Inizia ora

Manuale d'uso

Evidenza

Dronetrake non tiene un registro qualsiasi: tiene evidenza. La differenza è concreta. Un registro lo può correggere chi ha accesso al database, e nessuno se ne accorge. L'evidenza è costruita perché una manomissione si veda, e perché la data di un fatto la garantisca qualcuno che non siamo noi. Questo capitolo spiega cosa è in evidenza, come funziona, cosa costa e — altrettanto importante — cosa l'evidenza non prova.

Che cosa vuol dire, in una frase

Un fatto è in evidenza quando valgono tre cose insieme:

  1. è scritto in una voce che non si riscrive (o che, se si cancella, lascia traccia);
  2. la voce porta un'impronta (SHA-256) calcolata sul suo contenuto più l'impronta della voce precedente: è la catena;
  3. la testa della catena riceve, a intervalli regolari, una marca temporale da un prestatore indipendente.

Da quel momento chiunque, anche senza fidarsi di noi, può ricalcolare la catena e stabilire che quel fatto esisteva, così com'è, prima di quell'ora. La domanda «chi ha fatto cosa, e quando?» ha una risposta documentale, non a memoria.

Le catene

Ogni organizzazione ha cinque catene, una per ogni famiglia di fatti:

C'è poi una sesta catena, di piattaforma: il registro degli atti — accessi riusciti e falliti, cambi di ruolo, ingressi e uscite dalle organizzazioni, cambi di piano, sospensioni, revoche di link e chiavi, atti dello staff. È una catena sola, nostra, sigillata ogni notte, e la produciamo su richiesta quando serve ricostruire chi ha fatto cosa.

Nell'impronta entrano i fatti; le etichette correggibili ne restano fuori. Correggere un'etichetta non spezza niente; toccare un fatto sì, in modo evidente.

I due livelli

Livello 1 — la catena e il sigillo notturno. La catena c'è sempre e per tutti, senza costo e senza scelta: dal piano gratuito in su, ogni voce nasce con il suo anello. Il sigillo notturno si accende dal profilo dell'organizzazione, con l'interruttore «Sigillo notturno con marca temporale»: è gratuito, e da quel momento ogni notte la testa di ogni catena riceve la marca di un prestatore indipendente. È una marca non qualificata: dimostra che a quell'ora la catena era quella, ed è più che sufficiente per il proprio archivio, per un cliente, per una rendicontazione interna. Con l'interruttore acceso, nel pannello compare la pagina Evidenza.

Livello 2 — la marca qualificata eIDAS. È la data opponibile a terzi: la mette un prestatore qualificato secondo il regolamento europeo eIDAS, indipendente da noi, e il suo nome compare nella pagina Evidenza appena la prima marca è emessa. Questa è una scelta, a marche contate, e si esprime in tre modi:

Una marca qualificata copre tutto ciò che è stato evidenziato in giornata su quella catena: il costo è per notte e per catena, non per voce. Il tetto mensile dipende dal piano: Solo e School nessuna marca qualificata, Pilot quindici al mese, Crew e Ops senza tetto (il limite è il giro notturno stesso). Se le marche sono finite, non si perde niente: il volo, la ripresa o il file restano al livello 1, e la pagina Evidenza mostra la richiesta in attesa.

La pagina Evidenza

La trovi nel cluster Conformità, quando il sigillo notturno è acceso. Mostra:

Una regola vale per tutto: una marca copre ciò che esisteva prima di lei. Quello che nasce dopo aspetta la marca successiva. Per questo la pagina dice sempre qual è la finestra: la marca arriva col giro notturno, non all'istante.

Le riprese marcate come evidenza

Una ripresa marcata evidenza cambia natura: la retention non la pota più, riceve una copia fuori dal server (la pagina dice se è fatta o in corso), e non si cancella dal pannello. Per cancellarla va prima declassata a ordinaria, e resta scritto chi lo ha fatto e quando. È il caso in cui l'automatismo protegge dal caso, e il modello protegge dalla persona.

Le check-list firmate

Una check-list si compila, si corregge e si firma. Dopo la firma non si modifica e non si cancella da sola: da nessuna strada, nemmeno dalla console. Alla firma nasce il verbale — le voci spuntate, il firmatario, l'ora, la missione — che entra in catena. Se un giorno la missione viene cancellata, la check-list se ne va con lei lasciando una lapide, ma il verbale resta, con la sua impronta e il sigillo che lo copre.

Cancellare, e cosa resta

Cancellare si può, tranne dove l'evidenza lo vieta: le voci di logbook sotto i tre anni, le riprese marcate evidenza, i verbali, gli attestati. Ma niente sparisce in silenzio: ogni cancellazione lascia una lapide con che cosa era, quando, per quale regola (a mano, retention, purga) e per mano di chi. La lapide conserva anche l'anello della voce cancellata: per questo la catena regge anche senza di lei, e la verifica continua a tornare.

Una cancellazione fatta di nascosto, fuori dal prodotto, non lascia lapide: la catena si spezza, e la verifica lo dice. È esattamente il lavoro che deve fare.

Verificare

Dall'interno: la pagina Evidenza, e nella scheda di ogni volo l'impronta intera, copiabile.

Dall'esterno, senza account: il QR dei report di missione apre una pagina pubblica che ricalcola la catena da zero a ogni visita, volo per volo, e mostra le impronte dei file consegnati. Lo stesso vale per il certificato di storia di un drone, per l'attestato di un pilota e per l'attestato di addestramento di un allievo: chi riceve il documento verifica da sé, e vede l'esito, non i tuoi dati interni.

Da parte nostra: ogni notte il sistema riverifica tutti i sigilli emessi, ricalcolando ogni catena fino alla testa marcata; se qualcosa non torna, lo sappiamo prima di chiunque. E ogni diciotto mesi le marche vengono rinnovate — un albero di impronte su tutti i token, e una marca sola sulla radice — perché la validità di una marca temporale non è eterna.

Alla chiusura

Se l'organizzazione chiude, riceve il dossier di consegna: il logbook completo con impronte e contenuti firmati, i sigilli con i token delle marche, e un LEGGIMI che spiega come riverificare tutto offline, con strumenti standard, senza Dronetrake. Poi si apre una finestra per scaricarlo; scaduta la finestra, i dati si cancellano — la conservazione dei registri è un obbligo dell'operatore, e da quel momento è nelle sue mani. Restano da parte nostra i sigilli e le lapidi delle voci cancellate: attestano che il registro è esistito, fino a quale testa e quando è stato cancellato, senza contenere i tuoi dati. Chi vuole può scegliere la custodia: i registri restano da noi, sigillati, in sola lettura, verificati ogni notte e con le marche rinnovate, finché la custodia è pagata; quando smette, si apre la finestra di 90 giorni e il ciclo riparte da lì.

Cosa l'evidenza non è

← Conformità Business →