Es gibt zwei Möglichkeiten, ein Problem in einem Pull Request zu melden. Die eine ist zu sagen: 'Das sieht so aus, als könnte es nicht konform sein.' Die andere ist zu sagen: 'Dies löscht das Audit-Log für eine privilegierte Aktion, das ISO 27001 A.8.15 erwartet, dass Sie behalten.' Die erste ist Rauschen. Die zweite ist etwas, worauf ein Entwickler reagieren oder widersprechen kann. Der Unterschied ist die Klausel.
Das genaue Zitieren der Klausel ist der Kern der Art und Weise, wie heygrc einen Befund meldet, und es ist auch eine Einschränkung, die wir akzeptieren: Wenn wir die Klausel nicht benennen können, ziehen wir es vor, nichts zu sagen. Hier ist der Grund.
Der vage Befund ist schlimmer als nichts
Ein Befund ohne Klausel überlässt dem Leser die Arbeit, die wir übersprungen haben. Ist das echt? Welche Regel? Wo soll ich das überhaupt überprüfen? Beim ersten Mal schaut der Leser nach. Nach einigen Befunden, die sich als nichts herausstellen, hört er auf, die Befunde überhaupt noch zu lesen, auch die wahren nicht. Ein Compliance-Prüfer, der 'Wolf' schreit, bekommt keine zweite Chance, er wird stummgeschaltet.
Die knappe Ressource ist nicht die Abdeckung. Es ist das Vertrauen, und ein vager Befund verbraucht es.
Ein Zitat ist eine widerlegbare Behauptung
Die genaue Nennung der Klausel verwandelt ein Gefühl in eine überprüfbare Behauptung. Sie teilt dem Leser mit, welche Kontrolle auf einer Ebene, die er überprüfen kann, und lädt ihn ein, zu widersprechen. Das ist das Merkmal, kein Nebeneffekt: Ein Befund, den man widerlegen kann, ist ein Befund, dem man vertrauen kann, wenn er sich als richtig erweist.
async function runExport(userId, rows) {- await audit.log("data.export", { userId, count: rows.length }) return write(rows)}Nicht 'das sieht nicht konform aus'. Die konkrete Behauptung: Dies entfernt den Datensatz einer Massen-Datenexport-Aktion, die Art von Ereignis, das A.8.15 erwartet, dass Sie protokollieren. Sie können A.8.15 öffnen, sich den Diff ansehen und selbst entscheiden, ob die Behauptung zutrifft. Das ist der Punkt.
Die Granularität ist der schwierige Teil
Die Klausel muss die richtige Granularität haben. 'Das betrifft ISO 27001' ist fast so nutzlos wie Schweigen. 'Dies entfernt die Protokollierung, die A.8.15 verlangt' ist handlungsorientiert. Dorthin zu gelangen bedeutet, die tatsächliche Änderung, das Verhalten, das sich im Diff bewegt hat, der spezifischen Kontrolle zuzuordnen, die es regelt. Nicht dem Framework, nicht der Kontrollfamilie, der Klausel.
Der größte Teil der Schwierigkeit beim Aufbau eines Compliance-Prüfers liegt hier. Zu bemerken, dass sich etwas geändert hat, ist der einfache Teil. Die genaue Kontrolle zu benennen, die sich geändert hat, und zwar korrekt, ist die eigentliche Arbeit.
Wenn wir nicht zitieren können, bleiben wir still
Das ist der Kompromiss, den wir eingehen, besonders zu Beginn: Präzision vor Vollständigkeit. Wenn wir eine Änderung nicht einer spezifischen Klausel zuordnen können, bei der wir uns sicher sind, geben wir keine weichere, vage Warnung aus, nur um auf Nummer sicher zu gehen. Ein falscher oder nicht überprüfbarer Befund kostet mehr Vertrauen als ein übersehener Befund, und Vertrauen ist das, was die wahren Befunde überhaupt erst zur Geltung bringt.
Schweigen ist ein Merkmal, wenn die Alternative Rauschen ist. Ein Prüfer verdient das Recht, geglaubt zu werden, indem er still bleibt, wenn er unsicher ist.
Es ist noch wichtiger, wenn der Leser ein Agent ist
Wenn ein Codierungs-Agent derjenige ist, der den Befund liest, ist ein nicht überprüfbares 'das sieht nicht konform aus' noch schlimmer: Der Agent kann nicht darüber nachdenken oder darauf reagieren, also ignoriert er es oder rät. Ein Befund, der die Kontrolle und die Klausel benennt, ist etwas, das sowohl ein Mensch als auch ein Agent nutzen können: die Kontrolle nachschlagen, sehen, was sie erwartet, entscheiden. Das Zitat ist die Schnittstelle.
Die Messlatte ist einfach zu formulieren und schwer einzuhalten: Jeder Befund benennt die Klausel, oder es gibt keinen Befund. Das ehrliche Maß dafür, ob wir sie einhalten, ist die granular korrekte Zitierung unserer Befunde bei echten Diffs, etwas, das wir aus unseren eigenen Bewertungen melden werden, wenn wir sie durchgeführt haben, mit Zahlen oder gar nicht.