Convictions opérationnelles
DeshCyber considère qu'un contrôle n'est prouvé que lorsqu'une partie indépendante peut recalculer le même verdict à partir des mêmes données d'entrée et de la même version de règle publiée.
Ce ne sont pas des valeurs affichées au mur. Chacune correspond à quelque chose que l'entreprise publie, sépare ou refuse de faire, afin qu'un client puisse nous en tenir responsables.
Chaque conviction est écrite comme une contrainte, afin de pouvoir être vérifiée plutôt qu'admirée.
Une réponse à un questionnaire est une opinion. Un contrôle est prouvé par l'artefact qui le montre en fonctionnement à une date donnée.
En pratique
Chaque verdict est livré avec ses données d'entrée, son horodatage et sa version de règle.
La logique qui décide de la réussite ou de l'échec est écrite et versionnée avant d'être appliquée à un environnement client.
En pratique
La version de règle est citée sur chaque rapport que nous émettons.
La fonction qui revoit les preuves ne dépend pas de la fonction qui les produit, de sorte qu'aucun résultat n'est noté par son auteur.
En pratique
L'assurance conserve une ligne de rattachement indépendante au conseil.
Les modèles aident à lire des documents et à rédiger des textes. Ils ne décident jamais si un contrôle est satisfait.
En pratique
Les productions de l'IA sont étiquetées et vérifiables ; les verdicts restent fondés sur des règles.
Les preuves sont produites là où les systèmes fonctionnent déjà, plutôt que copiées au préalable dans le lac de données d'un fournisseur.
En pratique
Le déploiement conserve les enregistrements sources dans votre environnement.
Un constat qu'un auditeur ne peut pas lire n'est pas un constat. Chaque écran aboutit à un export qu'une personne peut déposer.
En pratique
Les exports sont lisibles par machine et intelligibles en anglais et en bengali.
Quatre engagements dont un réviseur achats ou assurance peut tenir l'entreprise responsable.
La logique de contrôle est publiée avec une date d'effet avant qu'un verdict ne s'y appuie.
Quiconque dispose des mêmes données d'entrée et de la même version de règle obtient le même résultat.
Les systèmes sources et les entrepôts de preuves restent sous les propres contrôles du client.
Les modifications de règles sont diffusées avec un délai de revue avant d'affecter un verdict.
Les principes, les personnes et le modèle de mission derrière la structure décrite ci-dessus.
Le modèle de mission présente les quatre étapes, les artefacts que chacune laisse derrière elle et les conditions dans lesquelles nous les menons.