muốn xem phiên bản có thể thực thi thay vì walkthrough, pack catalog là nơi bắt đầu.