Quem vê o quê, quem fez o quê e como se demonstra depois

Uma permissão não é um interruptor grande. O IRIS reparte 315 permissões por 66 módulos, e concedem-se ou retiram-se uma a uma: decide-se quem vê que câmara, quem exporta vídeo e quem não pode fazer mais nada além de olhar. Vêm oito perfis feitos — administrador, operador, auditor, supervisor, técnico e mais alguns — e quem precise de outro duplica-os e corta-os, sem limite. Por cima da permissão está o alcance: sobre que instalação, sobre que câmara, sobre que caso, com data de validade e com aviso uma semana antes de expirar. E há uma regra escrita no próprio ecrã: se um grupo nega algo, essa negação ganha sempre, mesmo que o perfil o conceda. É o que permite dar um perfil amplo e cortá-lo para um grupo concreto sem inventar um perfil novo.

O registo de auditoria só admite acrescentar: escreve-se e não se toca mais. Isto não é uma promessa do programa, é uma regra do próprio armazém de dados, que rejeita qualquer tentativa de alterar ou apagar um assento à mão, venha de quem vier. Cada assento guarda 27 dados — quem, o quê, sobre o quê, de que endereço, como estava antes e como ficou depois — e prende-se ao anterior com uma impressão digital. Numa instalação a funcionar isso dá 489 ações diferentes registadas: entradas e saídas, mudanças de permissão, a abertura de uma gravação, o movimento de uma câmara, exportações, mudanças de configuração. Um botão percorre a cadeia inteira e responde se está íntegra ou em que assento e em que data se partiu. O registo é ainda selado por períodos, para que daqui a dois anos se possa confrontar o estado que tinha hoje.

Os dados pessoais tratam-se por tipo, não em bloco. Cada tabela tem o seu prazo com a base legal escrita ao lado, e uma passagem noturna aplica-os sozinha e deixa rasto do que apagou; antes de a armar pode lançar-se em simulacro, que não apaga nada e mostra o que cairia. Os sete pedidos que uma pessoa pode apresentar — acesso, retificação, apagamento e os restantes — têm o seu ecrã, o seu prazo e o seu aviso quando o vencimento se aproxima, e qualquer utilizador apresenta o seu a partir do perfil. Uma violação de dados abre-se com o relógio de 72 horas à vista, e o painel destaca as que já o ultrapassaram. As zonas privadas de uma câmara ficam a negro para toda a gente, e revelá-las exige motivo escrito, uma segunda pessoa que o aprove e um tempo limitado. Os dados biométricos têm prazo próprio, separado do vídeo, e o ecrã avisa por escrito que alargá-lo aumenta a exposição legal, em vez de deixar que se alargue sem que ninguém diga nada.

A conformidade leva-se como uma lista, não como um discurso. Estão os 79 controlos do Esquema Nacional de Segurança de nível alto e os 93 do anexo A da norma ISO 27001, cada um com o seu estado, as suas evidências, a data da última revisão e quem a fez; os dois quadros vão cruzados entre si, por isso uma só declaração de aplicabilidade responde às duas auditorias. Há ainda um registo dos sistemas de inteligência artificial em uso e uma fila onde uma pessoa revê decisões da máquina e as confirma, anula ou escala. E convém dizer o que isto não é: o IRIS está desenhado para ajudar a cumprir esses quadros, mas não está certificado nem homologado em nenhum deles. Quem se certifica é a organização que explora o sistema, com os seus processos e as suas instalações; o que o produto traz são as provas para lá chegar. A única homologação de um terceiro que temos mesmo é a da contagem de pessoas perante o Centro Espanhol de Metrologia.

A avaria que sai cara é a que se descobre no dia em que faz falta o vídeo. Por isso há um painel que classifica cada câmara — liga, sem imagem, desligada de propósito, sem medir, sem vigilância — e diz desde quando está assim, quantos cortes leva nas últimas 24 horas e nos últimos sete dias, e qual foi o mais longo. Com os serviços e os servidores passa-se o mesmo: quando algo falha não se pinta um ícone vermelho, escreve-se o motivo, e o motivo distingue entre não está a correr, está há horas sem se atualizar, responde mas não produz e foi desligado de propósito. Há ainda um diagnóstico que caça as falhas mudas, as que nunca dão erro: dois serviços a disputar a mesma porta, uma alteração de base de dados por aplicar, um vigilante parado. E uma decisão que diz muito do produto: quando algo não foi medido, o ecrã não o pinta de verde. Não é o mesmo não haver avarias e não ter sido possível verificar, e aqui distinguem-se as duas coisas.

Toda a configuração vive dentro do sistema e mexe-se a partir do navegador: 1.524 valores repartidos por 44 serviços — câmaras, armazenamento, rede, prazos, idiomas e fusos horários — sem um único ficheiro para editar e sem entrar no servidor. Cada alteração guarda quem a fez e quando, e cada parâmetro está documentado dentro da própria plataforma: o que governa, em que unidade, qual é o seu valor por omissão e o que acontece se se puser a zero, que nem sempre quer dizer infinito. O inventário de certificados é da mesma escola: enumera-os todos, avisa dos que caducam e levanta por sua conta dois avisos que quase ninguém escreve num folheto: que se está a servir com o certificado de fábrica, o mesmo em todas as instalações, e que há endereços da máquina que não constam de nenhum certificado. Renovar um volta a pedir a palavra-passe do administrador, porque ter a sessão aberta não chega para substituir um certificado, e antes de mexer em fosse o que fosse guarda-se cópia do que havia. São detalhes pequenos, e são precisamente os que fazem falta ao fim de seis meses.