Журнали аудиту: нудна функція, від якої залежать державні контракти

Журнали аудиту рідко когось захоплюють. Але під час перевірки безпеки для державного сектору саме за ними часто звіряють заяви постачальника з тим, що система справді може підтвердити.

Що хочуть знати аудитори

У федеральному каталозі заходів безпеки NIST SP 800–53 є ціла група вимог щодо аудиту та підзвітності, на яких ґрунтуються й профілі FedRAMP. Практичні запитання прості: хто і до чого звертався? Коли й звідки? Що змінив? Чи можна це показати та довести, що записи не підміняли?

Що це означає для голосового AI

Для голосової системи корисний журнал аудиту має показувати, про який дзвінок ідеться, що сказала система, на яке джерело спиралася у відповіді, коли передала дзвінок працівнику та хто з персоналу згодом відкривав запис або транскрипт. Такі дані дають змогу відстежити й перевірити рішення — саме це потрібно установі, коли громадянин оскаржує те, що йому повідомили.

Баланс із мінімізацією даних

Що більше подій ми записуємо, то більше даних накопичуємо. Ми вже писали, чому безпечніше зберігати менше. Рішення — фіксувати події та доступ до даних, а не сам вміст. Наприклад, записати, що транскрипт відкрив певний працівник, але не копіювати його текст до журналу. Добре спроєктований аудит підтверджує, що сталося, і водночас зберігає мінімум чутливої інформації.

Чому це не можна додати згодом

Журналювання легко додати абияк, але майже неможливо — якісно. Якщо від самого початку події не фіксували послідовно й у спосіб, стійкий до підміни, відновити історію вже не вдасться. На запит аудитора про минулий квартал не відповіси журналами, які ведуться лише від сьогодні.

Таку функцію не виносять на головну сторінку сайту. Але часто саме від неї залежить, чи підпишуть контракт.

Oleksii Kocherev

CEO, Optima Voice

Голосові AI-агенти для бізнесу, освіти та держави

Оригінал статті опубліковано на Medium.