Capítulo 34 — Projeto comparativo
Mapa da aula
Aula 34 publicada. Mapa, exemplo, EX100.
flowchart TD
N0["34.1 Opções"]
N1["34.2 Critérios"]
N2["34.3 Evidência"]
N3["34.4 Recomendação"]
N4["34.6 Apresentação"]
N5["34.7 Linha de capacidade de execução"]
N6["34.8 Honestidade sobre o custo"]
N7["34.9 Dados da linha de capacidade"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX100"]
Desenho lógico
flowchart LR
N0["34.1 Opções"]
N1["34.2 Critérios"]
N2["34.3 Evidência"]
N3["34.4 Recomendação"]
N4["34.6 Apresentação"]
N5["34.7 Linha de capacidade de execução"]
N6["34.8 Honestidade sobre o custo"]
N7["34.9 Dados da linha de capacidade"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX100"]
[34.1 Opções]
|
v
[34.2 Critérios]
|
v
[34.3 Evidência]
|
v
[34.4 Recomendação]
|
v
[34.6 Apresentação]
|
v
[34.7 Linha de capacidade de execução]
|
v
[34.8 Honestidade sobre o custo]
|
v
[34.9 Dados da linha de capacidade]
|
v
[Exemplo resolvido] --> [Exercício EX100]
Objetivos de aprendizagem
Você vai (1) comparar duas abordagens de avaliação; (2) usar os critérios do TRB; (3) recomendar uma combinação.
34.1 Opções
Teste web trimestral no estilo WSTG versus exercício anual de cenário guiado por ameaças. O projeto comparativo coloca duas opções reais uma contra a outra, e não contra a fantasia de orçamento infinito. Os testes web trimestrais que seguem um método no estilo WSTG enfatizam a cobertura de regressão nas aplicações. Os exercícios anuais de cenário guiado por ameaças enfatizam caminhos realistas e o aprendizado do SOC. Sam proíbe uma terceira opção mágica que faz as duas coisas sem custo. A comparação só é honesta quando as opções cabem no calendário e na equipe que o banco realmente tem. Escolher entre alternativas concretas treina o julgamento que os slides de marketing evitam.
34.2 Critérios
Custo, cobertura, aprendizado de detecção, risco operacional e expectativas dos examinadores. Os critérios são fixados antes de as pontuações serem preenchidas, para que a resposta não possa dirigir a rubrica. O custo inclui horas da equipe e faturas de fornecedores; a cobertura pergunta quais classes de ativos são tocadas; o aprendizado de detecção pergunta o que o SOC leva embora; o risco operacional pergunta o quanto a produção é agitada; as expectativas dos examinadores perguntam o que os revisores externos já pediram. Sam trava a lista de critérios no apêndice. Critérios que mudam depois das pontuações são só teatro. Uma rubrica pré-registrada é o que transforma preferência em argumento.
34.3 Evidência
Usar resultados sintéticos do passado e intervalos de Wilson. A evidência da comparação vem de resultados sintéticos do passado, com intervalos de Wilson em torno das taxas de detecção e de cobertura. Estimativas pontuais sem intervalos fazem opções fracas parecerem certezas. Sam exige o mesmo tratamento de intervalo nas duas linhas, para que uma opção não ganhe por formato. Os dados sintéticos são rotulados como sintéticos em cada slide. Leitores que querem precisão falsa são remetidos de volta aos intervalos. Intervalos são como opções honestas sobrevivem ao contato com patrocinadores ansiosos.
34.4 Recomendação
A combinação recomendada mantém os testes web trimestrais para uma cobertura estável e financia um cenário guiado por ameaças a cada dois anos. O exercício anual guiado por ameaças pontuou bem em aprendizado e mal em capacidade de execução. Sam mostra a linha de capacidade antes da linha de aprendizado, para que o charme não vença a aritmética. A recomendação nomeia o que é cortado quando o orçamento aperta. Combinações sem um plano de corte são desejos. Uma recomendação que sobrevive a um corte de orçamento é uma recomendação que a finança consegue financiar. Sam anexa a tabela de opções pontuadas como apêndice, para que o comitê confira cada linha por trás da recomendação antes de votar.
34.5 Não objetivos
Não recomendar zero testes. Um não objetivo explícito é recomendar zero testes como medida de economia. Outro é fingir que slides de marketing de fornecedores são evidência. Sam imprime os não objetivos ao lado da recomendação, para que o atalho barato fique visível. Patrocinadores às vezes pedem a opção zero em particular; o slide responde em público. Nomear o que a análise se recusa a concluir é parte do desenho. Não objetivos mantêm a comparação longe de conclusões que o briefing nunca deveria alcançar.
34.6 Apresentação
Dez slides, decisões por último. A apresentação é limitada a dez slides, com a decisão no último. Colocar o teatro na frente e esconder o pedido é avaliado como falha. A orientação de Sam é declarar a combinação pedida no slide um numa frase e passar o restante justificando. Executivos que precisam caçar o pedido em metáforas perdem a paciência. O limite de slides também bloqueia apêndices disfarçados de narrativa. Clareza sobre a decisão é o produto; os slides são só o veículo.
34.7 Linha de capacidade de execução
As tabelas de comparação incluem uma linha de "capacidade de execução". O exercício guiado por ameaças todo ano pontua alto em aprendizado e baixo em capacidade — a menos que a equipe cresça. As pontuações de aprendizado seduzem os patrocinadores; as de capacidade mantêm os programas reais. A tabela de Sam fez a opção anual guiada por ameaças parecer excelente até a linha de capacidade ficar vermelha. Capacidade pergunta se as mesmas pessoas conseguem entregar sem abandonar os testes web. Sam se recusa a fingir que o heroísmo cobre um déficit de horas. A linha força uma conversa de contratação ou uma cadência mais lenta. Aprendizado sem capacidade é um programa que existe só nos slides.
34.8 Honestidade sobre o custo
As tabelas de comparação incluem horas da equipe, não só faturas de fornecedores. O trabalho web trimestral interno não é de graça só porque nenhum fornecedor enviou boleto. Custeamento só por fatura faz o trabalho interno parecer gratuito e enviesa a tabela na direção de ocupação que a equipe já não consegue terminar. Sam converte horas em custo com uma taxa publicada acordada com a finança. Horas internas aparecem na mesma coluna que as faturas. A honestidade evita a ilusão de que "fazer internamente" remove o custo. Patrocinadores merecem ver o preço completo. Custos ocultos de pessoal voltam como burnout e como janelas perdidas.
34.9 Dados da linha de capacidade
A linha de capacidade usa horas exportadas do controle de ponto, não palpites. Palpites comprimem projetos dolorosos e inflam os arrumados. O export encerra discussões sobre se o ano passado foi mesmo tão pesado. Sam mantém a história da subcontagem à mão para lembrar a sala por que a memória não é uma planilha. Os exports são hasheados no apêndice ao lado das pontuações. Capacidade sem um arquivo de horas é opinião. Dados que sobrevivem a um desafio da finança precisam de um arquivo, não de uma lembrança.
34.10 Cena da aritmética das horas
Linha de capacidade: no ano passado, o exercício guiado por ameaças consumiu 1.200 horas. Os testes web trimestrais consumiram 400. A opção a cada dois anos cabe; a anual não cabe sem contratação. A cena é um momento quieto de planilha, e não um discurso dramático. Mil e duzentas horas ao lado de quatrocentas fazem a escolha bienal guiada por ameaças parecer inevitável. Sam deixa a aritmética falar antes da retórica. Quem ainda quer a cadência anual precisa apontar para novas contratações, e não para entusiasmo. Aritmética é como as recomendações evitam o teatro do heroísmo. Números que cabem num slide ainda precisam caber num calendário.
34.11 Export do controle de ponto
O arquivo de horas é exportado do controle de ponto, não lembrado. A primeira estimativa feita à mão por Sam ficou 30% abaixo e quase aprovou uma cadência impossível. A memória comprime projetos dolorosos e infla os arrumados. O export encerra discussões sobre se o ano passado foi mesmo tão pesado. Sam mantém a história da subcontagem porque ela quase aprovou um plano que teria quebrado a equipe. Estimativas feitas à mão voltam pela porta lateral quando as pessoas estão com pressa. O export é chato e decisivo. Um arquivo chato venceu um plano carismático e impossível.
34.12 Export de horas no apêndice
O export hasheado de horas fica no apêndice comparativo. Pontuações sem o arquivo convidam a refazer a aritmética a partir de anedotas. O hash prova qual export sustentou a tabela. Sam aponta o apêndice quando alguém alega um total de horas diferente na sala. Transparência aqui é uma defesa, e não uma performance. A finança consegue refazer a linha de capacidade sem ligar para Sam à meia-noite. Apêndices que carregam os arquivos transformam discussões em verificações. O apêndice também declara quais códigos de controle de ponto foram contados como teste, porque as horas de relatório e de reteste são fáceis de deixar de fora por acidente.
34.13 Recusar estimativas de horas feitas à mão
Os apêndices comparativos se recusam a aceitar estimativas de horas feitas à mão sem um export do controle de ponto. A recusa é mecânica: sem hash, sem alegação de capacidade. Sam prefere atrasar uma data do conselho a abençoar uma linha chutada. Números feitos à mão voltam pela porta lateral quando as agendas apertam. A regra protege tanto os estudantes quanto os patrocinadores. Capacidade é um fato de arquivo ou não é um fato. Recusas mecânicas economizam discussões que a memória sempre perde.
34.14 O que você cortaria primeiro
As defesas do projeto comparativo perguntam "o que você cortaria primeiro se o orçamento cair pela metade?". Sam responde com qual trimestre de testes web encolhe e qual ano guiado por ameaças desliza. A pergunta do corte revela se o estudante entendeu a capacidade ou só decorou o slogan da combinação. A resposta nomeia o trimestre web que encolhe e o ano guiado por ameaças que desliza, com horas ao lado. Respostas que dizem "cortaríamos a qualidade um pouco em tudo" falham. Cortes nomeados são como as recomendações sobrevivem ao contato com a finança. Um plano de corte é parte da recomendação, e não uma pergunta surpresa. Estudantes que conseguem cortar com honestidade conseguem defender a combinação sob pressão.
34.15 Visual do calendário de dois anos
Ao apresentar a recomendação da combinação, Sam leva um calendário de uma página para dois anos, com o trimestre guiado por ameaças sombreado. Um calendário torna óbvias as colisões com congelamentos e visitas de examinadores. Sombrear o trimestre guiado por ameaças evita a reserva silenciosa em dobro das mesmas pessoas. Linguagem abstrata de combinação esconde essas colisões. Sam treina os estudantes a apontar para o sombreado quando alguém pede "só mais um exercício este ano". Calendários são evidência de capacidade. Uma página que mostra quando as pessoas estão ocupadas vence um slide que só afirma ambição.
34.16 PDF do calendário para a finança
O PDF do calendário de dois anos é o artefato que os conselhos encaminham à finança. A finança raramente encaminha apresentações com as metáforas intactas. O PDF do calendário de uma página sobrevive às cadeias de encaminhamento e ainda mostra quando dinheiro e pessoas são necessários. Sam gera o PDF a partir da mesma planilha da linha de capacidade. Artefatos que viajam sem o apresentador precisam carregar a aritmética sozinhos. O calendário é a combinação em forma de agenda. Se a finança só puder guardar um arquivo, que seja esse.
Exemplo resolvido (TRB sintético)
Sam recomenda testes web trimestrais mais um exercício guiado por ameaças a cada dois anos, citando a linha de capacidade.
Caso sintético — Riverstone Transit Bank (TRB). O banco, Sam Ito, TrackScope/FindingsDesk/PulseMap e todos os números são inventados para fins didáticos.
Erros e limites
Este livro não concede nenhuma autoridade para testar bancos ou sistemas de pagamento reais. Os laboratórios usam apenas endereços de faixas de documentação e dados sintéticos; código de exploit nunca é fornecido.
Exercícios
- EX100 — Maior regressão. Qual abordagem captura melhor as regressões web a cada trimestre? Rubrica: 3 = trimestral no estilo WSTG; 2 = só guiado por ameaças; 1 = nenhuma; 0 = nada.
- EX101 — Aprendizado de detecção. Qual tende a ensinar mais ao SOC sobre caminhos realistas? Rubrica: 3 = exercícios de cenário guiados por ameaças; 2 = varreduras de banner; 1 = nenhuma; 0 = nada.
- EX102 — Combinação. Que combinação Sam recomenda? Rubrica: 3 = web trimestral + guiado por ameaças a cada dois anos; 2 = parcial; 1 = zero testes; 0 = nada.
Síntese
A comparação pré-registrada critérios, evidencia com intervalos e recomenda uma combinação executável.
Continue estudando — capítulo 34 de 40
← Capítulo 33 (rascunho) · Índice de capítulos do curso · Capítulo 35 (rascunho) →