Pacote do auditor (SOC 2)
O pacote que se entrega a um auditor: a matriz de Segregação de Função (SoD) com as violações encontradas — perfis que acumulam funções que deveriam ser separadas (quem lança e quem aprova pagamento, quem cadastra fornecedor e quem paga) —, a verificação da cadeia de hash da trilha de auditoria (pr…
A tela
A tela real, no tema que você escolheu aqui em cima.
O que você encontra nesta tela
Um retrato da tela, lido dela mesma — muda quando a tela muda.
Ações disponíveis
Selar cadeiaRecalcularExportar pacote
A lista mostra
ControleDescriçãoResultadoColetado emMêsContas desafiadasContas bloqueadasContas liberadasAutorizações concedidasAutorizações revogadasAutorizações vencidasSessões da casa por automação+6
Campos do cadastro
CódigoIdentificador da regra de segregação, citado no relatório do auditor.
DescriçãoO risco que esta regra evita, em uma frase que o auditor entenda.
Função AA primeira das duas funções que não podem ficar na mesma pessoa.
Tipo da função ASe a função A é medida por tela, por verbo ou por alçada.
Função BA segunda função do par conflitante.
Tipo da função BSe a função B é medida por tela, por verbo ou por alçada.
SeveridadeQuanto pesa o conflito quando ele é encontrado. É o que define o que vira achado crítico.
AtivaRegra inativa para de acusar conflito, mas continua no acervo para consulta.
Comece aqui
O que se entrega a um auditor
Duas provas num pacote só: ninguém acumula funções incompatíveis (segregação de função, SoD) e a trilha de auditoria não foi adulterada (encadeamento por hash). "Exportar pacote" gera o PDF que serve de evidência formal.
O que é esta tela
O pacote que se entrega a um auditor: a matriz de Segregação de Função (SoD) com as violações encontradas — perfis que acumulam funções que deveriam ser separadas (quem lança e quem aprova pagamento, quem cadastra fornecedor e quem paga) —, a verificação da cadeia de hash da trilha de auditoria (prova de que nenhuma linha foi adulterada) e a exportação de tudo em PDF como evidência. Só super administradores e administradores acessam.
Como fazer
Integridade da trilha (hash-chain)
Cada evento selado carrega o hash do anterior — mexer em qualquer um quebra a corrente dali em diante. "Íntegra" = todos os selados conferem de ponta a ponta. "Adulterada" = a tela aponta o número do primeiro evento onde a corrente quebra, que é onde a investigação começa.
Selar cadeia
Encadeia por hash os eventos ainda pendentes. A selagem grava APENAS o encadeamento — não toca no conteúdo, que continua append-only. Selar periodicamente fecha a prova de que o passado não mudou: evento pendente é evento cuja imutabilidade ainda não foi lacrada.
A matriz de segregação de função
Cada linha é um par de funções que a mesma pessoa não deveria acumular (ex.: quem aprova não executa), com severidade. OK = nenhum perfil acumula. Violação = a tabela de baixo nomeia o perfil e o conflito exato.
Retenção da trilha
O cartão mostra por quantos meses a trilha de impersonação é retida (política LGPD). É um dado do pacote — o auditor pergunta, e a resposta está medida aqui, não em documento solto.
Regras
Violação denuncia, não bloqueia
A tela não desativa perfil de ninguém — ela expõe. O conserto é no cadastro de perfis: retirar de um dos lados a permissão que cria o acúmulo, e Recalcular para conferir. Violação de severidade ALTA aberta às vésperas de auditoria é o item mais caro desta tela.
O que o sistema prova sozinho
A parte "Coleta automática" mostra os controles que o sistema verifica por conta própria, a cada ciclo, e a data da última verificação: a trilha de auditoria íntegra em todas as empresas, nenhum perfil acumulando funções incompatíveis, a retenção da trilha definida, a política de senha em vigor, o isolamento entre contas ligado, contas sem uso desprovisionadas, revisão de acesso em dia, backup recente e tarefas de fundo rodando uma vez só. OK significa que a verificação passou; Falha, que algo precisa de atenção antes da auditoria; N/A, que o ambiente não permite avaliar.
O que vai no pacote do auditor
O PDF traz o que a tela calcula na hora para esta empresa (integridade da trilha, matriz de segregação de função, retenção) e, em seguida, a coleta automática com a data de cada controle. É o que um auditor pede primeiro: prova produzida pelo próprio sistema, datada, sem alguém montar à mão. Se um controle estiver em Falha, corrija antes de exportar — o pacote não esconde.
Automação na conta logada, mês a mês
O controle mostra, por mês, quantas contas foram desafiadas, bloqueadas e liberadas por agir como robô, e quantas automações autorizadas da casa foram concedidas, revogadas ou venceram. O número de desafiadas é um piso: o desafio abandonado não deixa registro. O controle falha se uma autorização da casa ficar vigente por mais de 30 dias.
Perguntas frequentes
Que pergunta esta tela responde
"Consigo provar a um auditor que ninguém acumula funções incompatíveis e que a trilha de auditoria não foi adulterada?" A tela junta as três evidências num lugar só: a matriz de segregação de função com as violações por perfil e severidade, a verificação da cadeia de hash (íntegra ou adulterada, com o ponto exato da quebra), e a exportação do pacote em PDF para anexar como evidência formal.
O "Coletado em" não muda quando clico em Recalcular
Recalcular coleta a evidência de novo quando a última coleta tem mais de 10 minutos, e atualiza a tela — o "Coletado em" passa a ser agora. Com menos de 10 minutos, a tela mostra a coleta recente e avisa. Além disso, o sistema coleta sozinho uma vez por dia, contando pela idade da última coleta: reiniciar o servidor não faz perder o dia.
Quem dispensou o aval do Jurídico?
Na seção Dispensa do aval do Jurídico estão os últimos 12 meses: o contrato, se a aprovação foi dispensada ou voltou a ser exigida, quem fez, quando e como está o aval hoje.
Este artigo foi útil?
No mesmo módulo: Governança e conformidade12
Gestão de denúnciasO canal interno de denúncias, com apuração e sigilo do denunciante. A identidade é protegida por desenho — qu…Central LGPDOs documentos vivos da proteção de dados com estado e data — DPA, RIPD, runbook de incidente e conformidade d…Central de ConfiançaA vitrine de confiança da sua conta: o uptime, o backup do seu dado testado (com a data do último restore ens…Fila de e-mailsTudo que o sistema tentou enviar por e-mail: o que saiu, o que falhou e por quê.Gestão LGPDCentraliza consentimentos, solicitações do titular e a base legal de cada tratamento de dados. Pedido do titu…Gestão LGPD (endereço antigo)Endereço antigo da gestão LGPD: abre e segue para a lista de consentimentos.Log de errosAs exceções que o sistema registrou: quando, em qual tela, com qual usuário e qual foi a falha técnica. É a p…Matriz de riscoMapeia riscos por probabilidade e impacto para priorizar tratamento. O que importa é o risco TRATADO, não o l…
Academia Tenka
Conhecer a AcademiaTrilhas de aprendizado do seu ramo, passo a passo, dentro da plataforma.