Resposta direta
Não existe uma única forma correta. Existem quatro caminhos, e a escolha depende de quem pode alterar o log e de quanto tempo ele precisa resistir. Assinatura por evento protege cada registro e permite provar origem e ordem. Encadeamento por hash liga um registro ao anterior e denuncia remoção. Carimbo de tempo externo prova que o registro existia numa data. Cópia em meio sob controle de outra área protege contra quem administra o sistema. O ponto de partida não é a tecnologia: é listar quem tem poder de escrita sobre o log hoje.
- Objetivo
- Comparar alternativas
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Compara os quatro caminhos pelo tipo de prova que cada um entrega, com o limite de cada um e a pergunta de quem guarda a chave
O que cada alternativa prova
Assinatura por evento responde por origem e integridade de cada registro. Encadeamento por hash responde por ordem e por ausência: se um registro for removido, a sequência deixa de fechar. Carimbo de tempo externo responde por anterioridade, ou seja, que o registro existia antes de uma data. Cópia sob guarda de outra área responde por controle de acesso.
São respostas diferentes. Um encadeamento bem feito não impede que o operador reescreva a cadeia inteira se tiver acesso a tudo. Uma assinatura forte não impede apagar o último registro, se nada ligar os eventos entre si. A comparação só faz sentido quando o risco declarado está claro.
Escolha pelo risco, não pelo padrão
O critério é quem pode alterar o log e o que essa pessoa ganharia com isso. Se o risco está no operador do robô, a guarda precisa ficar fora do alcance dele, em conta ou domínio diferente. Se o risco está na área de tecnologia, a verificação precisa passar por auditoria ou controle interno.
Cada alternativa traz custo de operação: chave a distribuir, relógio a sincronizar, armazenamento a manter, verificação a executar. O que deveria ser medido antes de decidir é a frequência da verificação de integridade e o tempo entre a alteração do log e a descoberta dela. Sem esse número, a escolha vira preferência técnica.
O que a integridade não cobre
Assinatura e encadeamento provam que o registro não mudou depois de gravado. Não provam que o registro estava correto quando foi criado. Um evento falso, gerado por processo legítimo, passa por qualquer verificação de integridade.
Também não cobrem o que nunca foi registrado. Campo ausente, decisão não logada e erro engolido por tratamento de exceção ficam invisíveis, por mais forte que seja a assinatura. Integridade é condição de confiança no dado, não substituto de completude nem de revisão de conteúdo.
Recurso prático
Quatro caminhos de integridade e o que cada um prova
| Alternativa | O que passa a ser possível provar | Limite principal |
|---|---|---|
| Assinatura por evento | Origem e integridade de cada registro, de forma isolada | Não indica se algum registro foi removido da sequência |
| Encadeamento por hash | Ordem dos eventos e ausência de remoção no meio da cadeia | Perde valor se quem opera tem acesso à cadeia inteira e pode reescrevê-la |
| Carimbo de tempo externo | Que o registro existia antes de uma data, por referência fora do sistema | Depende de serviço externo disponível e de relógio sincronizado |
| Cópia sob guarda de outra área | Que existe versão fora do alcance de quem administra a automação | Só vale se a área que guarda não tiver interesse no mesmo resultado |
O erro mais comum é assinar apenas o resultado final da execução e deixar as decisões intermediárias fora do escopo, o que permite trocar o caminho sem quebrar a assinatura. O ponto mais ignorado é quem guarda a chave: se a mesma área opera o robô, assina e verifica o log, a prova perde valor mesmo com assinatura bem feita.
Conceitos usados nesta página
- Trilha de auditoria — Trilha de auditoria é o conjunto de registros que permite reconstruir quem fez o quê, quando e com qual dado — inclusive depois que o resultado já foi usado.
Sobre o que está escrito aqui
Conceitos relacionados: assinatura por evento · encadeamento de hash · carimbo de tempo externo · guarda de chave · trilha de auditoria. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Chave de API sem validade: o que exigir no co… — chave de API sem prazo de validade
- Permissão de teste que ninguém removeu: como… — permissão concedida para teste e nunca removida
Páginas relacionadas
O mesmo problema em outro objetivo
- Log sem assinatura de integridade: o que dá para afirmar — Diagnosticar
- Log sem assinatura: qual peso a evidência tem — Organizar um processo
- Log sem assinatura: o que medir para confiar no registro — Explicar medição
- Log sem assinatura de integridade: adulteração detectável — Orientar implementação
- Log sem assinatura de integridade: o que exigir no contrato — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Logs de automação: o que gravar e por quanto tempo — Define quais eventos, campos e prazos de guarda fazem do log de automação um registro útil para auditoria, suporte e decisão posterior.
- Revisão de acesso apenas na admissão: o que comparar — Compara formas de revisar acesso depois da admissão, o gatilho de cada uma e o que cada formato deixa de cobrir.
- Log sem retenção definida: o que decidir na contratação — Descreve o que decidir sobre retenção de log antes de contratar automação: prazo, responsável, descarte e prova, sem prometer cobertura total.
- Ausência de registros: o que precisa de comprovação — Como definir quais automações exigem registro, a partir das decisões que precisam ser comprovadas, e o que fazer com o período que já ficou sem histórico.
- Log sem retenção definida: o que apurar antes de decidir — Como levantar o log de automação já existente, separar o que tem uso do que não tem e definir o prazo de retenção com critério e responsável.