Chi vede che cosa, chi ha fatto che cosa e come si dimostra dopo

Un permesso non è un interruttore grande. IRIS distribuisce 315 permessi in 66 moduli, concessi o tolti uno per uno: si decide chi vede quale telecamera, chi esporta video e chi non può fare altro che guardare. Otto profili arrivano già pronti — amministratore, operatore, auditor, supervisore, tecnico e altri — e chi ne serve uno diverso li duplica e li accorcia, senza limiti. Sopra il permesso c'è l'ambito: quale sede, quale telecamera, quale caso, con data di scadenza e con avviso una settimana prima. E c'è una regola scritta sullo schermo: se un gruppo nega qualcosa, quel diniego vince sempre, anche se il profilo lo concede. È così che si dà un profilo ampio e lo si stringe per una squadra precisa senza inventare un profilo nuovo.

Il registro di audit accetta solo aggiunte: si scrive e non si tocca più. Non è una promessa del programma, è una regola dell'archivio dati stesso, che rifiuta qualsiasi tentativo di modificare o cancellare a mano una voce, da chiunque arrivi. Ogni voce conserva 27 dati — chi, cosa, su cosa, da quale indirizzo, com'era prima e com'è rimasto dopo — ed è legata alla precedente da un'impronta. In un impianto in funzione fanno 489 azioni diverse registrate: accessi e disconnessioni, cambi di permesso, l'apertura di una registrazione, il movimento di una telecamera, esportazioni, modifiche di configurazione. Un pulsante percorre l'intera catena e risponde se è integra oppure in quale voce e in che data si è spezzata. Il registro viene inoltre sigillato per periodi, così fra due anni si potrà riscontrare lo stato che aveva oggi.

I dati personali si trattano per tipo, non in blocco. Ogni tabella ha la sua scadenza con la base giuridica scritta accanto, e una passata notturna le applica da sola lasciando traccia di ciò che ha cancellato; prima di armarla si può lanciare in prova, che non cancella nulla e mostra che cosa cadrebbe. Le sette richieste che una persona può presentare — accesso, rettifica, cancellazione e le altre — hanno ciascuna la sua schermata, il suo termine e il suo avviso quando la scadenza si avvicina, e ogni utente presenta la propria dal suo profilo. Una violazione di dati si apre con l'orologio delle 72 ore bene in vista, e il pannello segnala quelle che l'hanno superato. Le zone private di una telecamera restano nere per tutti, e scoprirle richiede un motivo scritto, una seconda persona che approvi e una finestra limitata. I dati biometrici hanno una scadenza propria, separata dal video, e lo schermo avverte per iscritto che allungarla aumenta l'esposizione legale, invece di lasciarla allungare senza che nessuno dica nulla.

La conformità si tiene come un elenco, non come un discorso. Ci sono i 79 controlli dello Schema Nazionale di Sicurezza spagnolo di livello alto e i 93 dell'allegato A della norma ISO 27001, ognuno con il suo stato, le sue evidenze, la data dell'ultima verifica e chi l'ha fatta; i due quadri sono incrociati fra loro, così una sola dichiarazione di applicabilità risponde a entrambi gli audit. C'è inoltre un registro dei sistemi di intelligenza artificiale in uso e una coda in cui una persona rivede le decisioni della macchina e le conferma, le annulla o le porta più in alto. E conviene dire che cosa non è: IRIS è progettato per aiutare a rispettare quei quadri, ma non è certificato né omologato in nessuno di essi. A certificarsi è l'organizzazione che gestisce il sistema, con i suoi processi e le sue sedi; quello che il prodotto porta sono le prove per arrivarci. L'unica omologazione di terzi che abbiamo davvero è quella del conteggio delle persone presso il Centro Spagnolo di Metrologia.

Il guasto che costa caro è quello che si scopre il giorno in cui serve il video. Per questo c'è un pannello che classifica ogni telecamera — connette, senza immagine, spenta di proposito, non misurata, non sorvegliata — e dice da quando è così, quante interruzioni ha avuto nelle ultime 24 ore e negli ultimi sette giorni, e quale è stata la più lunga. Con i servizi e i server vale lo stesso: quando qualcosa non va non compare un'icona rossa, viene scritto il motivo, e quel motivo distingue fra non è in esecuzione, sono ore che non si aggiorna, risponde ma non produce ed è stato spento di proposito. C'è inoltre una diagnosi che caccia i guasti muti, quelli che non danno mai errore: due servizi che si contendono la stessa porta, una modifica alla base dati mai applicata, un sorvegliante fermo. E una scelta dice molto del prodotto: quando una cosa non è stata misurata, lo schermo non la dipinge di verde. Non avere guasti e non aver potuto controllare non sono la stessa cosa, e qui le due si distinguono.

Tutta la configurazione vive dentro il sistema e si tocca dal browser: 1.524 valori distribuiti in 44 servizi — telecamere, archiviazione, rete, scadenze, lingue e fusi orari — senza un solo file da modificare e senza entrare nel server. Ogni modifica conserva chi l'ha fatta e quando, e ogni parametro è documentato dentro la piattaforma stessa: che cosa governa, in quale unità, qual è il valore predefinito e che cosa succede se lo si mette a zero, che non sempre significa illimitato. L'inventario dei certificati è della stessa scuola: li elenca tutti, avvisa di quelli in scadenza e solleva da solo due avvertenze che quasi nessuno scrive in un depliant: che si sta servendo con il certificato di fabbrica, lo stesso in tutte le installazioni, e che ci sono indirizzi della macchina che non compaiono in nessun certificato. Rinnovarne uno chiede di nuovo la password dell'amministratore, perché avere la sessione aperta non basta per sostituire un certificato, e prima di toccare qualsiasi cosa si conserva copia di quello che c'era. Sono dettagli piccoli, e sono proprio quelli che mancano dopo sei mesi.