Auditoria no Portal Nyverra: quem fez o quê, quando e onde

Quando algo dá errado — uma configuração alterada, um acesso indevido, um registro excluído —, a primeira pergunta é sempre a mesma: quem fez isso? Sem uma trilha de auditoria, a resposta vira especulação. Com ela, vira evidência.

Este guia explica o módulo de Auditoria do Portal Nyverra ITSM: o que ele registra, como investigar e como usar os dados para conformidade.

Interface do módulo no Portal Nyverra ITSM.

O que a Auditoria registra

É o registro das ações relevantes no sistema: quem acessou, criou, alterou, excluiu ou aprovou — com data, hora e contexto. Nem toda leitura é logada; o foco está nas ações de alteração e nas operações sensíveis, conforme a política.

Exemplo de evento	Por que importa
Alteração de configuração	Mudou comportamento para todos
Mudança de permissões/role	Afeta quem pode o quê
Exclusão de registro	Crítico para recuperação e responsabilização
Aprovação/rejeição	Prova da decisão e do autor

Por que isso é indispensável

• Investigação: reconstruir o que aconteceu, na ordem, com autoria.
• Conformidade: ISO 20000 e LGPD exigem rastreabilidade de ações sobre dados e controles.
• Segurança: detectar uso indevido de privilégios.
• Responsabilização: cada ação tem um autor identificável.

Quem usa

Perfil	Uso típico
Administrador / segurança	Investigar e exportar evidências
Gestor	Conformidade e revisão de controles
Auditor (interno/externo)	Consulta com base nas evidências fornecidas

Como usar: passo a passo

1. Abra Governança → Auditoria.
2. Filtre por usuário, ação e data para reduzir o universo.
3. Use os registros para investigar uma alteração sensível ou um desvio.
4. Exporte as evidências quando solicitado por auditoria.
5. Estabeleça uma revisão periódica dos eventos críticos.

Regras de negócio e cuidados

Regra	Explicação
Escopo do log	O foco são ações de alteração; nem toda leitura é registrada.
Retenção	Defina por quanto tempo os logs ficam guardados, conforme a política.
Acesso	Restrinja a consulta a quem tem legitimidade (é dado sensível).
Imutabilidade	Log de auditoria não deve ser editável — confie na trilha, não em quem a operou.

Boas práticas

• Combine auditoria com Rastreabilidade (linha do tempo) para contexto completo.
• Defina uma política de retenção alinhada à LGPD e à ISO 20000.
• Revise eventos críticos periodicamente, não só sob incidente.
• Abra um chamado para cada investigação e registre as conclusões — a própria investigação também vira trilha.
• Restrinja o acesso à consulta e à exportação.

Erros comuns

Situação	O que fazer
Procurar “quem leu” algo	Nem toda leitura é logada; ajuste a expectativa à política.
Logs sem retenção definida	Defina e cumpra a política de retenção.
Acesso amplo à auditoria	Restrinja — é dado sensível de governança.

Perguntas frequentes

A Auditoria registra tudo?
Foca ações relevantes/de alteração, conforme a política — não cada leitura.

Serve para ISO 20000 e LGPD?
Sim, é a base da rastreabilidade exigida por esses padrões.

Posso exportar evidências?
Sim, com filtros e exportação para auditorias.

Automatize via API

A auditoria é exposta por API (/api/auditoria, com filtros e exportação). Referência em developer.nyverra.com.

Cenários de uso: a trilha em ação

1. “Quem mudou essa configuração?” Um comportamento estranho aparece após uma alteração. A auditoria mostra autor, ação e horário — a resposta vem do registro, não de suposição.

2. Acesso privilegiado indevido. Uma conta com privilégios faz algo fora do padrão. A trilha evidencia a ação e alimenta a investigação de segurança.

3. Auditoria de conformidade. Um auditor pede evidências de que controles foram aplicados. Os logs, filtrados por período e recurso, viram prova tangível de conformidade (ISO 20000, LGPD).

KPIs e política de auditoria

Ponto	Definição recomendada
O que logar	Ações de alteração e operações sensíveis
Retenção	Definida por política de conformidade
Acesso à consulta	Restrito a perfis legítimos
Revisão periódica	Eventos críticos revisados com rotina

Auditoria como parte da cultura

A auditoria só vale quando a organização confia nela. Isso significa: trilha imutável, retenção cumprida e investigações documentadas — inclusive a própria investigação vira registro. Combinada à Rastreabilidade (contexto do atendimento) e aos relatórios (visão macro), ela fecha o ciclo de governança: a organização consegue provar, não apenas afirmar, que seus controles funcionam.

Checklist de auditoria

1. Defina o que deve ser logado (ações de alteração).
2. Estabeleça a política de retenção.
3. Restrinja o acesso à consulta.
4. Crie rotina de revisão de eventos críticos.
5. Padronize o export de evidências.
6. Documente investigações realizadas.

Perguntas frequentes adicionais

Toda leitura é registrada?
Não; o foco são ações de alteração e operações sensíveis.

Posso exportar para auditoria externa?
Sim, com filtros por período e recurso.

Quanto tempo manter os logs?
Conforme a política de conformidade da organização.

Conclusão

A Auditoria dá segurança jurídica e operacional ao Portal Nyverra ITSM. Cada ação relevante é rastreável, cada decisão tem autor, e a organização consegue provar — não apenas afirmar — que os controles funcionaram.