Capítulo 35 — Ateliê de projeto II
Mapa da aula
Aula 35 publicada. Mapa, exemplo, EX103.
flowchart TD
N0["35.1 O problema"]
N1["35.2 Opções exploradas"]
N2["35.3 Análise"]
N3["35.4 Fatores humanos"]
N4["35.5 O projeto"]
N5["35.6 Crítica aos outros"]
N6["35.7 Prontidão"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX103"]
Desenho lógico
flowchart LR
N0["35.1 O problema"]
N1["35.2 Opções exploradas"]
N2["35.3 Análise"]
N3["35.4 Fatores humanos"]
N4["35.5 O projeto"]
N5["35.6 Crítica aos outros"]
N6["35.7 Prontidão"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX103"]
[35.1 O problema]
|
v
[35.2 Opções exploradas]
|
v
[35.3 Análise]
|
v
[35.4 Fatores humanos]
|
v
[35.5 O projeto]
|
v
[35.6 Crítica aos outros]
|
v
[35.7 Prontidão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX103]
Objetivos de aprendizagem
Você vai (1) projetar em equipe uma solução para um problema transversal do SOC; (2) equilibrar fatores técnicos, humanos e de custo; (3) produzir um projeto pronto para implementação; (4) criticar de forma construtiva os projetos de outras equipes.
35.1 O problema
O turno da noite tem dois analistas. O Ateliê II pede às equipes que reduzam em 40% a carga noturna de alertas sem aumentar os incidentes prioritários perdidos. Dois analistas à noite não conseguem investigar tudo o que chega, então alguns alertas esperam ou são fechados às pressas. Reduzir a carga sem aumentar os incidentes perdidos é uma restrição que puxa em duas direções, e é isso que a torna um problema de projeto, e não um simples corte. As equipes precisam mostrar evidências para as duas metades da meta. Elas recebem um mês de dados anonimizados de alertas e a lista de incidentes do mesmo período, para que as propostas possam ser conferidas com o que de fato aconteceu.
35.2 Opções exploradas
A equipe de Amara considera: mover regras de baixa severidade para uma fila matinal; um provedor gerenciado para o excedente; automatizar o enriquecimento, para que cada alerta leve menos tempo; e critérios mais rígidos de promoção de regras. Cada opção ataca a carga de um jeito: o reagendamento tira alertas da noite por completo, o excedente os divide com terceiros, o enriquecimento torna cada um mais rápido e os critérios de promoção impedem que novas regras ruidosas cheguem à noite. Elas podem ser combinadas, mas cada uma tem riscos, como acúmulos pela manhã ou a falta de contexto do provedor. Os custos são estimados para cada uma.
35.3 Análise
Usando um mês de dados de alertas, a equipe descobre que 55% dos alertas noturnos vêm de cinco regras, três das quais nunca levaram a um incidente. Mover essas três para a revisão matinal corta 31% da carga noturna. O enriquecimento automatizado economiza cerca de dois minutos por alerta restante. Os dados mudam a discussão de opinião para evidência. Cinco regras gerando mais da metade dos alertas noturnos é uma concentração típica, e três delas sem nenhum incidente, nunca, é forte evidência de baixo valor à noite. Dois minutos economizados em cada alerta restante se somam ao longo de um turno e dão aos analistas tempo para investigações reais.
35.4 Fatores humanos
Na sessão do ateliê, os analistas alertam que mover alertas para a manhã cria um acúmulo matinal. A equipe agenda uma janela de revisão matinal de 30 minutos e limita a fila. Os engenheiros poderiam dar o problema por resolvido assim que os alertas saem da fila noturna, mas os analistas sabem que alguém terá de tratá-los depois. Um acúmulo matinal sem controle cresceria e empurraria outros trabalhos para o lado. Agendar uma janela fixa e limitar a fila mantém o trabalho transferido visível e com limite. Os analistas também pedem que a revisão matinal seja dividida em escala, para não cair sobre quem chegar primeiro.
35.5 O projeto
Mover três regras para a revisão matinal; automatizar o enriquecimento dos dez tipos de alerta mais frequentes; definir critérios de promoção para novas regras que acionam à noite (precisão acima de 0,3 no modo só de monitoramento); revisar depois de um mês. Cada elemento responde a uma constatação: o reagendamento das três regras sem incidentes, o enriquecimento dos tipos de alerta mais comuns e os critérios de promoção, para que novas regras provem seu valor antes de acionar alguém à noite. Uma precisão acima de 0,3 significa que pelo menos três em cada dez alertas são reais. A revisão de um mês verifica tanto a carga quanto os incidentes perdidos.
35.6 Crítica aos outros
A equipe de Amara questiona a proposta de outra equipe de acionar o plantão só para ativos "críticos": o inventário de ativos classifica apenas 40% dos sistemas, então muitos ativos não classificados nunca acionariam ninguém. A falha está nos dados, não na ideia: acionar só para ativos críticos funcionaria se a criticidade fosse conhecida para todos os sistemas. Com apenas 40% classificados, os outros 60% nunca acionariam, acontecesse o que acontecesse neles. A equipe de Amara sugere tratar os ativos não classificados como críticos até que o inventário seja concluído. A outra equipe aceita o argumento e revisa a proposta antes da apresentação final.
35.7 Prontidão
O projeto inclui responsáveis, um cronograma e uma reversão: as regras podem voltar a acionar à noite em minutos. Os responsáveis garantem que cada mudança tenha alguém encarregado dela. O cronograma define quando cada parte entra em produção e quando acontece a revisão. Reverter em minutos significa que, se os incidentes perdidos aumentarem, as três regras voltam imediatamente a acionar à noite, o que torna o teste seguro. A revisão de um mês compara as contagens de alertas noturnos e os incidentes prioritários perdidos com o mês anterior, usando as mesmas definições. Paolo e o líder do turno da noite participam dela juntos.
Exemplo resolvido
O efeito estimado: 31% menos alertas noturnos com a mudança das regras, mais o tempo economizado pelo enriquecimento, o que equivale a uma redução de 42% nos minutos de analista. Risco: um incidente real vindo de uma regra transferida espera até a manhã; mitigado porque essas três regras têm regras companheiras de alta severidade que ainda acionam o plantão.
Caso sintético. Os dados e os projetos são inventados.
Erros e limites
Estimativas feitas com um mês de dados podem não valer em picos sazonais, como as entregas de fim de ano.
Exercícios
- EX103 — Origem da carga. O que revelaram os dados de alertas? Rubrica: 3 = 55% de cinco regras; três nunca levaram a incidentes; 2 = parcial; 1 = vago; 0 = nada.
- EX104 — Acúmulo matinal. Como o projeto respondeu ao alerta dos analistas? Rubrica: 3 = janela matinal agendada de 30 minutos e limite da fila; 2 = parcial; 1 = ignorado; 0 = nada.
- EX105 — Crítica construtiva. Que fraqueza a equipe de Amara encontrou em outro projeto? Rubrica: 3 = acionar só para ativos críticos deixa de fora os 60% não classificados; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Problemas transversais de ateliê precisam de dados, da contribuição das pessoas e de crítica construtiva para chegar a projetos implementáveis.
Continue estudando — capítulo 35 de 50
← Capítulo 34 (rascunho) · Índice de capítulos do curso · Capítulo 36 (rascunho) →