审查本身很容易。 难的是知道该审查什么。

评分依据权限本身记录的属性得出，分值范围为 0 到 11。账户类型最多加 2 分（员工 0 分，承包商 1 分，第三方服务提供商或服务账户 2 分），支持关键或重要职能加 2 分，数据分类最多加 2 分，访问级别最多加 2 分，特权访问加 2 分，远程访问加 1 分。补偿性控制措施则会减分：多因素认证（MFA）减 2 分，活动日志记录减 1 分，强密码策略减 1 分。各项权重均已公开，计算在数据库中完成，您可以手动重新计算登记册中的任何一项评分。

因为评分的目的是将注意力引向真实的风险敞口，而不是惩罚必要的访问。一名拥有特权、可访问机密数据并支持关键职能的第三方管理员，评分为 11 分。在同一项权限上启用 MFA、活动日志记录和密码策略后，其评分降为 7 分。该模型鼓励修复根本性的薄弱环节，而不仅仅是更频繁地进行审查。

审查状态是推导得出的，而不是存储下来的。每次您打开登记册时，Venvera 都会根据上次审查日期逐行计算状态：没有日期的为“从未审查”，不足 335 天的为“有效”，335 到 365 天之间的为“即将到期”，超过 365 天的为“逾期”，已撤销的条目为“不适用”。由于无需手动维护任何内容，状态不会像电子表格中的某一列那样逐渐过时。

是的，而且它们是一等账户类型，而不是事后才想到的补充。在评分模型中，服务账户和 ICT 第三方服务提供商的访问具有最高的基础权重，因为它们通常拥有管理员权限，没有可以询问的直属经理，也从不出现在入职、调岗和离职流程中。在大多数登记册中，它们都位于按风险排序的列表顶端。

一份注明日期的记录，包含周期范围、审核人、对每一项的决定（批准、修改或撤销）、理由，以及做出决定时的风险评分。正是最后这个字段，让一年后有人问起时，过去的某项批准依然站得住脚。整个周期可导出为 CSV 文件，供审计师使用。

同一份登记册和同一个审查周期，可以同时为以下要求提供证据：ISO 27001 附录 A 中的访问控制、SOC 2 逻辑访问通用准则、欧盟 NIS2 指令第 21(i) 条关于访问控制策略的要求、欧盟《数字运营韧性法案》（DORA）第 9 条关于保护与预防的要求，以及 PCI DSS 要求 7。证据映射到每一项控制措施，而不是按框架各归档一次，因此一个周期即可满足所有这些要求。

不是。所有 Venvera 套餐均包含该功能，起价为每月 EUR 399，既不单独销售，也不限于更高级别的套餐。

可以。登记册支持 CSV 导入，因此您已经从身份提供商或各个系统导出的数据可以直接加载，无需重新录入。Venvera 不会像专门的身份治理套件那样从已连接的系统中自动发现权限，这是为了更快完成一个经得起检验的首个审查周期而做出的坦诚取舍。