Revisjonsspor er ikke lenger internt — det er noe kundene dine kjøper

Noe har endret seg i hvem som spør om tilgangsstyring. Før var revisjonsspor et internt kvalitetsanliggende. Nå kommer spørsmålene utenfra, fra tre kanter samtidig — og de treffer driftsselskapet, fordi driftsselskapet sitter med nøklene.

Forsikringsselskapene

Spørreskjemaene for cyberforsikring har blitt konkrete: hvordan styres privilegert tilgang, hvordan dokumenteres fratredelser, hvem hos leverandøren har administratortilgang. Kundens svar på disse spørsmålene handler i praksis om dere — og upresise svar kan påvirke både premie og forsikringsbarhet. Et driftsselskap som lar kunden svare presist, er mer verdt enn ett som lar kunden svare «vi har rutiner for det».

Revisorene

Når kundens revisjon tester IT-generelle kontroller, er tilgangsstyring en klassiker: vis oss at endringer i tilganger er godkjent, og at det godkjente er det utførte. I en driftsmodell med sakssystem, manuell utførelse og Entra-logger i tre separate systemer, er hvert slikt spørsmål et arkeologisk prosjekt — fakturerbart for ingen, irriterende for alle.

Regelverket

EU-regelverk innen finans og kritisk infrastruktur trekker i samme retning, med skjerpede krav til styring av tilganger, leverandøroppfølging og sporbarhet — krav som forplanter seg nedover i leverandørkjeden til driftsselskapene som faktisk holder i miljøene. Konkrete påstander om hva det enkelte regelverket krever, bør alltid sjekkes mot regelteksten før de brukes i salg.

Samme bevis, tre spørrere

Alle tre ber om det samme: en sammenhengende kjede fra begrunnelse til utført endring. Det er nøyaktig det en ordremodell produserer som biprodukt av vanlig drift. I Entra Logic er hver endring i hver kundetenant født som en strukturert ordre med avsender og begrunnelse, godkjent av riktig instans i den tenantens flyt, og utført automatisk mot Microsoft Graph — med hele kjeden i ett spor. Ingen har stående administratorrettigheter som må forklares.

Merk hva dette ikke er: Entra Logic er ikke et sertifiserings- eller attesteringsprodukt. Det kjører ikke periodiske rekertifiseringskampanjer og håndhever ikke arbeidsdelingsregler — trenger kunden det, finnes det egne verktøy for det. Det Entra Logic gir, er selve bevisgrunnlaget de fleste av spørsmålene faktisk handler om: kontinuerlig, komplett og oppslagbart, ikke rekonstruert i etterkant.

Gjør sporbarheten til en del av leveransen. Konkurrentene dine leverer drift. Dere kan levere drift som kan bevises.