Kepatuhan & bukti
Kepatuhan bukan tangkapan layar yang kamu ambil saat audit. Kontrol kamu berjalan sebagai policy di dalam path setiap perubahan, setiap aksi masuk ke jejak yang tamper-evident, dan kamu mengekspor buktinya sebagai satu bundle. Kamu menyerahkan bukti kepada asesor, bukan sekadar cerita.
Cara kerjanya
Kontrol kamu hidup sebagai policy as code: berversi, di-review rekan, dan diuji. Kontrol berjalan sebagai gate di dalam pipeline kamu dan pada akses ke aksi platform, sehingga sebuah kontrol tidak bisa terlewat hanya karena lupa.
Setiap aksi yang ter-governance menulis sekali ke jejak audit ber-hash-chain SHA-256. Sebuah edit diam-diam memutus rantai dan langsung terlihat, sehingga catatan tentang siapa melakukan apa tidak bisa ditulis ulang.
Saat auditor meminta, kamu mengekspor satu bundle bukti yang dipetakan ke framework yang kamu laporkan, bukan menyusun tangkapan layar dari belasan tool.
Framework
Setiap bundle memetakan kontrol kamu ke sebuah framework sehingga kamu bisa berbicara dalam bahasa asesor. Bundle ini membantu kamu menunjukkan kontrol kamu. Bundle dipetakan ke framework; bundle bukan sertifikasi dan tidak mengeklaim sebagai sertifikasi.
Kontrol dipetakan ke Trust Services Criteria, dievaluasi pada setiap run.
Kontrol Annex A sebagai policy bundle yang bisa kamu baca, versikan, dan uji.
Alur kerja ekspor data dan hak penghapusan data, dengan catatan yang mendukungnya.
Sebuah bundle untuk kontrol yang masuk lingkup tim data pemegang kartu.
Kontrol pengamanan yang dipetakan untuk tim yang menangani PHI.
Famili kontrol dipetakan sebagai policy yang berversi dan teruji.
Pemetaan kontrol sektor publik untuk lembaga dan vendor mereka.
Apa yang mendukungnya
Aturan tata kelola sebagai kode berversi dan teruji yang menjadi gate bagi pipeline dan aksi platform, dengan setiap keputusan tercatat.
JelajahiJejak audit yang tamper-evident dan append-only serta ekspor bukti satu bundle, dengan bundle yang dipetakan ke framework umum.
JelajahiPembacaan postur kamu yang berbasis bukti, dibangun dari apa yang diamati platform, sehingga kamu menargetkan celah yang nyata.
JelajahiKontrol yang disusun admin, wajib atau opsional per tier, ditegakkan saat onboarding, saat deploy, dan secara berkelanjutan.
JelajahiAkses just-in-time dan berbatas waktu dengan sinkronisasi direktori dan loop rekonsiliasi yang menarik akses kembali ke arah least privilege.
JelajahiRow-level security yang ditegakkan database mencegah satu tenant membaca tenant lain, tertutup secara default, di bawah lapisan aplikasi.
JelajahiScorecards mengukur setiap service terhadap kontrol dari waktu ke waktu, sehingga kepatuhan tidak diam-diam memburuk di antara audit. Kamu melihat drift saat terjadi, bukan seminggu sebelum review.
Jalankan seluruh platform sendiri, hingga air-gapped, sehingga jejak audit dan bukti kamu tidak pernah keluar dari batas yang menjadi tanggung jawab kamu. Lihat deployment berdaulat.
Lihat policy gate, jejak yang tamper-evident, dan ekspor satu bundle berjalan di service kamu sendiri.