„Kdo tohle změnil a kdy?“ je otázka, kterou si každá firma dřív nebo později položí — obvykle poté, co malá chyba způsobí větší následek. Zákazníkovi najednou sedí špatné telefonní číslo; částka na faktuře neodpovídá smlouvě; schválení překlopil někdo, kdo na to neměl mít oprávnění. Rychle najít odpověď je to, co dělí drobnou opravu od dlouhého a nepříjemného vyšetřování. Protokol aktivit zabudovaný přímo v platformě znamená, že implementátoři nad auditní stopou nemusí vůbec přemýšlet — u typů, kde ji zapnete, vzniká sama, od prvního dne provozu.
Záznam se pořizuje automaticky. U typu, který má logování zapnuté, vytvoří každé vytvoření, úprava i smazání položku v protokolu. Každá položka nese autora, čas, akci a — u úprav — rozdíl po jednotlivých polích: které vlastnosti se změnily, jaké byly staré hodnoty a jaké jsou nové. Samotné „záznam upraven“ by bylo pro vyšetřování skoro k ničemu. „Stav změněn z Čeká na Schváleno regionálním ředitelem ve 14:02“ je to, co lidé opravdu potřebují.
Každý záznam nese vlastní záložku s aktivitou a v ní svou historii v kontextu. Otevřete záznam, kliknete na záložku a vidíte celou historii změn chronologicky, s rozdíly u každé úpravy. Právě tady většina pátrání začíná. Záznam máte stejně otevřený, historii máte na jedno kliknutí a nemusíte ji rekonstruovat v odděleném protokolu.
Nad úrovní jednotlivého záznamu poskytuje centrální protokol aktivit průřezový pohled napříč prostředím. Filtrujte podle uživatele, typu, akce nebo časového rozsahu a dostanete časovou osu toho, co se dělo, kdo to udělal a s čím. Tady se odpovídá na otázky jako „ukaž mi všechno, co konkrétní uživatel dělal včera“, „ukaž mi každou změnu záznamů Faktura za tento měsíc“ nebo „ukaž mi každé smazání v celém prostředí za poslední čtvrtletí“. Data jsou tatáž jako na záložce u záznamu; protokol je jen jiná optika, která je spíš agreguje než zužuje.
Oprávnění platí i na historii, stejně jako na data. Kdo nevidí záznam, nevidí ani jeho historii; a kdo záznam vidí, ale nevidí určitou vlastnost, uvidí historii záznamu bez změn té vlastnosti. To je důležité v prostředích s citlivými poli — změna platu, kterou nemají vidět nemanažeři, je neviditelná i v jejich pohledu na aktivitu, nejen na samotném záznamu. Protokol je jen dalším průmětem téhož modelu oprávnění, ne samostatným kanálem, který by ho obcházel.
Potlačení prázdných změn je drobnost, ale důležitá. Když uživatel otevře záznam, klikne na uložit a ve skutečnosti se nic nezměnilo — což se stává překvapivě často — nezaloguje se nic. Protokol se tak neplní šumem a rozdíly zůstávají smysluplné. Když položka existuje, něco se změnilo; když se nezměnilo nic, protokol mlčí. Právě tohle jednoduché pravidlo dělá protokol čitelným i o rok později.
Provázaný kontext dělá z jednotlivých položek něco, s čím se dá pracovat. Položka „aktualizováno telefonní číslo zákazníka“ odkazuje zpět na záznam zákazníka; položka „změněna částka faktury“ vede na fakturu a často i na související zákazník nebo objednávku pro širší souvislost. Přejít od otázky k dotčenému záznamu je jedno kliknutí. Vyšetřování, která by jinak vyžadovala křížové porovnávání dvou tří míst, se scvrknou na pár kliknutí skrz protokol.
Propojení se zmínkami uzavírá jeden okruh spolupráce. Zmínka @ ve formátovaném textu — v komentáři, v popisu, v jakékoli vlastnosti s formátovaným textem — se zaznamená jako aktivita, která se nejen objeví v protokolu, ale zároveň spustí oznámení pro zmíněného uživatele. Protokol podchytí, že někdo byl zmíněn, kým a v jakém kontextu. Tým tak dostane obojí: viditelné potvrzení (zmíněnému přijde oznámení) i auditní stopu (kdokoli se později podívá, uvidí, kdo koho označil).
Přes REST API se protokol aktivit dá dotazovat stejně jako kterýkoli jiný typ. Externí systémy si na něj mohou navázat kvůli archivaci pro compliance, bezpečnostnímu monitoringu, byznysové analytice — podle toho, co je zrovna potřeba. Ve spojení s webhooky můžete události aktivity posílat v reálném čase do SIEM, datového skladu nebo Slacku. Protokol není zamčený uvnitř platformy; je to adresovatelná datová sada jako každá jiná.
Výkon ve velkém je u této funkce důležitější než u většiny jiných, protože rušné prostředí vyprodukuje spoustu aktivity. Vrstva logování je navržená tak, aby zápisy pokud možno zpracovávala asynchronně, takže audit nikdy nebrzdí uživatelovo uložení. Centrální protokol zvládne miliony položek se stránkováním, filtrováním a rozumnými pravidly uchovávání — a na straně provozovatele je doba uchování nastavitelná pro každé prostředí zvlášť, což se hodí v regulovaném prostředí se specifickými požadavky.
Pro hlubší auditní potřeby zachycuje novější funkce protokol událostí (má vlastní článek) širší okruh událostí — přihlášení, běhy automatizací, administrátorské operace, systémové události — v jednotné podobě. Protokol aktivit zůstává pohledem zaměřeným na záznamy; protokol událostí je pohled na celé prostředí. Dohromady pokrývají jak forenzní otázku („co se stalo s tímto záznamem?“), tak provozní („co se dělo v tomto prostředí?“).