Wie ziet wat, wie deed wat en hoe u dat achteraf kunt aantonen

Een recht is geen grote schakelaar. IRIS verdeelt 315 rechten over 66 modules, stuk voor stuk toe te kennen of in te trekken: u bepaalt wie welke camera ziet, wie video exporteert en wie niets anders mag dan kijken. Er zitten acht kant-en-klare profielen bij — beheerder, operator, auditor, supervisor, technicus en nog een paar — en wie een ander profiel nodig heeft, kopieert er een en snoeit erin, zonder limiet. Boven het recht staat het bereik: welke locatie, welke camera, welk dossier, met een einddatum en een waarschuwing een week van tevoren. En één regel staat op het scherm zelf: weigert een groep iets, dan wint die weigering altijd, ook als het profiel het toestaat. Zo geeft u een ruim profiel uit en snoeit u het bij voor één team, zonder een nieuw profiel te verzinnen.

Het auditlogboek accepteert alleen toevoegingen: eenmaal geschreven, blijft het staan. Dat is geen belofte van de software, het is een regel van de gegevensopslag zelf, die elke poging om een regel met de hand te wijzigen of te wissen weigert, van wie die ook komt. Elke regel bewaart 27 gegevens — wie, wat, waarop, vanaf welk adres, de toestand ervoor en erna — en hangt met een vingerafdruk aan de vorige. In een draaiende installatie zijn dat 489 verschillende vastgelegde handelingen: in- en uitloggen, rechtenwijzigingen, het openen van een opname, het draaien van een camera, exports, configuratiewijzigingen. Eén knop loopt de hele keten na en antwoordt of die intact is, of bij welke regel en op welke datum hij breekt. Het logboek wordt bovendien per periode verzegeld, zodat over twee jaar de stand van vandaag nog te toetsen is.

Persoonsgegevens worden per soort behandeld, niet als één hoop. Elke tabel heeft zijn termijn met de rechtsgrond ernaast, en een nachtelijke ronde past ze zelfstandig toe en laat een spoor na van wat er is gewist; voordat u die scherp zet, kunt u hem als proef draaien: dan wist hij niets en laat hij zien wat er zou vallen. De zeven verzoeken die iemand kan indienen — inzage, rectificatie, wissing en de rest — hebben elk hun scherm, hun termijn en hun waarschuwing als die termijn nadert, en elke gebruiker dient het zijne in vanuit zijn profiel. Een datalek wordt geopend met de klok van 72 uur in beeld, en het overzicht licht de overschreden zaken eruit. Privézones van een camera blijven voor iedereen zwart, en ze vrijgeven vraagt een schriftelijke reden, een tweede persoon die goedkeurt en een beperkt venster. Biometrische gegevens hebben een eigen termijn, los van de video, en het scherm zegt met zoveel woorden dat een langere termijn het juridische risico vergroot, in plaats van die stilletjes te laten oprekken.

Compliance houdt u bij als een lijst, niet als een toespraak. Er zijn de 79 maatregelen van het Spaanse nationale veiligheidskader op hoog niveau en de 93 uit bijlage A van de norm ISO 27001, elk met status, bewijs, datum van de laatste beoordeling en wie die deed; beide kaders zijn onderling gekoppeld, dus één verklaring van toepasselijkheid beantwoordt beide audits. Daarbij komen een register van de gebruikte AI-systemen en een wachtrij waarin een mens beslissingen van de machine nakijkt en bevestigt, terugdraait of opschaalt. En het hoort erbij te zeggen wat dit niet is: IRIS is ontworpen om te helpen aan die kaders te voldoen, maar is in geen daarvan gecertificeerd of goedgekeurd. Gecertificeerd wordt de organisatie die het systeem draait, met haar eigen processen en panden; het product levert het bewijsmateriaal daarvoor. De enige goedkeuring door een derde die wij werkelijk hebben, is die voor het tellen van personen, van het Spaanse metrologiecentrum.

De storing die geld kost, is de storing die u ontdekt op de dag dat u de video nodig hebt. Daarom is er een overzicht dat elke camera indeelt — verbindt, geen beeld, met opzet uit, niet gemeten, niet bewaakt — en zegt sinds wanneer dat zo is, hoeveel onderbrekingen er waren in de laatste 24 uur en de laatste zeven dagen, en hoe lang de langste duurde. Bij diensten en servers gaat het net zo: valt er iets uit, dan verschijnt geen rood pictogram maar de reden in gewone taal, en die reden onderscheidt draait niet, is al uren niet ververst, antwoordt maar levert niets, en is met opzet uitgezet. Daarbij komt een diagnose die de stille storingen opjaagt, die nooit een foutmelding geven: twee diensten die om dezelfde poort vechten, een databasewijziging die nooit is toegepast, een bewaker die stilstaat. En één keuze zegt veel over het product: wat niet is gemeten, kleurt het scherm niet groen. Geen storingen en niet kunnen controleren zijn niet hetzelfde, en hier worden ze uit elkaar gehouden.

De hele configuratie leeft in het systeem en wordt in de browser bediend: 1.524 waarden verdeeld over 44 diensten — camera's, opslag, netwerk, termijnen, talen en tijdzones — zonder één bestand om te bewerken en zonder inloggen op de server. Elke wijziging houdt bij wie hem deed en wanneer, en elke parameter is in het platform zelf gedocumenteerd: wat hij regelt, in welke eenheid, wat de standaardwaarde is en wat er gebeurt als u hem op nul zet, wat niet altijd onbeperkt betekent. De certificaatinventaris is van dezelfde school: hij somt ze allemaal op, waarschuwt voor de aflopende en meldt uit zichzelf twee dingen die bijna niemand in een folder zet: dat er wordt geleverd met het fabriekscertificaat, in elke installatie hetzelfde, en dat er adressen van de machine zijn die in geen enkel certificaat staan. Voor een vernieuwing wordt opnieuw het beheerderswachtwoord gevraagd, want een open sessie is niet genoeg om een certificaat te vervangen, en vóór elke ingreep wordt een kopie van het bestaande bewaard. Kleine details, en precies die mist u na een half jaar.