سناریوی مرجع
سه هفته جمعآوری شواهد، یا یک خروجی؟
جمعآوری شواهد در یک روز، نه سه هفته
این یک مطالعهٔ موردی مشتری نیست. یک الگوی پیادهسازی است: وضعیتی که در ارزیابی الزامات سازمانی جمع کردهایم، با معماری راهحل و مکانیزم دقیقی که آن را ممکن میکند. چرا هنوز مشتری مرجع عمومی نداریم
ممیزی سالانه. فهرست درخواستها میآید: چه کسی به چه چیزی دسترسی دارد، چه تغییراتی در تولید انجام شده، بکاپها تست شدهاند، دسترسیهای اضطراری چه بوده، و اثبات کنید لاگها دستکاری نشدهاند.
تیم سه هفته وقت میگذارد، از پنج سامانهٔ مختلف اسکرینشات میگیرد، و در نهایت چیزی تحویل میدهد که خودش هم مطمئن نیست کامل است.
درخواست ممیز و پاسخ پلتفرم
| ممیز میخواهد | دزکوب چه میدهد |
|---|---|
| فهرست دسترسیها | نمای کامل: چه کسی، در چه محدودهای، با چه نقشی |
| تغییرات تولید | زنجیرهٔ ممیزی با فیلتر زمانی و خروجی CSV |
| اثبات دستکارینشدن | زنجیرهٔ هش؛ تغییر یک ردیف قدیمی، ناسازگاری قابل تشخیص میسازد |
| تفکیک وظایف | تاریخچهٔ تأییدهای چهارچشمی |
| دسترسیهای اضطراری | فهرست کلید اضطراری با دلیل، مدت و بازبینی |
| دسترسیهای موقت | چرخهٔ کامل درخواست، تأیید، انقضا |
| تست بکاپ | گزارش مانور با عدد واقعی و نتیجهٔ قبول یا مردود |
| اقامت داده | گزارش اینکه کجا داده نگهداری و پردازش شده |
| اجزای نرمافزار | SBOM ایمیجهای در حال اجرا |
| وضعیت کنترلها | کارنامه با شواهدی که هر نتیجه را ساخت |
شواهد را جمع نمیکنیم؛ صادر میکنیم.
همهٔ موارد بالا در یک خروجی واحد جمع میشوند — بستهٔ شواهد.
چرا زنجیرهٔ هش فرق میکند
| لاگ معمولی | زنجیرهٔ ممیزی دزکوب | |
|---|---|---|
| ویرایش یک ردیف قدیمی | ممکن و نامرئی | زنجیره را میشکند |
| حذف یک ردیف | ممکن و نامرئی | قابل تشخیص |
| ثبت تلاش ناموفق | معمولاً نه | بله |
| زمان ثبت | بعد از عمل | پیش از عمل |
| هرس پس از دورهٔ نگهداری | ردیف کاملاً ناپدید میشود | لنگر باقی میماند — میشود ثابت کرد چیزی حذف شده |
آخرین ردیف مهم است
یعنی نگهداری محدود، ارزش اثباتی زنجیره را از بین نمیبرد.
ارزیابی مستمر
بهجای اینکه سالی یک بار بفهمید چیزی خراب است.
- ارزیابی دورهای
- کنترلها روی وضعیت واقعی سنجیده میشوند
- کارنامه
- امتیاز به تفکیک محورهای حاکمیتی
- هشدار
- کنترلی که مردود شود اعلان میسازد
- روند
- تغییرات در طول زمان
قاعدهٔ سخت
هیچ ارزیابیای وضعیت خودش را به بالا گرد نمیکند. وضعیت «نصبشده» از خود کلاستر خوانده میشود، نه از پیکربندی استنتاج.
چه چیزی را باید بدانید
- دزکوب گواهینامهٔ انطباق صادر نمیکند و جایگزین فرآیند ممیزی سازمان شما نیست. آنچه ارائه میدهد کنترلهای فنی و شواهدی است که آن فرآیند به آن نیاز دارد.
اینها را هم ببینید
فهرست درخواستهای ممیز پارسالتان را بیاورید.
بند به بند نشان میدهیم کدامها از یک خروجی درمیآیند و کدامها نه.