Resposta direta
Mede-se por corroboração, não pela assinatura. Se o log não prova sozinho o que aconteceu, cada evento passa a valer pelo que outras fontes confirmam: registro da ferramenta de origem, bilhete de chamado, fila de mensagens, trilha de aprovação, resultado no sistema de destino. A medida é o grau de concordância entre essas fontes e a frequência de eventos sem nenhuma confirmação externa. Isso não transforma o log em prova criptográfica. Produz um nível de confiança declarado, com lacunas nomeadas, e permite decidir onde vale investir em assinatura.
- Objetivo
- Explicar medição
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata medição de confiança como corroboração entre fontes, e não como controle de qualidade do log em si.
O que o registro precisa sustentar
Antes de medir, é preciso nomear as perguntas que o registro tem de responder: quem acionou a automação, qual ação foi executada, sobre qual dado e sob qual aprovação. Sem assinatura, o log responde parte disso por declaração própria. A medição começa separando o que é afirmação do próprio log do que é verificação externa.
Essa separação define o escopo. Um log pode ser suficiente para reconstruir a sequência operacional e insuficiente para atribuir responsabilidade a uma pessoa específica. São exigências diferentes, com níveis de controle e de custo diferentes, e tratá-las como uma só leva a medição que não serve a nenhuma das duas.
Corroboração entre fontes independentes
A medida central é a taxa de eventos com confirmação externa. Cada evento do log é cruzado com o registro da ferramenta de origem, com o chamado que autorizou a execução, com a fila que transportou o comando e com o estado final no sistema de destino. O que se mede é a proporção de eventos que têm ao menos uma fonte independente concordando com eles.
O segundo número é a discordância. Quando duas fontes descrevem o mesmo evento com horários, identificadores ou resultados distintos, a divergência precisa de contagem e de nome. Divergência recorrente em um tipo de evento costuma indicar falha de instrumentação, não incidente. Discordância isolada em evento crítico indica risco e pede tratamento próprio.
Onde a medição por corroboração não alcança
Corroboração não substitui assinatura. Ela eleva o custo de adulteração sem impedi-la: quem controla todas as fontes pode ajustá-las de forma coerente entre si. Para disputa contratual, investigação formal ou exigência regulatória de não repúdio, a medição por fontes externas não fecha a exigência, e é melhor declarar isso do que apresentar o número como prova.
Também não se aplica quando o custo de cruzar fontes excede o risco do processo. Em automação de baixo impacto, com efeito reversível e sem dado sensível, corroborar cada evento consome mais do que protege. Nesses casos, a decisão defensável é registrar a ausência de verificação, com o critério que a justificou, em vez de simular um controle que não existe.
Recurso prático
Sinais de confiança e como medi-los sem assinatura
| Sinal de confiança | Como medir sem assinatura |
|---|---|
| Origem do disparo | Contar quantos eventos do log têm registro correspondente na ferramenta ou no agendador que acionou a ação |
| Coerência de horário | Comparar o carimbo do log com o horário do sistema de destino e com a janela do chamado que autorizou |
| Efeito no destino | Verificar se o resultado esperado existe no sistema de destino, não apenas se o comando foi emitido |
O erro mais comum é medir volume de log em vez de cobertura de confirmação: muitas linhas registradas não significam que os eventos críticos tenham qualquer fonte externa que os confirme.
Conceitos usados nesta página
- Trilha de auditoria — Trilha de auditoria é o conjunto de registros que permite reconstruir quem fez o quê, quando e com qual dado — inclusive depois que o resultado já foi usado.
Sobre o que está escrito aqui
Conceitos relacionados: trilha de auditoria · corroboração entre fontes · grau de confiança do evento · lacuna de registro · retenção do log. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Falha que volta: separar causa de sintoma — falha recorrente sem causa tratada
- Falha recorrente sem causa tratada: comparar… — falha recorrente sem causa tratada
Páginas relacionadas
O mesmo problema em outro objetivo
- Log sem assinatura de integridade: o que dá para afirmar — Diagnosticar
- Log sem assinatura: qual peso a evidência tem — Organizar um processo
- Log sem assinatura de integridade: o que comparar — Comparar alternativas
- Log sem assinatura de integridade: adulteração detectável — Orientar implementação
- Log sem assinatura de integridade: o que exigir no contrato — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Ausência de registros: o que precisa de comprovação — Como definir quais automações exigem registro, a partir das decisões que precisam ser comprovadas, e o que fazer com o período que já ficou sem histórico.
- Logs de automação: como comparar o que cada origem entrega — Compara origens de registro de automação pela decisão que cada uma sustenta, com critérios de retenção, guarda, correlação e limite de uso.
- Log sem retenção definida: como fixar prazo e descarte — Descreve como classificar logs por uso, fixar prazo de retenção, programar o descarte e registrar suspensões quando há investigação em curso.
- Revisão de acesso apenas na admissão: o que comparar — Compara formas de revisar acesso depois da admissão, o gatilho de cada uma e o que cada formato deixa de cobrir.
- Registro sem data confiável: como comparar alternativas — Compara três desenhos de registro de execução quando a data não é confiável: encadeamento por identificador, hora aproximada e fonte externa de tempo.