Dois públicos, dois relatórios, os mesmos dados
O relatório voltado ao terceiro detalha achados, políticas reprovadas e a fila de remediação com prazo — é o material que a equipe técnica do outro lado usa para agir. O relatório voltado ao comitê de risco resume Security Score, tendência entre avaliações, distribuição de alertas por severidade e progresso de remediação — sem exigir que quem lê conheça o detalhe técnico de cada controle.
Os dois vêm da tela de Reports e partem exatamente da mesma evidência — não são dois processos de coleta separados, apenas dois recortes do mesmo conjunto de dados do workspace.
RBAC: quem pode ver e fazer o quê em cada workspace
Cada usuário recebe um papel com escopo definido dentro de Settings — Roles: o que pode visualizar, o que pode editar e sobre qual workspace essa permissão vale. Um responsável do terceiro enxerga o próprio workspace; um analista da contratante pode ter visão sobre múltiplos workspaces sem acesso de escrita à configuração de conexão do terceiro.
Settings — Users mantém o cadastro de quem está em cada workspace, e Settings — Organization concentra a identidade e a configuração do próprio tenant da contratante.
- Papéis com escopo definido por workspace em Settings — Roles
- Cadastro de usuários e convites gerenciado em Settings — Users
- MFA e SSO configuráveis em Settings — Security & MFA e Settings — SSO
- Chaves de API e integrações auditáveis em Settings — API Keys e Settings — Integrations
Trilha de auditoria como evidência de governança
A tela de Activity registra quem conectou uma conta, quem abriu ou fechou um caso, quem alterou um papel e quando cada avaliação foi executada. Essa trilha é o que transforma governança de intenção declarada em fato verificável — inclusive perante o próprio comitê de risco, quando a pergunta é sobre quem tinha acesso a quê e quando.
Critérios de aceite para governança de um programa de terceiros
Um programa de terceiros com múltiplos workspaces precisa sustentar os mesmos critérios de governança em qualquer escala de portfólio.
- Relatório técnico e relatório executivo derivados da mesma evidência, sem recoleta manual
- Papel e escopo de cada usuário auditáveis por workspace
- Toda ação sensível — conexão, papel, caso — registrada na trilha de Activity
- Licença e limites de uso visíveis em Settings — License para a organização