Δεν πρέπει να προστίθεται εκ των υστέρων η δυνατότητα ελέγχου
Ο φάκελος που έφτασε πολύ αργά
Η αίθουσα συσκέψεων είχε τα συνηθισμένα σημάδια θεσμικής σοβαρότητας: γυάλινοι τοίχοι, μια καφετιέρα που έκανε ό,τι μπορούσε για να μοιάσει με δοχείο πίεσης, και ένας φάκελος με την ένδειξη evidence pack στην κοινόχρηστη οθόνη. Το σύστημα που εξεταζόταν ήταν σε λειτουργία για εννέα μήνες. Δρομολογούσε εσωτερικές υποθέσεις, πρότεινε επόμενες ενέργειες, προωθούσε ορισμένες σε ειδικούς και απορρίπτει σιωπηλά άλλες, επειδή έτσι όριζαν τα διαμορφωμένα όρια. Κανείς στην αίθουσα δεν το περιέγραψε ως σύστημα υψηλού κινδύνου κατά την προμήθεια. Ήταν ένα εργαλείο παραγωγικότητας, που είναι ο τρόπος με τον οποίο οι οργανισμοί αποκαλούν την υποδομή λήψης αποφάσεων προτού κάποιος ρωτήσει ποιοι επηρεάστηκαν.
Ο ελεγκτής έκανε μια μικρή ερώτηση. Για αυτή την υπόθεση, ποια έκδοση πολιτικής ήταν ενεργή όταν παρήχθη η σύσταση. Ο ιδιοκτήτης του προϊόντος κοίταξε τον αρχιτέκτονα. Ο αρχιτέκτονας κοίταξε τον υπεύθυνο δεδομένων. Ο υπεύθυνος δεδομένων άνοιξε έναν πίνακα ελέγχου, μετά μια εξαγωγή αρχείων καταγραφής, μετά ένα δελτίο. Ένας προγραμματιστής θυμήθηκε ότι οι εκδόσεις πολιτικής είχαν αποθηκευτεί σε μια μεταβλητή περιβάλλοντος κατά την πρώτη έκδοση και σε έναν πίνακα βάσης δεδομένων μετά τη μετεγκατάσταση του Ιανουαρίου. Κάποιος είπε ότι η αλλαγή ήταν πιθανόν ακίνδυνη. Αυτή σπάνια είναι η φράση που καθησυχάζει έναν ελεγκτή.
Τίποτα δεν είχε κατασκευαστεί με κακή πρόθεση. Η ομάδα είχε αρχεία καταγραφής, παρακολούθηση, έλεγχο πρόσβασης, αντίγραφα ασφαλείας, δελτία συμβάντων και ένα εσωτερικό wiki με αρκετές σελίδες για να καταστρέψει έναν εκτυπωτή. Αλλά τα αποδεικτικά στοιχεία δεν ήταν ιδιότητα του συστήματος. Ήταν μια άσκηση ανασύνθεσης που πραγματοποιήθηκε εκ των υστέρων από ανθρώπους που θυμόντουσαν ακόμη την ανάπτυξη. Αυτό δεν είναι ελεγξιμότητα. Αυτή είναι προφορική ιστορία με χρονοσφραγίδες.
Η ελεγξιμότητα δεν θα έπρεπε να προστίθεται αργότερα, επειδή αργότερα είναι ακριβώς η στιγμή που η μνήμη έχει γίνει πολιτική. Οι άνθρωποι είναι ανήσυχοι. Το σύστημα έχει αλλάξει. Οι προμηθευτές έχουν εναλλαχθεί. Οι πίνακες ελέγχου έχουν επανασχεδιαστεί. Ο ένας μηχανικός που καταλάβαινε την αρχική εισαγωγή δεδομένων έχει τώρα διαφορετικό τίτλο εργασίας και μιλά για εκείνη την περίοδο με την ηρεμία κάποιου που επέζησε από ένα περιστατικό υδραυλικών. Αν το αρχείο δεν δημιουργήθηκε όταν συνέβη η εργασία, η μεταγενέστερη αφήγηση θα περιέχει πάντα περισσότερη ερμηνεία παρά αποδεικτικά στοιχεία.
Η ελεγξιμότητα είναι ιδιότητα σχεδιασμού
Πολλές ομάδες αντιμετωπίζουν την ελεγξιμότητα ως τεκμηρίωση. Τη φαντάζονται ως ένα σύνολο διαγραμμάτων, ελέγχων, εγκρίσεων, κουμπιών εξαγωγής και δηλώσεων πολιτικής που μπορούν να συναρμολογηθούν μόλις το σύστημα πλησιάσει στην έκδοση. Αυτή η άποψη είναι δελεαστική επειδή η τεκμηρίωση φαίνεται φθηνότερη από τον σχεδιασμό. Επιτρέπει στο έργο να συνεχιστεί ενώ η διακυβέρνηση περιμένει ευγενικά στον διάδρομο με ένα κλιπ. Ο λογαριασμός έρχεται αργότερα, με τόκο.
Η δυνατότητα ελέγχου είναι πιο κοντά στην ανθεκτικότητα παρά στην τεκμηρίωση. Ένα ανθεκτικό σύστημα δεν γίνεται ανθεκτικό επειδή κάποιος γράφει μια έκθεση που λέει ότι η στέγη πιθανόν να αντέξει τη βροχή. Η στέγη είτε απομακρύνει το νερό είτε όχι. Ένα ελεγχόμενο σύστημα είτε διατηρεί τα δεδομένα που χρειάζονται για να εξεταστεί η συμπεριφορά του είτε όχι. Τα δεδομένα μπορεί να είναι βαρετά: έκδοση, πηγή, χρονική σήμανση, φορέας ενέργειας, κανόνας, όριο, εξαίρεση, έγκριση, αναγνωριστικό μοντέλου, πρότυπο προτροπής, πεδίο δεδομένων, κατάσταση διατήρησης. Το βαρετό είναι εντάξει. Μια γέφυρα κρατιέται και αυτή από βαρετά μέρη. Τα διακοσμητικά φωτιστικά δεν είναι η διαδρομή φόρτισης.
Το δύσκολο μέρος είναι ότι τα δεδομένα ελέγχου πρέπει να καταγράφονται στο ίδιο επίπεδο όπου λαμβάνονται οι αποφάσεις. Αν μια ροή εργασίας χρησιμοποιεί έναν κανόνα πολιτικής, η έκδοση του κανόνα ανήκει στο συμβάν. Αν μια έξοδος μοντέλου γίνεται αποδεκτή σε έναν φάκελο υπόθεσης, η έκδοση μοντέλου, η εμπιστοσύνη, το πεδίο πηγής και ο κανόνας αποδοχής ανήκουν στο αρχείο. Αν ένας άνθρωπος παρακάμπτει μια σύσταση, ο λόγος παράκαμψης ανήκει δίπλα στην ενέργεια, όχι σε μια σημείωση συνάντησης δύο εβδομάδες αργότερα. Το σύστημα δεν θα έπρεπε να απαιτεί από έναν ιστορικό να συμπεράνει τι ήξερε ήδη το μηχάνημα κατά τον χρόνο εκτέλεσης.
Γι' αυτό η δυνατότητα ελέγχου δεν είναι το ίδιο με την καταγραφή συμβάντων. Τα αρχεία καταγραφής είναι χρήσιμα, αλλά η πρώτη τους αφοσίωση είναι συνήθως στις λειτουργίες. Εξηγούν αποτυχίες, χρονισμούς, επαναλήψεις, εξαιρέσεις και απόδοση. Η δυνατότητα ελέγχου θέτει ένα διαφορετικό σύνολο ερωτημάτων: ποια εξουσία χρησιμοποιήθηκε, ποια αποδεικτικά στοιχεία εξετάστηκαν, ποια κατάσταση άλλαξε, ποιος ή τι την προκάλεσε, και μπορεί η ακολουθία να ελεγχθεί χωρίς να εμπιστευόμαστε την τρέχουσα υπηρεσία. Τα αρχεία καταγραφής μπορεί να υποστηρίξουν αυτή τη δουλειά. Σπάνια την αναλαμβάνουν μόνα τους.
Η πρώτη απόφαση είναι τι μετράει
Πριν ένα σύστημα γίνει ελεγχόμενο, ο οργανισμός πρέπει να αποφασίσει τι θεωρείται ελεγχόμενο συμβάν. Αυτό ακούγεται διοικητικό, αλλά εκεί ξεκινά η πραγματική αρχιτεκτονική. Αν κάθε κλικ είναι συμβάν, το αρχείο γίνεται χωματερή. Αν μόνο τα τελικά αποτελέσματα είναι συμβάντα, το αρχείο γίνεται ένα μαγικό κόλπο. Το χρήσιμο μέσο είναι να καταγράφονται οι στιγμές όπου η εξουσία, τα αποδεικτικά στοιχεία ή η κατάσταση αλλάζουν χέρια.
Η εισαγωγή υπόθεσης είναι μια τέτοια στιγμή. Ένα έγγραφο πηγής που εισέρχεται στο πεδίο είναι άλλη μια. Μια σύσταση μοντέλου είναι μία αν μπορεί να επηρεάσει την εργασία. Ένα όριο πολιτικής που ενεργοποιείται είναι μία. Μια ανθρώπινη έγκριση είναι μία. Μια άρνηση, κλιμάκωση, εξαίρεση, διόρθωση δεδομένων, αλλαγή διατήρησης, αίτημα διαγραφής και έφεση είναι όλα υποψήφια. Το θέμα δεν είναι να διατηρηθεί κάθε ανάσα του συστήματος. Το θέμα είναι να διατηρηθούν οι αρμοί όπου ένας μεταγενέστερος αναθεωρητής θα ρωτούσε εύλογα: γιατί το σύστημα μετακινήθηκε από εδώ εκεί.
Αυτή η επιλογή πρέπει να είναι ρητή. Διαφορετικά, η ομάδα ανακαλύπτει κατά την αναθεώρηση ότι το σημαντικό συμβάν ζούσε στη σκιά μεταξύ δύο στοιχείων. Το front end ξέρει ότι ο χρήστης είδε μια προειδοποίηση. Το back end ξέρει ότι η υπόθεση άλλαξε κατάσταση. Η υπηρεσία μοντέλου ξέρει ότι επέστρεψε μια βαθμολογία. Η μηχανή ροής εργασίας ξέρει ότι λήφθηκε ένας κλάδος. Κανένα μεμονωμένο αρχείο δεν λέει ότι η προειδοποίηση, η βαθμολογία, ο κανόνας και ο κλάδος ανήκαν στην ίδια απόφαση. Όλοι έχουν ένα κομμάτι του βάζου. Το τραπέζι είναι ακόμα βρεγμένο.
Μόλις ονομαστεί το σύνολο συμβάντων, οι μηχανικοί μπορούν να σχεδιάσουν συμβόλαια γύρω από αυτό. Κάθε συμβάν μπορεί να έχει υποχρεωτικά πεδία. Κάθε πεδίο μπορεί να έχει ιδιοκτησία. Κάθε αλλαγή σχήματος μπορεί να έχει έκδοση. Κάθε κανόνας διατήρησης μπορεί να συνδεθεί με νομική και επιχειρησιακή ανάγκη. Αυτό δεν είναι γραφειοκρατία που κάθεται δίπλα στο σύστημα. Είναι μέρος του ορίου του συστήματος. Το αρχείο γίνεται προϊόν της ροής εργασίας, όχι μια συγγνώμη που γράφτηκε από τη ροή εργασίας μετά το μεσημεριανό.
Ο χρόνος δεν είναι διακόσμηση
Η ελεγκτική εργασία έχει εμμονή με τον χρόνο για καλό λόγο. Μια απόφαση που ελήφθη πριν από μια αλλαγή πολιτικής δεν είναι το ίδιο με μια απόφαση που ελήφθη μετά από αυτήν. Ένα αποτέλεσμα μοντέλου που παρήχθη πριν από μια διόρθωση δεδομένων δεν είναι το ίδιο με ένα που παρήχθη μετά από αυτήν. Μια υπόθεση που κλιμακώθηκε μετά από μια προθεσμία είναι διαφορετική από μια υπόθεση που κλιμακώθηκε πριν από μία. Ο χρόνος δεν είναι μεταδεδομένα πασπαλισμένα πάνω από τα γεγονότα. Είναι μέρος της σημασίας του γεγονότος.
Τα κατανεμημένα συστήματα κάνουν τον χρόνο δύσκολο. Τα ρολόγια αποκλίνουν. Οι ουρές αναδιατάσσουν. Οι επαναλήψεις συμβαίνουν. Οι εργαζόμενοι επεξεργάζονται μηνύματα αργά. Τα σύνολα δεδομένων φορτώνονται κατά τη διάρκεια της νύχτας από εργασίες που ονομάστηκαν προσωρινές το 2021 και είναι πλέον πολιτισμικά μόνιμες. Εάν ο σχεδιασμός ελέγχου υποθέτει ένα ενιαίο τακτοποιημένο χρονοδιάγραμμα, το πρώτο περιστατικό θα το εκπαιδεύσει. Αυτή η εκπαίδευση συνήθως συμβαίνει σε ένα υπολογιστικό φύλλο, το οποίο είναι μια ακριβή αίθουσα διδασκαλίας.
Ένας σχεδιασμός που μπορεί να ελεγχθεί διακρίνει τον χρόνο γεγονότος, τον χρόνο επεξεργασίας, τον χρόνο ισχύος και τον χρόνο αναθεώρησης όπου η διαφορά έχει σημασία. Ο χρόνος γεγονότος λέει πότε συνέβη το πράγμα στην επιχειρηματική διαδικασία. Ο χρόνος επεξεργασίας λέει πότε το χειρίστηκε ένα στοιχείο. Ο χρόνος ισχύος λέει πότε ένας κανόνας ή μια κατάσταση έγινε έγκυρος. Ο χρόνος αναθεώρησης λέει πότε κάποιος το επιθεώρησε ή το διόρθωσε αργότερα. Αυτές οι διακρίσεις μπορεί να φαίνονται υπερβολικά λεπτομερείς μέχρι μια υπόθεση να διασχίσει τα μεσάνυχτα, ένας κανόνας να αλλάξει στις 09:00 και μια ουρά να αδειάσει αργά επειδή κάποιος άλλαξε το μέγεθος της ομάδας εργαζομένων με σιγουριά και χωρίς αποδεικτικά στοιχεία.
Η ίδια προσοχή ισχύει για την ταυτότητα. Ο δρων μπορεί να είναι ένα άτομο, μια υπηρεσία, ένας πράκτορας, μια προγραμματισμένη εργασία, ένας εκχωρημένος χρήστης ή ένα εξωτερικό σύστημα. Το σύστημα θα πρέπει να λέει ποιο. Δεν θα πρέπει να κρύβεται πίσω από τον διαχειριστή χρήστη επειδή εκεί ζει ο λογαριασμός ενοποίησης. Όταν η εξουσία εκχωρείται, η εκχώρηση θα πρέπει να είναι ορατή. Όταν μια υπηρεσία ενεργεί αυτόματα, η ιδιοκτήτρια υπηρεσία και ο κανόνας θα πρέπει να είναι ορατά. Η δυνατότητα ελέγχου απαιτεί ονομασμένη ευθύνη, ακόμη και όταν το όνομα δεν είναι ανθρώπινο ον.
Η ανασύνθεση δεν είναι αναπαραγωγή
Όταν οι ομάδες προσθέτουν δυνατότητα ελέγχου αργά, συχνά συμβιβάζονται με την ανασύνθεση. Συγκεντρώνουν αρχεία καταγραφής, στιγμιότυπα βάσεων δεδομένων, αιτήματα, μηνύματα συνομιλίας και σημειώσεις εκδόσεων. Χτίζουν ένα εύλογο χρονοδιάγραμμα. Μερικές φορές το χρονοδιάγραμμα είναι σωστό. Μερικές φορές είναι μια πολύ τακτοποιημένη μυθοπλασία με ειλικρινείς συγγραφείς. Το πρόβλημα δεν είναι ότι οι άνθρωποι ψεύδονται. Το πρόβλημα είναι ότι η ανασύνθεση ζητά από τους ανθρώπους να καλύψουν τα κενά υπό πίεση, και οι θεσμοί είναι εξαιρετικά καλοί στο να κάνουν τα κενά να φαίνονται σκόπιμα μόλις ξεκινήσει μια συνάντηση ανώτερων στελεχών.
Το Replay είναι ένα διαφορετικό πρότυπο. Replay σημαίνει ότι το σύστημα διατήρησε αρκετό δομημένο ιστορικό ώστε να μπορεί να αναπαράγει την ακολουθία. Δεν σημαίνει ότι πρέπει να κληθεί ξανά το αρχικό μοντέλο ή ότι μπορεί να αναστηθεί κάθε εξωτερική εξάρτηση. Σημαίνει ότι το αρχείο μπορεί να δείξει ποια είσοδος έγινε αποδεκτή, ποια έκδοση κανόνα ενεργοποιήθηκε, ποια έξοδος παρήχθη, ποια ενέργεια εκτελέστηκε και ποια κατάσταση προέκυψε. Ο αναθεωρητής θα πρέπει να μπορεί να επιθεωρήσει την αλυσίδα χωρίς να βασίζεται στην τρέχουσα εφαρμογή για να αφηγηθεί μια κολακευτική ιστορία για τον νεότερο εαυτό της.
Το Replay αλλάζει τη συμπεριφορά της μηχανικής. Αν μια ομάδα γνωρίζει ότι οι αποφάσεις μπορεί να αναπαραχθούν, γίνεται πιο δύσκολο να κρύψει πολιτική μέσα σε διαδρομές κώδικα με ονόματα όπως helper2. Γίνεται πιο δύσκολο να αφήνονται τα όρια να μετατοπίζονται χωρίς να καταγράφεται ποιος τα άλλαξε. Γίνεται πιο δύσκολο να αντιμετωπίζονται τα πρότυπα προτροπών ως τοπικά αντικείμενα χειροτεχνίας σε έναν φορητό υπολογιστή. Το Replay απαιτεί από κάθε σημαντική ενέργεια να φέρει το δικό της πλαίσιο. Αυτό είναι ενοχλητικό με τον τρόπο που είναι ενοχλητικές οι ζώνες ασφαλείας: κυρίως πριν από τη σύγκρουση.
Το Replay επιτρέπει επίσης στη διακυβέρνηση να γίνει ρουτίνα. Αντί να περιμένουν ένα περιστατικό, οι ομάδες μπορούν να δειγματίζουν περιπτώσεις, να επιθεωρούν αλυσίδες, να συγκρίνουν αποτελέσματα μεταξύ εκδόσεων πολιτικής και να εντοπίζουν ελλείποντα αρχεία. Το ίχνος ελέγχου γίνεται κάτι που χρησιμοποιεί ο οργανισμός, όχι κάτι που παράγει μόνο όταν βρίσκεται σε δύσκολη θέση. Αυτή η διαφορά έχει σημασία. Οι έλεγχοι που ασκούνται μόνο κατά τη διάρκεια του φόβου έχουν την τάση να είναι διακοσμητικοί.
Το κόστος της προσθήκης του αργότερα
Η καθυστερημένη δυνατότητα ελέγχου έχει μια πολύ συγκεκριμένη μυρωδιά. Μυρίζει νέους πίνακες με ονόματα όπως audit_log_final. Μυρίζει εξαγωγή δεδομένων που έχει τις περισσότερες στήλες αλλά όχι αυτές που συνδέονται με το ερώτημα. Μυρίζει σύμβουλο που ρωτά αν υπάρχει μια πηγή αλήθειας και λαμβάνει μια ξενάγηση σε πέντε συστήματα. Μυρίζει, πάνω απ' όλα, αντίστροφη μηχανική προθέσεων από παρενέργειες.
Το άμεσο κόστος είναι ο χρόνος μηχανικής. Οι ομάδες πρέπει να εντοπίσουν πού έγιναν οι αποφάσεις, να προσθέσουν καταγραφή συμβάντων, να συμπληρώσουν ιστορικά αρχεία, να διορθώσουν κενά, να τεκμηριώσουν υποθέσεις και να δημιουργήσουν επιφάνειες εξαγωγής. Αυτή η εργασία συχνά έρχεται όταν το σύστημα ήδη φέρει χρήστες, περιστατικά, αιτήματα λειτουργιών και προσδοκίες. Το έμμεσο κόστος είναι χειρότερο: η εμπιστοσύνη μειώνεται. Αν ο οργανισμός δεν μπορεί να απαντήσει σε βασικές ερωτήσεις για το ίδιο του το σύστημα, κάθε μεταγενέστερη απάντηση αντιμετωπίζεται με καχυποψία, ακόμη και οι σωστές.
Υπάρχει επίσης ένα κόστος σχεδιαστικό. Μόλις ένα σύστημα κατασκευαστεί χωρίς δυνατότητα ελέγχου, τα όριά του μπορεί να μην ευθυγραμμίζονται με τις ανάγκες τεκμηρίωσης. Η απόφαση μπορεί να είναι κατανεμημένη σε πολλά στοιχεία. Η κατάσταση μπορεί να αντικαθίσταται αντί να προστίθεται. Οι αιτιολογήσεις μπορεί να υπολογίζονται για προβολή αλλά να μην αποθηκεύονται. Τα δεδομένα εισόδου του μοντέλου μπορεί να μετασχηματίζονται και να απορρίπτονται. Οι ανθρώπινες παρακάμψεις μπορεί να ζουν σε σχόλια. Η εκ των υστέρων προσθήκη δυνατότητας ελέγχου γίνεται τότε λιγότερο σαν να προσθέτεις ένα παράθυρο και περισσότερο σαν να ανακαλύπτεις ότι ο τοίχος είναι φέρων.
Το κόστος δεν είναι μόνο τεχνικό. Η καθυστερημένη προσθήκη δυνατότητας ελέγχου δημιουργεί πολιτικές διαφωνίες για το τι πραγματικά συνέβη. Οι άνθρωποι υπερασπίζονται τις ομάδες τους. Οι προμηθευτές υπερασπίζονται τις διεπαφές τους. Οι διευθυντές υπερασπίζονται τις αποφάσεις κυκλοφορίας. Όλοι γίνονται ερασιτέχνες φιλόσοφοι της αιτιότητας. Αυτό είναι κατανοητό και ως επί το πλείστον άχρηστο. Ένα καλό αρχείο μειώνει την ανάγκη για αλήθεια που εξαρτάται από προσωπικότητες. Επιτρέπει στον οργανισμό να συζητά για πολιτική και βελτίωση αντί να διαφωνεί για το αν υπάρχει το παρελθόν.
Τα καλά αρχεία δεν είναι θέατρο επιτήρησης
Υπάρχει ένας θεμιτός φόβος ότι η δυνατότητα ελέγχου μετατρέπεται σε επιτήρηση. Ορισμένοι οργανισμοί ακούν «καταγράψτε τα πάντα» και συμπεριφέρονται σαν κάθε ανθρώπινος δισταγμός να αξίζει μια χρονική σήμανση. Αυτό δεν είναι δυνατότητα ελέγχου. Αυτό είναι θεσμικό άγχος με αποθηκευτικό χώρο. Ένας καλός σχεδιασμός ελέγχου είναι επιλεκτικός, αναλογικός και συνδεδεμένος με ουσιαστικές αλλαγές. Καταγράφει την εξουσία και την κατάσταση, όχι τον ιδιωτικό θόρυβο.
Για τους εργαζόμενους, η διάκριση έχει σημασία. Ένας χειριστής που εγκρίνει μια εξαίρεση θα πρέπει να περιμένει ότι η έγκριση καταγράφεται. Δεν θα πρέπει να περιμένει ότι κάθε κίνηση του κέρσορα γίνεται μέρος ενός μόνιμου ηθικού δράματος. Ένας ειδικός που παρακάμπτει μια σύσταση μοντέλου θα πρέπει να αφήνει έναν κωδικό αιτιολογίας και μια σημείωση όταν η απόφαση επηρεάζει μια υπόθεση. Δεν θα πρέπει να τιμωρείται επειδή διαφωνεί με έναν αυτοματισμό που ήταν εξαρχής αβέβαιος. Η δυνατότητα ελέγχου θα πρέπει να καθιστά την επαγγελματική κρίση ορατή, όχι να κάνει τους επαγγελματίες διστακτικούς.
Για τους πολίτες, τους πελάτες, τους ασθενείς ή τους μαθητές, η δυνατότητα ελέγχου θα πρέπει να υποστηρίζει δικαιώματα. Θα πρέπει να καθιστά δυνατό να εξηγηθεί μια απόφαση, να διορθωθούν κακά δεδομένα, να αμφισβητηθεί ένα αποτέλεσμα, να αποδειχθεί η διαγραφή ή να φανεί ότι μια πηγή δεν χρησιμοποιήθηκε. Ένα αρχείο που προστατεύει μόνο τον οργανισμό είναι ελλιπές. Το ίχνος ελέγχου δεν θα πρέπει να είναι ένας μονόδρομος καθρέφτης. Αν το σύστημα επηρεάζει ανθρώπους, το αρχείο θα πρέπει να βοηθά να απαντηθούν και τα δικά τους θεμιτά ερωτήματα.
Εδώ συναντιούνται η ελαχιστοποίηση δεδομένων και η δυνατότητα ελέγχου. Η απάντηση δεν είναι να διατηρούνται τα πάντα για πάντα. Η απάντηση είναι να διατηρούνται τα σωστά γεγονότα για τη σωστή περίοδο, με σαφή σκοπό, κανόνες πρόσβασης και λογική διαγραφής ή διατήρησης. Ένα αραιό, καλά δομημένο αρχείο είναι συχνά πιο σεβαστό και πιο χρήσιμο από έναν τεράστιο σωρό καταγεγραμμένων υποπροϊόντων. Ο σωρός φαίνεται ασφαλής μέχρι κάποιος να ρωτήσει τι περιέχει. Τότε γίνεται υποχρέωση με λειτουργία αναζήτησης.
Το μητρώο κινδύνων θα πρέπει να επικοινωνεί με το σχήμα συμβάντων
Τα μητρώα κινδύνων συχνά ζουν σε έγγραφα διακυβέρνησης, ενώ τα σχήματα συμβάντων ζουν σε αποθετήρια μηχανικής. Αυτός ο διαχωρισμός είναι βολικός και επικίνδυνος. Το μητρώο κινδύνων λέει ότι υπάρχει κίνδυνος μη εξουσιοδοτημένης κλιμάκωσης. Το σχήμα συμβάντων θα πρέπει επομένως να καταγράφει ποιος προχώρησε σε κλιμάκωση, υπό ποια εξουσία, από ποια κατάσταση, σε ποια κατάσταση και αν η κλιμάκωση ήταν αυτόματη ή χειροκίνητη. Αν το σχήμα δεν καταγράφει αυτά τα γεγονότα, ο έλεγχος είναι ευσεβής πόθος. Οι ευσεβείς πόθοι είναι φθηνότεροι από τους ελέγχους, γεγονός που εξηγεί τη δημοτικότητά τους.
Το ίδιο ισχύει και για τον κίνδυνο μοντέλου. Αν το μητρώο λέει ότι οι συστάσεις χαμηλής εμπιστοσύνης πρέπει να εξετάζονται, το σύστημα θα πρέπει να καταγράφει την εμπιστοσύνη, το όριο, την απαίτηση εξέτασης, τον εξεταστή, το αποτέλεσμα και τον λόγο έγκρισης ή απόρριψης. Αν το μητρώο λέει ότι το εύρος πηγών έχει σημασία, τα συμβάντα θα πρέπει να καταγράφουν το εύρος πηγών. Αν η διατήρηση είναι κίνδυνος, τα συμβάντα θα πρέπει να καταγράφουν τις αλλαγές κατάστασης διατήρησης. Το μητρώο κινδύνων δεν θα πρέπει να είναι κείμενο που αιωρείται πάνω από το λογισμικό. Θα πρέπει να είναι ένα σύνολο ισχυρισμών που το σύστημα εκτέλεσης μπορεί να βοηθήσει να επαληθευτούν.
Αυτό δεν σημαίνει ότι κάθε απαίτηση συμμόρφωσης μετατρέπεται αμέσως σε κώδικα. Ορισμένοι έλεγχοι είναι ανθρώπινοι, συμβατικοί ή οργανωτικοί. Αλλά ακόμη και οι ανθρώπινοι έλεγχοι χρειάζονται αποδεικτικά στοιχεία. Μια χειροκίνητη αναθεώρηση μπορεί να δημιουργήσει καταγραφή. Μια συμβατική υποχρέωση μπορεί να αντιστοιχιστεί σε μια απαιτούμενη βεβαίωση. Μια διαδικασία προμηθευτή μπορεί να αποτυπωθεί ως ένα ληφθέν συμβάν, μια υπογεγραμμένη αναφορά ή μια κατάσταση ελλιπούς αποδεικτικού στοιχείου. Το ζητούμενο είναι να συνδεθεί η γλώσσα του κινδύνου με τη γλώσσα των αποδεικτικών στοιχείων προτού το σύστημα αρχίσει να παράγει συνέπειες.
Το διακριτικό όφελος είναι η καλύτερη επικοινωνία. Οι μηχανικοί σταματούν να αντιλαμβάνονται τη συμμόρφωση ως καθυστερημένη επίπληξη. Οι ομάδες συμμόρφωσης σταματούν να αντιλαμβάνονται τη μηχανική ως πανηγύρι ακραίων περιπτώσεων. Και οι δύο πλευρές μπορούν να κοιτάξουν το ίδιο σχήμα συμβάντων και να αναρωτηθούν αν περιέχει τα δεδομένα που χρειάζονται για τη διαχείριση του κινδύνου. Αυτό είναι λιγότερο εντυπωσιακό από ένα εργαστήριο στρατηγικής τεχνητής νοημοσύνης. Είναι επίσης λιγότερο πιθανό να καταλήξει σε ένα PDF που κανείς δεν μπορεί να εφαρμόσει.
Η ελεγξιμότητα αλλάζει τη συζήτηση για την ανάπτυξη
Όταν η ελεγξιμότητα είναι παρούσα από την αρχή, οι αναθεωρήσεις σχεδιασμού γίνονται πιο συγκεκριμένες. Η ομάδα δεν ρωτά απλώς αν λειτουργεί μια δυνατότητα. Ρωτά ποια καταγραφή αφήνει η δυνατότητα. Ρωτά ποιος μπορεί να επιθεωρήσει την καταγραφή, πόσο καιρό διατηρείται, τι μπορεί να διορθωθεί, τι δεν πρέπει ποτέ να αντικατασταθεί και σε ποια μελλοντική ερώτηση θα πρέπει να μπορεί να απαντήσει. Αυτές οι ερωτήσεις βελτιώνουν τη δυνατότητα επειδή αποκαλύπτουν κρυφή κατάσταση και ασαφή εξουσιοδότηση.
Αλλάζει και η προμήθεια. Αντί να ρωτούν τους προμηθευτές αν υποστηρίζουν αρχεία καταγραφής ελέγχου, κάτι που σχεδόν όλοι απαντούν με ένα πρόθυμο ναι, ο οργανισμός μπορεί να ζητήσει συγκεκριμένες δυνατότητες αποδεικτικών στοιχείων. Μπορούν να εξαχθούν εκδόσεις πολιτικής μαζί με κάθε απόφαση. Μπορούν να συμπεριληφθούν αναγνωριστικά μοντέλου και πεδία εφαρμογής πηγής. Μπορούν να διακριθούν οι ανθρώπινες παρακάμψεις από τις αυτοματοποιημένες ενέργειες. Μπορούν οι καταγραφές να διατηρηθούν, να διαγραφούν, να υπογραφούν ή να αναπαραχθούν σύμφωνα με τους κανόνες μας. Μπορούμε να επιθεωρήσουμε το ίχνος χωρίς να πληρώσουμε για μια ηρωική περιπέτεια υπηρεσιών συμβούλων. Το τελευταίο σημείο είναι συχνά εκεί όπου η συζήτηση γίνεται διδακτική.
Αλλάζουν και οι λειτουργίες. Η αντιμετώπιση περιστατικών γίνεται λιγότερο εικαστική. Μια ομάδα μπορεί να εντοπίσει τις επηρεαζόμενες περιπτώσεις, να τις συγκρίνει με γνωστές εκδόσεις πολιτικής, να βρει ελλιπείς καταγραφές και να δείξει τη διαδρομή από το σήμα στην ενέργεια. Η συμμόρφωση γίνεται λιγότερο εποχιακή. Η βελτίωση του προϊόντος γίνεται πιο ειλικρινής επειδή η ομάδα μπορεί να δει όχι μόνο τι έκανε το σύστημα, αλλά και υπό ποιες συνθήκες το έκανε. Η ελεγξιμότητα δεν είναι φρένο στην παράδοση. Είναι ένα από τα πράγματα που εμποδίζουν την παράδοση να μετατραπεί σε μελλοντική ανασκαφή.
Τίποτα από αυτά δεν καθιστά το σύστημα τέλειο. Ένα σύστημα με δυνατότητα ελέγχου μπορεί ακόμα να πάρει κακές αποφάσεις. Μπορεί ακόμα να ενσωματώνει κακή πολιτική, να χρησιμοποιεί αδύναμα δεδομένα ή να λειτουργεί από ανθρώπους που έχουν μια πολύ ανθρώπινη Τρίτη. Η δυνατότητα ελέγχου δεν εγγυάται τη σοφία. Εγγυάται ότι ο οργανισμός έχει μεγαλύτερες πιθανότητες να δει τι συνέβη, να μάθει από αυτό και να αποδείξει ότι δεν επινόησε απλώς την απάντηση εκ των υστέρων.
Το δίδαγμα
Το κεντρικό λάθος είναι να πιστεύουμε ότι η δυνατότητα ελέγχου ανήκει στο τέλος επειδή οι έλεγχοι γίνονται στο τέλος. Δεν ισχύει αυτό. Οι έλεγχοι γίνονται μετά τις συνέπειες, αλλά η δυνατότητα ελέγχου πρέπει να υπάρχει πριν από τις συνέπειες. Το αρχείο πρέπει να γεννιέται μαζί με την ενέργεια. Το γεγονός πρέπει να φέρει το πλαίσιό του όσο το πλαίσιο είναι ακόμα αληθινό. Το σύστημα πρέπει να διατηρεί τη διαφορά μεταξύ ενός γεγονότος, ενός συμπεράσματος, μιας πολιτικής, μιας παράκαμψης και μιας διόρθωσης.
Αυτό δεν είναι κάλεσμα για βαριές διαδικασίες γύρω από κάθε μικρό εργαλείο. Είναι κάλεσμα για αναλογικότητα. Όσο περισσότερο ένα σύστημα αλλάζει δικαιώματα, πρόσβαση, χρήματα, ασφάλεια, επιλεξιμότητα, φόρτο εργασίας ή θεσμική μνήμη, τόσο περισσότερο πρέπει να αφήνει δομημένα αποδεικτικά στοιχεία. Ξεκινήστε από τα όρια με συνέπειες. Ονομάστε τα γεγονότα. Βάλτε εκδόσεις στους κανόνες. Διατηρήστε τον χρόνο και την ταυτότητα. Κάντε τις διορθώσεις προσθετικές. Δοκιμάστε την αναπαραγωγή πριν μπει ο φόβος στο δωμάτιο.
Υπάρχει κάτι σχεδόν κωμικό σε αυτή την πειθαρχία. Το μέλλον της αξιόπιστης αυτοματοποίησης εξαρτάται λιγότερο από την εντυπωσιακή ευφυΐα και περισσότερο από το να θυμάται κανείς ποιος κανόνας ενεργοποιήθηκε ένα βροχερό Τετάρτη του Φεβρουαρίου. Αλλά οι σοβαροί οργανισμοί χτίζονται από τέτοιου είδους μνήμη. Δεν εμπιστεύονται τα συστήματα επειδή ακούγονται σίγουρα. Τα εμπιστεύονται επειδή μπορούν να επιθεωρηθούν όταν η σιγουριά δεν αρκεί πια.
Προσθέστε λοιπόν τα αποδεικτικά στοιχεία όσο η δουλειά είναι ακόμα συνηθισμένη. Πριν από το πάρτι κυκλοφορίας, πριν από το περιστατικό, πριν από τη μετεγκατάσταση, πριν η ομάδα ξεχάσει γιατί αυτό το πεδίο ήταν προαιρετικό. Το μετά θα έρθει. Το μετά έρχεται πάντα, κρατώντας έναν φάκελο με το όνομα evidence pack και μια ερώτηση που αξίζει μια καλύτερη απάντηση από το μάλλον.