Quem viu o quê, quem fez o quê, e como se prova isso depois

Permissão não é uma chave geral. O IRIS reparte 315 permissões por 66 módulos, e elas se dão e se tiram uma a uma: você decide quem enxerga qual câmera, quem exporta vídeo e quem não pode fazer nada além de olhar. Já vêm oito perfis montados — administrador, operador, auditor, supervisor, técnico e mais alguns — e quem precisar de outro duplica um e corta o que sobra, sem limite. Em cima da permissão vem o alcance: sobre qual instalação, sobre qual câmera, sobre qual caso, com data de validade e com aviso uma semana antes de vencer. E tem uma regra escrita na própria tela: se um grupo nega alguma coisa, essa negativa ganha sempre, mesmo que o perfil libere. É isso que deixa dar um perfil amplo e cortar ele para um grupo específico sem inventar perfil novo.

O registro de auditoria só aceita acréscimo: escreveu, ninguém encosta mais. E isso não é promessa do programa, é regra do próprio banco de dados, que rejeita qualquer tentativa de alterar ou apagar um lançamento na mão, venha de quem vier. Cada lançamento guarda 27 dados — quem, o quê, sobre o quê, de qual endereço, como estava antes e como ficou depois — e se prende no anterior por uma impressão digital. Numa instalação rodando isso dá 489 ações diferentes registradas: entrada e saída de gente, mudança de permissão, a abertura de uma gravação, o movimento de uma câmera, exportação, mudança de configuração. Um botão percorre a corrente inteira e responde se ela está íntegra ou em qual lançamento e em que data ela se rompeu. O registro ainda é selado por período, para daqui a dois anos alguém conseguir confrontar o estado que ele tinha hoje.

Dado pessoal se trata por tipo, não no atacado. Cada tabela tem o prazo dela com a base legal escrita do lado, e uma passagem de madrugada aplica isso sozinha e deixa rastro do que apagou; antes de armar, você pode rodar em simulação, que não apaga nada e mostra o que cairia. Os sete pedidos que uma pessoa pode fazer — acesso, correção, exclusão e os outros — têm cada um a tela dele, o prazo dele e o aviso dele quando o vencimento se aproxima, e qualquer usuário abre o dele pelo próprio perfil. Um incidente com dados abre já com o relógio de 72 horas à vista, e o painel destaca os que já estouraram esse prazo. As áreas privadas de uma câmera ficam pretas para todo mundo, e revelar exige motivo escrito, uma segunda pessoa aprovando e tempo limitado. Os dados biométricos têm prazo próprio, separado do vídeo, e a tela avisa por escrito que esticar esse prazo aumenta a exposição legal, em vez de deixar esticar sem ninguém falar nada.

Conformidade aqui se leva como lista, não como discurso. Estão lá os 79 controles do Esquema Nacional de Segurança de nível alto e os 93 do anexo A da norma ISO 27001, cada um com o estado dele, as evidências, a data da última revisão e quem revisou; os dois quadros vão cruzados um com o outro, então uma declaração de aplicabilidade só responde às duas auditorias. Tem ainda um registro dos sistemas de inteligência artificial em uso e uma fila em que uma pessoa revisa decisões da máquina e confirma, anula ou escala. E é bom dizer o que isso não é: o IRIS foi desenhado para ajudar a cumprir esses quadros, mas ele não está certificado nem homologado em nenhum deles. Quem se certifica é a organização que opera o sistema, com os processos e as instalações dela; o que o produto entrega são as provas para chegar lá. A única homologação de terceiro que a gente tem de verdade é a da contagem de pessoas, pelo Centro Español de Metrología, o instituto nacional de metrologia da Espanha — que não é homologação brasileira e não vale como tal.

O defeito que sai caro é o que se descobre no dia em que o vídeo faz falta. Por isso tem um painel que classifica cada câmera — on-line, sem imagem, desligada de propósito, sem medir, sem ninguém acompanhando — e diz desde quando ela está assim, quantos cortes teve nas últimas 24 horas e nos últimos sete dias, e qual foi o mais longo. Com os serviços e os servidores é a mesma coisa: quando alguma coisa falha, ninguém pinta um ícone de vermelho, se escreve o motivo, e o motivo separa não está rodando, está horas sem atualizar, responde mas não produz e foi desligado de propósito. Tem ainda um diagnóstico que caça as falhas mudas, aquelas que nunca dão erro: dois serviços brigando pela mesma porta, uma alteração de banco de dados sem aplicar, um processo de monitoramento parado. E uma decisão que diz muito sobre o produto: quando alguma coisa não foi medida, a tela não pinta de verde. Não ter defeito e não ter sido possível conferir não são a mesma coisa, e aqui as duas aparecem separadas.

Toda a configuração mora dentro do sistema e se mexe pelo navegador: 1.524 valores espalhados por 44 serviços — câmeras, armazenamento, rede, prazos, idiomas e fusos horários — sem um arquivo sequer para editar e sem entrar no servidor. Cada alteração guarda quem fez e quando, e cada parâmetro está documentado dentro da própria plataforma: o que ele governa, em que unidade, qual é o valor padrão dele e o que acontece se for posto em zero, que nem sempre quer dizer infinito. O inventário de certificados é da mesma escola: lista todos, avisa dos que vencem e levanta por conta própria dois alertas que quase ninguém escreve em folheto: que você está servindo com o certificado de fábrica, o mesmo em todas as instalações, e que tem endereço da máquina que não consta em certificado nenhum. Renovar um certificado pede a senha do administrador de novo, porque estar com a sessão aberta não basta para trocar um certificado, e antes de mexer em qualquer coisa fica guardada uma cópia do que existia. São detalhes pequenos, e são exatamente os que fazem falta seis meses depois.