A responsabilidade tem que existir no sistema
Definir propriedade só é útil se for possível reconstruir o que realmente aconteceu. Isso significa conectar a identidade de um agente às suas permissões, ações, ferramentas, subagentes e eventual resultado.
Se algo falhar, a organização deve ser capaz de entender o que aconteceu, por que o agente foi autorizado a fazê-lo, quais permissões permitiram a ação, qual agente realmente a executou e onde o controle falhou. É isso que torna a remediação possível.
É por isso que a identidade, o licenciamento e o rastreamento de execução não podem residir apenas em documentos de políticas. Anotar quem é o proprietário de um agente não é o mesmo que codificar essa propriedade nos sistemas que o governam. Dizer a um agente para não acessar algo não é o mesmo que impedir o acesso. E pedir às equipes que reúnam um incidente posteriormente não é o mesmo que rastrear a execução enquanto o sistema está em execução.
