Trường hợp này tuân theo quy trình xác thực case công khai hiện có của chúng tôi — đây không phải là một hình thức trình diễn mới, và không có chế độ sản phẩm riêng cho từng case nào được bổ sung. Nguồn tài liệu là mô tả case công khai chính thức của MorganFranklin Consulting. Chúng tôi tách riêng các câu trả lời ở giai đoạn sau, sau đó chỉ tái hiện lại những gì có thể biết được vào thời điểm ra quyết định thành một gói dữ liệu phục vụ giảng dạy. Đây là một mô phỏng giảng dạy độc lập dựa trên nguồn công khai đó. Nó không đại diện cho thư từ thực tế hay kết quả thực tế của khách hàng, và MorganFranklin Consulting không sử dụng, xem xét, chứng thực, tài trợ, chứng nhận hay đặt hàng thực hiện Minerva Advisor.

Trường hợp này bắt đầu với một công ty hàng không vũ trụ, quốc phòng và công nghệ thuộc Fortune 50 đã tách ra thành ba doanh nghiệp. Hai trong số các đơn vị được tách ra phải xây dựng lại toàn bộ hệ thống quản lý danh tính và quyền truy cập từ đầu. Các quy trình hiện có của họ mang tính thủ công cao và đã lỗi thời, và cả hai công ty đều phải đối mặt với các hạn tuân thủ quy định đang đến gần. Câu hỏi đặt ra trước ủy ban: sao chép ngay toàn bộ nền tảng cũ, hay xác thực theo từng giai đoạn dựa trên các quyền truy cập trọng yếu, các biện pháp kiểm soát và rủi ro tích hợp đối chiếu với các hạn rõ ràng trước — và những tín hiệu nào sẽ đủ để biện minh cho việc dừng lại, mở rộng hay đảo ngược hướng đi.

Lượt chạy này để lại một biên nhận công việc gồm năm mục. Một, một nguồn công khai duy nhất được lựa chọn. Hai, bốn vai trò cố vấn được xác định rõ. Ba, sự phân tách rõ ràng giữa sáu sự kiện đã biết, hai suy luận và ba câu hỏi còn mở. Bốn, một bảng so sánh có cấu trúc giữa hai hướng triển khai. Năm, ba cách giải thích thay thế được lưu giữ cùng một điều kiện đảo ngược rõ ràng. Tất cả những yếu tố này cùng nhau tạo ra một lộ trình có thể kiểm chứng phía sau nhận định cuối cùng dành cho các lãnh đạo.

Những gì đã biết: cả hai đơn vị được tách ra đều cần xây dựng lại hệ thống quản lý danh tính và quyền truy cập, và quy trình cũ được kế thừa đã lỗi thời và mang tính thủ công. Những gì vẫn chưa rõ tại thời điểm ra quyết định: phạm vi thực sự của các lỗ hổng liên quan đến quyền truy cập trọng yếu và tài khoản dịch vụ, các vấn đề về phân quyền chức năng, các điểm yếu trong việc chấm dứt quyền truy cập, các phụ thuộc tích hợp giữa cloud và hệ thống on-premises, các chu kỳ chứng nhận, và liệu các biện pháp kiểm soát tối thiểu khả thi có thể thực sự được triển khai đúng tiến độ hay không.

Thách thức mạnh nhất: các lỗ hổng trọng yếu có thể chỉ tập trung ở một vài hệ thống, các phụ thuộc tích hợp có thể ở mức tối thiểu, và các lo ngại về rollback có thể không áp dụng ở mọi nơi — nghĩa là việc triển khai theo giai đoạn có thể đang quá thận trọng. Điều kiện đảo ngược được nêu rõ: nếu một cuộc kiểm kê chung chứng minh các lỗ hổng là hạn chế, các phụ thuộc là ít, và khả năng rollback đã được xác minh, khuyến nghị sẽ đảo ngược sang hướng sao chép kết hợp được đẩy nhanh với các biện pháp kiểm soát bù trừ, thay vì tạm dừng toàn bộ để triển khai theo giai đoạn.

Hoàn toàn bị giữ lại, không đưa vào Minerva, là kết quả đã công bố ở giai đoạn sau của MorganFranklin: lộ trình chiến lược mà họ đã xây dựng, công tác xác minh kiểm soát và đảm bảo chất lượng, tích hợp AWS, thiết kế và triển khai SailPoint IIQ, một bằng chứng khái niệm cho khung chứng nhận, hơn bốn mươi nghìn quyền truy cập được đánh giá, hơn bốn nghìn biện pháp kiểm soát được thiết lập hoặc xác thực, và mức giảm bảy mươi phần trăm thời gian rà soát kiểm toán thủ công. Không một yếu tố nào trong số đó xuất hiện trong đầu vào của Minerva.

Ba cố vấn cùng đối chiếu chéo một nhận định từ những góc nhìn khác nhau. Marcus xác định phạm vi kiểm soát thực sự cần được hoàn thành trước hạn tuân thủ quy định. Sofia mô hình hóa các hệ quả đối với bảo mật danh tính, kiểm toán và di chuyển lên cloud. Evelyn đặt câu hỏi liệu việc triển khai theo giai đoạn tự nó có gây ra chậm trễ hay không. Cả ba đều đồng thuận về bước đi đầu tiên: khóa chặt quyền truy cập trọng yếu, phân quyền chức năng, và khả năng rollback có thể xác minh trước khi làm bất cứ điều gì khác. Evelyn bổ sung một lưu ý — nếu hạn thực sự đang cận kề và các lỗ hổng hóa ra là hạn chế, việc triển khai theo giai đoạn quá mức có thể đẩy rủi ro tuân thủ lên cao hơn rủi ro của việc sao chép trực tiếp.

Lãnh đạo đưa vào Decision Room một điều kiện: trước tiên phải kiểm kê quyền truy cập trọng yếu, phân quyền chức năng, việc chấm dứt quyền truy cập, và các phụ thuộc tích hợp, đồng thời xác minh khả năng rollback; nếu các lỗ hổng được chứng minh là hạn chế và các biện pháp kiểm soát tối thiểu có thể được xác minh, thì đẩy nhanh việc mở rộng ngay lập tức. Hệ thống ghi lại điều này như một biên nhận phản hồi chính thức gắn liền với hồ sơ case.

Bảng so sánh cho thấy chính xác cách đầu vào đó thay đổi nhận định. Việc sao chép toàn bộ hệ thống cũ có thể rút ngắn một phần thời gian xây dựng nhưng có nguy cơ mang các quy trình lỗi thời và các lỗ hổng kiểm soát chưa được giải quyết vào cả hai môi trường mới mà không thay đổi. Việc xác thực theo giai đoạn bảo vệ quyền truy cập trọng yếu trước tiên, với chi phí là kỷ luật phạm vi yếu có thể đe dọa đến hạn hoàn thành. Với điều kiện của lãnh đạo được gắn kèm, Minerva xác nhận hướng triển khai theo giai đoạn — đồng thời vẫn giữ lại một điểm kích hoạt rõ ràng, dựa trên bằng chứng, để đẩy nhanh tiến độ.

Hành động đã cam kết: chỉ định thực hiện một cuộc kiểm kê chung về các quyền truy cập rủi ro cao, tài khoản dịch vụ, và các lỗ hổng phân quyền chức năng trên cả hai đơn vị trước khi bất kỳ quyết định xác định phạm vi sao chép hay di chuyển nào được tiến hành. Các nhóm bảo mật danh tính, kiểm toán và tuân thủ, cùng với nhóm di chuyển cloud sẽ nộp bản kiểm kê đó, cùng với phạm vi kiểm soát tối thiểu và bằng chứng về khả năng rollback, trước khi quyết định mở rộng được hoàn tất đối chiếu với hạn tuân thủ quy định.

Lượt chạy này sử dụng bốn lệnh gọi mô hình. Nhận định sẵn sàng ra quyết định đầu tiên được đưa ra trong 18,387 giây, và kết quả hoàn chỉnh, bao gồm cả ba lượt đối chiếu chéo của cố vấn, hoàn tất trong 25,459 giây — đạt cả ngưỡng ba mươi giây cho quyết định đầu tiên và ngưỡng bốn mươi lăm giây cho kết quả hoàn chỉnh. Trường hợp này đã đạt cả mười tiêu chí kiểm tra chất lượng quyết định. Minerva không cấu thành tư vấn về bảo mật hay tuân thủ, và không tuyên bố rằng bất kỳ công việc kỹ thuật chính thức hay kết quả nào đã thực sự xảy ra. Đây vẫn chỉ là một bài kiểm thử trên một trường hợp đơn lẻ và không đại diện cho mức dịch vụ thực tế hay kết quả thực tế của khách hàng.