Valeo · security governance / 2026. január
Az evidencia neve nem source of truth
Ugyanarra a kontrollra több fájlnév, mappa és emberi megnevezés létezett. A valódi kérdés nem az volt, hogyan nevezzük el, hanem hogyan bizonyítjuk, hogy melyik az aktuális.
A helyzet
Nagy szervezetben természetes, hogy egy bizonyíték több csatornán él: SharePointon, ticketben, exportban, riportban vagy egy csapat saját mappájában. Audit előtt viszont ez azonnal fájdalmas lesz. Két azonos nevű fájl közül az egyik lehet régi, a másik lehet friss, és pusztán a fájlnévből semmi nem derül ki a keletkezéséről.
A megoldási út
A nyilvántartásban ezért a dokumentum nevén túl rögzítettem a forrást, a felelős rendszert, az érvényességi időt és azt, milyen kérdésre válaszol az adott evidencia. Ahol lehetett, az exportált fájl helyett a keletkezési rendszerre hivatkoztam. A cél az volt, hogy egy auditor vagy egy másik mérnök később ugyanazon az úton újra elő tudja állítani a bizonyítékot.
Mi lett belőle
Kevesebb lett az olyan vita, hogy „ez ugyanaz a fájl-e”, és könnyebb lett észrevenni az elavult vagy kézzel másolt anyagokat. A bizonyítékot nem végtermékként, hanem reprodukálható lekérdezés vagy folyamat eredményeként kezdtük kezelni, ami később a frissítést is gyorsította.