Auditor de Exceções de Segurança
Encontra as exceções temporárias que nunca terminaram
- 8regras rígidas
- Coisas que ele nunca pode fazer, impostas em toda execução
- 5regras de repasse
- Condições em que ele para e entrega o trabalho a uma pessoa
- 9campos de saída
- Um resultado estruturado, não um parágrafo para reler
- ≤7passos por execução
- Trabalho delimitado: no máximo 5 chamadas de ferramenta, impostas pelo runtime
Somente leitura, por projeto. Este agente não tem caminho para enviar, gastar, publicar ou assumir nada. Onde esse limite é o produto, tirá-lo tiraria o motivo para confiar no resultado.
Visão geral
Toda política de segurança precisa de um jeito de dizer "desta vez não", então exceções são concedidas: uma regra de firewall aberta para uma migração, múltiplo fator dispensado para uma conta de serviço, um sistema operacional sem suporte mantido vivo por causa de uma aplicação, um fornecedor autorizado a conectar sem atender ao padrão. Cada uma é uma decisão defensável tomada por alguém competente sob pressão real, com uma data de término anexada.
A data de término é a parte que falha. Ninguém é medido por encerrar uma exceção, a pressão que a criou desaparece no momento em que ela é concedida, e o dono segue a vida. O registro cresce, e depois de alguns anos a postura real da organização é a política menos uma lista que ninguém leu de ponta a ponta.
A versão composta é pior que qualquer entrada isolada. Três exceções individualmente razoáveis podem se combinar num caminho — um host sem correção, alcançável a partir de um segmento aberto temporariamente, usando uma conta dispensada de múltiplo fator. Ninguém concedeu esse caminho. Ele existe porque três aprovações separadas nunca se encontraram.
Este agente lê o registro contra a realidade: o que venceu e segue em vigor, o que pertence a alguém que saiu, quais controles compensatórios foram prometidos e nunca implementados, e quais combinações formam um caminho. Ele não concede nada, não muda nada, e nunca afirma que algo está seguro.
Benefícios
O registro para de crescer
Porque o que deveria ter sido encerrado fica visível.
Caminhos encontrados antes de um atacante
As combinações que ninguém aprovou de propósito.
Uma resposta honesta para auditores
O que está dispensado, por quê, e por quanto tempo.
O que faz
Encontra exceções vencidas ainda em vigor
Ninguém é medido por encerrar uma, e a pressão que a criou sumiu no dia em que foi concedida.
Confere se o controle compensatório existe
Exceções são aprovadas na promessa de um. É a primeira coisa a não ser implementada e a última que alguém confere.
Encontra combinações que ninguém aprovou
Três exceções razoáveis que juntas formam um caminho. Nenhum aprovador isolado jamais viu, porque nenhum viu as outras duas.
Rastreia exceções órfãs
De alguém que saiu. Uma exceção sem dono não vai ser encerrada por ninguém.
Reporta a postura honestamente
O seu padrão real é a política menos esta lista, e quase ninguém jamais a leu de ponta a ponta.
Não concede e não muda nada
Ele não toca em controle, regra nem entrada de registro, e nunca declara que algo está seguro.
O que isso muda
O que isso muda na sua semana
- Ele assume
- Ler o registro de exceções contra o que de fato ainda está em vigor.
- Hoje quem faz é
- Ninguém de ponta a ponta. Exceções são concedidas individualmente e nunca lidas juntas.
- Com que frequência
- Trimestral no papel; na prática, na auditoria.
- Esforço manual típico
- Cada entrada exige vencimento, dono e controle compensatório prometido conferidos.
Por que Cibersegurança em particular. Ninguém é medido por encerrar uma exceção, e a pressão que a criou some no dia em que ela é concedida. Pior: três exceções individualmente razoáveis podem formar um caminho que nenhum aprovador jamais viu.
Roda sem supervisão
Você ou um evento dá a partida, e ele chega ao fim sozinho. Nada fica esperando alguém estar na mesa.
O mesmo padrão todas as vezes
O ducentésimo item recebe o mesmo rigor do primeiro. A constância é a parte que as pessoas não conseguem sustentar.
Ele não pode agir por conta própria
Auditor de Exceções de Segurança não tem caminho para enviar, gastar ou assumir compromissos. É esse limite que torna seguro agir com base no que ele entrega.
Como roda
Este agente é executado no servidor, pelo ambiente de execução da PROMIVO. Cada execução é registada passo a passo e cada chamada de ferramenta tem as permissões verificadas antes de ser executada.
- 1EntradaValidada contra o esquema de entrada do agente
- 2Modeloclaude-opus-5 com fallback automático
- 3Ferramentassearch_knowledge, extract_structured_data
- 4PermissõesExecuta automaticamente as ações de nível READ; tudo acima disso espera aprovação
- 5SaídaResultado estruturado, conforme o esquema de saída
- 6RegistroTokens, duração e cada passo ficam registrados
Demonstração
Dados de demonstraçãoIllustrative sample output, abridged.
Entrada
{
"asAtDate": "2026-09-02",
"exceptions": []
}Saída
{
"escalate": true,
"noExpiry": [
"6 exceptions have no expiry date and apply to production systems. A permanent exception is a policy change that was never made as one."
],
"orphaned": [
"9 exceptions are owned by 4 people who have left. Nobody is going to close these."
],
"disclaimer": "A review of the register and records supplied. No control, rule, policy or exception has been changed, granted or closed; no system was scanned, probed or tested; no statement is made that anything is secure, insecure or exploitable; and combinations are reasoning from the register rather than tested attack paths.",
"combinations": [
{
"basis": "Reasoning from the register only. This is not a tested path and no assessment has been made of whether it is exploitable.",
"exceptions": [
"EXC-114",
"EXC-208",
"EXC-231"
],
"sharedElement": "The payment reconciliation host",
"whatItRemoves": "Three separate approvals have removed multi-factor on the service account, network isolation for an unsupported OS, and the patching requirement — all on the same host. No approver saw the other two."
}
],
"escalationReason": "An exception on a system handling payment data expired 1,372 days ago, a compensating control was never implemented, and three exceptions combine on one host.",
"expiredStillInForce": [
{
"system": "Payment reconciliation service",
"expiredOn": "2022-11-30",
"reference": "EXC-114",
"dataHandled": "Payment data",
"daysExpired": 1372,
"controlBypassed": "Multi-factor authentication"
}
],
"controlsBypassedRepeatedly": [
"The patching standard has 23 live exceptions. That is a control that does not fit the estate, not 23 separate decisions."
],
"missingCompensatingControls": [
"EXC-208 was approved on the basis of network isolation for an unsupported operating system. No isolation appears in any record. The approver agreed to an exception with a control; what exists is the exception without it."
]
}Requisitos
Integrações
Nenhuma integração necessária.
Antes de começar
- O registro de exceções: o quê, por quê, quem aprovou, vencimento, controle compensatório
- Os sistemas e contas a que cada exceção se aplica
- Lista atual de pessoal
- Se cada controle compensatório foi implementado, onde estiver registrado
- Requer o plano Acesso total ou superior
Casos de uso
Revisão trimestral de exceções
O que venceu, o que não tem dono, o que não tem controle.
Antes de uma certificação
O que um avaliador vai perguntar primeiro.
Depois de uma reorganização
Quais exceções perderam o dono.
Reporte ao comitê de risco
A postura real, não a política.
Preço
Acesso total
Cobrado mensalmente pela sua assinatura PROMIVO. Cancele quando quiser.
As execuções consomem a cota do seu plano para execuções de agentes e tokens. Veja limites do plano
Perguntas frequentes
Ele muda controles de segurança?
Não. Ele não toca em controle, regra de firewall, política nem entrada de registro. Encerrar uma exceção pode quebrar um sistema em produção, e essa decisão pertence a quem é dono dela.
Ele faz varredura ou teste nos nossos sistemas?
Nunca. Ele não faz varredura, sondagem nem teste de nenhum tipo. Ele lê o registro e os documentos que vocês fornecerem.
Como ele encontra combinações?
Conferindo se exceções tocam o mesmo sistema, a mesma conta ou o mesmo caminho de rede. Ele reporta a combinação e o que ela permitiria, e diz com todas as letras que está raciocinando a partir do registro e não de um caminho de ataque testado.
Avaliações
As avaliações abrem depois que os clientes tiverem executado este agente.
Precisa que este agente funcione de outro jeito?
Diga o que mudar e a nossa equipe vai definir o escopo de uma versão personalizada para a sua empresa.
Personalizar este agente