Sáng nay tôi đang xem Newton Explorer thì có một điều nhỏ nhưng quan trọng thu hút sự chú ý của tôi.
Mỗi lần đánh giá đều để lại một biên lai đã ký trên chuỗi. Nhìn qua thì điều đó có vẻ như câu chuyện đầy đủ. Chính sách đã được thực thi, quyết định đã được đưa ra, và bằng chứng mật mã cũng tồn tại. Dưới góc độ kiểm toán, nó trông có vẻ sạch sẽ. Dưới góc độ tuân thủ, nó trông có vẻ vững chắc. Và từ góc độ sản phẩm, thật dễ để cho rằng như vậy là đủ để giải thích điều gì đã xảy ra.
Nhưng càng nhìn tôi càng nhận ra rằng một biên lai và lịch sử quy tắc không phải là cùng một thứ.
Biên nhận cho bạn biết rằng một chính sách đã được đánh giá tại một thời điểm cụ thể. Nó cho biết hệ thống đã tạo ra một kết quả hợp lệ theo một phiên bản nào đó của các quy tắc. Điều nó không tự động nói cho bạn là những quy tắc đó là gì—liệu chúng có được thay đổi sau đó hay không—và liệu chính sách đang hoạt động còn phản ánh đúng ý định hiện tại của người quản trị hay không.
Sự khác biệt đó quan trọng hơn nhiều so với những gì ban đầu có vẻ như vậy.
Nếu một người quản trị cập nhật chính sách Rego theo thời gian thì mỗi biên nhận sẽ được gắn với mã băm (hash) của chính sách đã đang hoạt động tại thời điểm đánh giá. Điều đó hữu ích. Nó giúp bảo toàn tính toàn vẹn. Nhưng nó cũng có nghĩa là một biên nhận được xem hôm nay có thể thuộc về một phiên bản chính sách hiện đã không còn. Nói cách khác, bằng chứng là thật nhưng ngữ cảnh có thể đã thay đổi sang giai đoạn tiếp theo.
Điều này không thực sự là một điểm yếu. Nó chủ yếu là một vấn đề về tài liệu. Một hệ thống kỹ thuật có thể xác minh rằng một việc đã xảy ra đúng cách mà không cần làm cho việc đó trở nên hiển nhiên ngay lập tức cách các quy tắc nền tảng đã phát triển. Đối với cơ quan quản lý, một nhà phân bổ, hoặc thậm chí một nhà phát triển đang cố xem xét quá khứ, sự khác biệt đó là quan trọng. Chỉ riêng một biên nhận hợp lệ có thể chưa đủ để tái dựng bức tranh tuân thủ, trừ khi dòng theo dõi phiên bản chính sách cũng dễ kiểm tra.
Đó là phần mà nhiều người có thể bỏ sót.
Biên nhận chỉ có thể được diễn giải rõ ràng như hồ sơ chính sách nằm đằng sau nó. Nếu Explorer hiển thị bằng chứng nhưng không nêu bật một cách rõ ràng lịch sử phiên bản thì dòng thời gian cập nhật và lý do chính sách thay đổi sẽ khiến kết quả giống như một bản ghi quyết định hơn là một bản tường thuật tuân thủ có thể đọc hiểu đầy đủ. Về mặt kỹ thuật có thể xác minh được. Nhưng việc nắm bắt ngay lập tức thì không phải lúc nào cũng vậy.
Tôi nhận ra điều này vì nó gợi cho tôi một sai lầm đơn giản mà nhiều người mắc phải trong quy trình của chính họ. Một bảng điều khiển hiển thị cho họ một con số, một cờ hoặc một trạng thái, và họ tin vào đó mà không kiểm tra liệu các quy tắc đứng đằng sau nó có được làm mới, sửa đổi hay điều chỉnh âm thầm hay không. Kết quả vẫn trông có vẻ hợp lệ. Những giả định bên dưới có thể không phải là những giả định họ nghĩ rằng mình đang làm việc với.
Vì vậy, câu hỏi quan trọng không chỉ là liệu biên nhận có tồn tại hay không. Câu hỏi là liệu người đọc sau này có thể hiểu được chính sách nào đã tạo ra nó, phiên bản nào đang hoạt động, và chính sách đó phù hợp như thế nào trong lịch sử tổng thể của các thay đổi.
Nếu các biên nhận của Newton được dùng để hỗ trợ các ca sử dụng tuân thủ thực sự thì Explorer phải làm nhiều hơn việc chỉ hiển thị rằng đã đưa ra một quyết định. Nó cần làm cho quyết định trở nên rõ ràng trong bối cảnh. Nếu không, bằng chứng vẫn còn nguyên vẹn nhưng câu chuyện xung quanh có thể vẫn cảm giác chưa đầy đủ.
