Capítulo 26 — Segurança de TO, IoT e sistemas ciberfísicos: alternativas de arquitetura
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Alternativas"]
N1["26.2 Critérios"]
N2["26.3 Decisão"]
N3["Nota prática"]
N4["26.1b Custo, competências e gatilhos de revisão"]
N5["Nota de campo — pressupostos de competência"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Alternativas"]
N1["26.2 Critérios"]
N2["26.3 Decisão"]
N3["Nota prática"]
N4["26.1b Custo, competências e gatilhos de revisão"]
N5["Nota de campo — pressupostos de competência"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX076"]
[26.1 Alternativas]
|
v
[26.2 Critérios]
|
v
[26.3 Decisão]
|
v
[Nota prática]
|
v
[26.1b Custo, competências e gatilhos de revisão]
|
v
[Nota de campo — pressupostos de competência]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) comparar monitores locais com analytics em nuvem para dados de TO; (2) avaliá-los frente às restrições de residência dos dados e de segurança de processo; (3) escolher uma alternativa rejeitando as outras de forma explícita.
26.1 Alternativas
A: monitores seriais/IP locais com detectores locais. B: coleta local com analytics no historiador do site. C: SaaS de analytics em nuvem recebendo valores de processo. Cada uma atende a restrições diferentes.
Lena descreve cada opção para a ABP com a mesma estrutura: para onde vão os dados de processo, quem a opera, como ela falha e quanto custa. A opção C enviaria valores de processo para fora do site, o que levanta de imediato questões de residência dos dados e de confidencialidade das receitas. As opções A e B mantêm os dados no site, mas diferem na rapidez com que conseguem impor decisões no caminho de escrita.
26.2 Critérios
Independência da segurança de processo, residência dos dados, comportamento de falha fechada, operabilidade pela equipe do site, custo. Dê mais peso à segurança física e à residência do que à novidade.
Lena acorda os pesos com o engenheiro de segurança de processo e com o gerente da planta antes de pontuar. A independência da segurança física e a residência dos dados têm o maior peso, porque uma falha ali não pode ser desfeita por correções posteriores. Cada opção é pontuada com evidências, e as opções que reprovam num critério de segurança física são rejeitadas, quaisquer que sejam as suas outras notas. Os pesos são publicados na análise, para que os revisores possam contestá-los.
26.3 Decisão
A ABP rejeitou a C porque as tendências próximas às receitas não podem sair do site sem uma exceção no nível do conselho. Escolheu a A para a imposição no caminho de escrita, com a B para a pesquisa de detecção de prazo mais longo sobre réplicas.
Caso sintético — Ashford Batch Plant. Uma demonstração da C por um fornecedor parecia caprichada; o jurídico e a segurança de processo bloquearam o upload irrestrito. O ADR-011 registra a rejeição.
O ADR-011 registra essa decisão. As razões são curtas: a opção A impõe as decisões localmente no caminho de escrita e pode ser operada pelos engenheiros do site; a opção B acrescenta pesquisa de detecção, mas exige competências que o turno da noite não tem, então fica para o trabalho diurno sobre réplicas. A opção C continua rejeitada até que as regras de residência mudem, que é o seu gatilho de revisão registrado.
26.4 Erros e limites
Uma análise de alternativas que ignora as cláusulas de dados da permissão de trabalho é teatro.
Na ABP, as cláusulas de dados da permissão proíbem que valores de processo saiam do site sem uma exceção no nível do conselho, então a opção C reprovou antes de qualquer comparação técnica. Lena registra essa restrição no topo da análise, para que os leitores vejam por que a C foi rejeitada sem ler a pontuação. Uma análise que tivesse dado nota alta à C ignorando a permissão teria desperdiçado o tempo do conselho e poderia ter pressionado alguém a conceder uma exceção.
Nota prática
Documente as competências que cada alternativa exige. Um pipeline em nuvem que ninguém no site consegue operar falha aberto socialmente, mesmo que falhe fechado tecnicamente.
26.1b Custo, competências e gatilhos de revisão
Inclua o custo anual aproximado e as competências que cada alternativa exige. Uma opção que precisa de seis pessoas em tempo integral para operar com falha fechada não é gratuita. Termine a análise de alternativas com uma decisão, as opções rejeitadas com as razões e um gatilho de revisão (reabrir se a lei de residência mudar).
Os custos de troca importam: um monólito que já exporta listas de permissões assinadas pode crescer para serviços; um contrato de SaaS com exceções de residência é mais difícil de desfazer no meio de um incidente. Prefira opções que mantenham uma saída de emergência offline para negar/permitir.
O ADR-011 declara o seu gatilho de revisão.
Nota de campo — pressupostos de competência
O caminho de analytics da opção B pressupunha um engenheiro do site que entendesse a ordenação de eventos. A ABP não tinha essa pessoa à noite. Até que as contratações chegassem, Lena manteve a imposição no caminho de escrita na opção A e limitou a B à pesquisa diurna sobre réplicas. Uma arquitetura que pressupõe competências indisponíveis falha aberta socialmente.
Exercícios
- EX076 — Critério. Acrescente um critério para os dados do SIS e pontue A/B/C. Rubrica: 3 = critério sensato + notas; 2 = critério; 1 = vago; 0 = nada.
- EX077 — Rejeitar a C. Frase de rejeição com razão de residência/segurança física. Rubrica: 3 = clara; 2 = parcial; 1 = só custo; 0 = aceita a C.
- EX078 — Contingência. Quando a A puramente local é o ambiente de execução certo? Rubrica: 3 = queda da WAN / exercício de isolamento; 2 = vago; 1 = sempre; 0 = nunca.
Síntese
Escolha a arquitetura frente a restrições ponderadas; registre as opções rejeitadas.
Continue estudando — capítulo 26 de 50
← Capítulo 25 · Índice de capítulos do curso · Capítulo 27 →
Siga para a próxima lição escrita.