CERTIMAND / Dekking & beperkingen
Dekking & beperkingen
In de openbare synthetische demonstratie zijn vier representatieve controles geïmplementeerd. Dit is een werkende validatie-MVP, niet het volledige product met zestien controles zoals beschreven in de ontwikkelingsroadmap.
| Controle | Wat het aantoont | Grens |
|---|---|---|
| C03 · Toegang bij uitdiensttreding | Vergelijk de feitelijke einddatum van een dienstverband met waargenomen accounttoegang in gekoppelde systemen en een goedgekeurde intrekkingstermijn. | Ontbrekende of gedeeltelijke gegevens kunnen intrekking niet bewijzen. Het demodoel van 24 uur is een fictief klantbeleid, geen wettelijke deadline. |
| C11 · Verantwoordelijkheid voor workloads | Controleer of een opgegeven automatiseringsidentiteit een aangewezen, actieve verantwoordelijke heeft. | Eén ondersteunde synthetische workload. De controle detecteert niet elke bot en berekent geen effectieve toegangsrechten. |
| C08 · Sterke authenticatie | Maak onderscheid tussen MFA-registratie en bewijs dat MFA wordt afgedwongen voor een opgegeven systeemonderdeel met bevoorrechte toegang. | Geen volledige analyse van Conditional Access. Zonder bewijs van afdwinging blijft het resultaat niet beoordeeld. |
| C16 · Beoordelingsfrequentie | Vergelijk een door de klant bepaalde beoordelingstermijn met een synthetische voltooiingsverklaring. | Eén opgegeven kritiek systeem. Gedetailleerde beoordelingsbeslissingen worden niet verstrekt. Een verklaring bewijst niet dat verwijderingsacties zijn uitgevoerd. |
Bronstatus
HR-, Microsoft Entra- en GitHub-gegevens zijn synthetische momentopnamemodellen. Live gegevensverzameling, CSV-uploads van klanten en authenticatie bij bronsystemen zijn niet ingeschakeld. Er worden geen broncode uit repositories, wachtwoorden of geheime inloggegevens verzameld.
Eerlijke resultaten
PASS betekent dat met het vereiste bewijs aan de gedefinieerde synthetische controle is voldaan. FAIL betekent dat een afgebakende discrepantie is waargenomen. NOT_EVALUATED betekent dat noodzakelijk bewijs ontbreekt, verouderd is of niet eenduidig kan worden gekoppeld. Dekking wordt afzonderlijk gerapporteerd. Een gedeeltelijke momentopname bewijst niet dat een eerdere bevinding is opgelost.
Reproduceerbaar bewijs
De downloadbare ZIP bevat een vastgelegde momentopname, beoordeling, manifest, beperkingen en een zelfstandig Go-verificatieprogramma met de vastgelegde broncode van de regels. Het programma controleert bestandshashes en voert de beoordeling opnieuw uit met die implementatie. Het pakket heeft geen vertrouwde digitale handtekening of gekwalificeerde tijdstempel.
Regelgevende context
Verwijzingen naar identiteit en toegangscontrole staan in de artikelen 20 en 21 van de Gedelegeerde Verordening (EU) 2024/1774 van de Commissie, die DORA aanvult. Dit zijn niet de artikelen 20 en 21 van de basisverordening DORA. Toepasbaarheid en juridische koppelingen vereisen specialistische beoordeling; deze demo vormt geen nalevingsverklaring.
Wat volgt er
Live alleen-lezenconnectoren, goedgekeurde beleidsconfiguratie, klantauthenticatie en terugkerende bewijsverzameling komen in aanmerking voor een afgebakend traject met ontwikkelpartners. Extra sectoren, agents, bronnen en partnermogelijkheden blijven toekomstopties totdat de vraag en economische haalbaarheid ze rechtvaardigen.
Probeer de bewijsdemo · Bespreek een afgebakend proefproject