Wenn Lesezugriffe auf Tabellen mit Personendaten für das Team sichtbar gemacht werden, sinkt die Zahl breiter Abfragen auf diese Tabellen

Hypothese

Der Zugriff auf Tabellen mit Personendaten wird üblicherweise über Berechtigungen (Grants) und manchmal über Row-Level-Policies geregelt. Diese Kontrollen ändern nichts daran, wie Personen mit legitimem Zugriff die Daten abfragen: Ein Entwickler, der einen Ticket-Fehler untersucht, führt SELECT * auf der users-Tabelle aus, ein Analyst joint die ganze Tabelle statt nur die benötigten Zeilen. Die Hypothese lautet, dass Sichtbarkeit allein dieses Verhalten verändert. PostgreSQLs Parameter log_statement legt fest, welche SQL-Anweisungen protokolliert werden, und eine tabellenweise Zusammenfassung des Protokolls braucht keine neue Durchsetzungsmassnahme. Die Behauptung lautet: Wenn jeder Lesezugriff auf die bezeichneten Personendaten-Tabellen zusammen mit der ausführenden Rolle protokolliert und dem Team wöchentlich zusammengefasst wird (wer welche Tabelle gelesen hat, wie viele Zeilen, mit oder ohne Prädikat auf Personenebene), sinkt der Anteil breiter Lesezugriffe, ohne dass die für die Arbeit nötigen engen Lesezugriffe zurückgehen. Der vorgeschlagene Wirkmechanismus ist nicht die Furcht vor einem Audit, sondern die Konkretheit, den eigenen Namen neben "alle Zeilen von users" in einer von Kolleginnen und Kollegen gelesenen Zusammenfassung zu sehen.

Vorhersage

Im Vergleich der acht Wochen vor Einführung der Zusammenfassung mit den acht Wochen danach, bei durchgehend laufender Protokollierung: Der Anteil der Anweisungen gegen die bezeichneten Tabellen ohne Prädikat auf eine Personenkennung oder mit Auswahl aller Spalten sinkt; die Zahl der Anweisungen mit Prädikat auf Personenebene bleibt in ihrem bisherigen Bereich; die pro Anweisung zurückgegebenen Zeilen sinken. Der Effekt ist am grössten bei interaktiven Sitzungen von Entwicklerinnen und Entwicklern und am kleinsten bei geplanten Jobs, deren Abfragen einmalig geschrieben wurden. Sinkt der Anteil breiter Lesezugriffe nicht, oder sinken die engen Lesezugriffe im gleichen Verhältnis (die Leute fragen schlicht weniger ab), ist die Hypothese falsch.

Vorgeschlagener Test

1. Die Tabellen festlegen, die Anweisungsprotokollierung für die Rollen aktivieren, die sie lesen dürfen, und das Protokoll in Datensätze zerlegen: Rolle, Tabelle, Vorhandensein eines Prädikats auf Personenebene, Spalten-Wildcard, Sitzungstyp. Das Anweisungsprotokoll enthält keine Zeilenzahl; Zeilen pro Anweisung und Rolle stammen aus der Spalte rows von pg_stat_statements.
2. Die Protokollierung acht Wochen lang laufen lassen, ohne etwas zu veröffentlichen, um die Ausgangslage zu ermitteln; dem Team mitteilen, dass die Protokollierung existiert, da es beim Test um Sichtbarkeit geht, nicht um heimliche Überwachung.
3. Eine wöchentliche Zusammenfassung an das ganze Team starten, die pro Rolle die obigen Zahlen auflistet; acht Wochen lang fortführen.
4. Die beiden Zeiträume anhand der in der Vorhersage genannten Grössen vergleichen, pro Rolle und pro Sitzungstyp; absolute Zahlen berichten, nicht nur Anteile.
5. Das Team anschliessend fragen, welche Abfragen sie geändert haben und weshalb, um Verhaltensänderung von Arbeitslastveränderung zu trennen.

Status

Es wird kein Ergebnis behauptet. Die Ankündigung der Protokollierung in Schritt 2 kann das Verhalten bereits verändern, bevor die Zusammenfassung existiert, was den gemessenen Effekt verkleinern würde; die Arbeitslast kann sich über vier Monate hinweg auch aus unabhängigen Gründen ändern, weshalb enge Lesezugriffe als Kontrollgrösse mitverfolgt werden.