Capítulo 11 — Projeto aplicado

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["11.1 Tipos de projeto"]
  N1["11.2 Delimitando com um patrocinador"]
  N2["11.3 Entregas"]
  N3["11.4 Proteção dos dados"]
  N4["11.5 Avaliação do impacto"]
  N5["11.6 Caso resolvido"]
  N6["11.8 Lidando com a resistência"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["11.1 Tipos de projeto"]
  N1["11.2 Delimitando com um patrocinador"]
  N2["11.3 Entregas"]
  N3["11.4 Proteção dos dados"]
  N4["11.5 Avaliação do impacto"]
  N5["11.6 Caso resolvido"]
  N6["11.8 Lidando com a resistência"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX051"]

[11.1 Tipos de projeto]
    |
    v
[11.2 Delimitando com um patrocinador]
    |
    v
[11.3 Entregas]
    |
    v
[11.4 Proteção dos dados]
    |
    v
[11.5 Avaliação do impacto]
    |
    v
[11.6 Caso resolvido]
    |
    v
[11.8 Lidando com a resistência]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem

Você vai (1) delimitar um projeto especializado aplicado com um patrocinador organizacional; (2) produzir entregas prontas para a decisão; (3) aplicar os métodos de evidência, avaliação e governança deste livro; (4) gerenciar a autorização e a proteção dos dados; e (5) avaliar o impacto.

11.1 Tipos de projeto

Projetos adequados: projetar e pilotar um programa de inventário para uma divisão; produzir uma norma criptográfica interna com um plano de transição; liderar um piloto avaliado de troca de chaves híbrida numa plataforma; projetar um roteiro de PKI pós-quântica; ou construir um processo de garantia dos fornecedores. Cada um produz artefatos que a organização vai usar.

Escolha um projeto que o patrocinador vá usar qualquer que seja o resultado. Um piloto que descobre que a troca de chaves híbrida não pode ser ativada numa plataforma ainda é útil, se for avaliado segundo critérios definidos com antecedência. Evite projetos que apenas descrevem o problema.

11.2 Delimitando com um patrocinador

Acorde com um patrocinador: a decisão que o projeto apoia, o escopo, as entregas, o acesso, a autorização, os critérios de sucesso e como os resultados serão usados. A autorização escrita precisa cobrir qualquer observação ou teste; prefira laboratórios isolados para os testes ativos.

Escreva o acordo e peça ao patrocinador que o assine antes de qualquer coleta de dados. Inclua o que acontece com os dados do projeto no fim e quem pode ver os resultados. Revise o escopo com o patrocinador no meio do caminho, e registre quaisquer mudanças. Guarde uma cópia com os registros do projeto.

11.3 Entregas

As entregas prontas para a decisão incluem um documento de decisão curto, as evidências por trás dele (extratos do inventário, resultados de avaliação, tabelas de hipóteses), artefatos de implementação (texto de política, linhas de base de configuração, cláusulas de compras) e um plano de transição para a operação.

Cada entrega deve ter um responsável que vai usá-la depois do projeto. Na NRHT, o projeto da radiologia produziu um questionário, uma rubrica de pontuação e cláusulas contratuais, além de um documento de decisão. Teste os artefatos utilizáveis com as pessoas que vão aplicá-los antes da transição. Acorde a data da transição com cada responsável.

11.4 Proteção dos dados

Os projetos na saúde tocam sistemas sensíveis. Colete metadados, e não conteúdo; minimize os identificadores; guarde os dados do projeto com segurança; e apague-os conforme o acordo.

Registre no plano do projeto quais dados serão coletados, quem pode acessá-los, onde serão guardados e quando serão apagados. Verifique se o encarregado de proteção de dados concorda antes do início da coleta. No fim, confirme a exclusão por escrito. Pseudonimize os nomes dos ativos em qualquer extrato do projeto que saia dos sistemas da NRHT, e mantenha o mapeamento apenas nos sistemas da NRHT. Relate imediatamente ao patrocinador qualquer coleta acidental de conteúdo.

11.5 Avaliação do impacto

Defina o impacto antes de começar: por exemplo, "parcela de desconhecidos do nível 1 na divisão de radiologia reduzida de 31 % para menos de 10 %" ou "questionário aos fornecedores adotado para todos os novos contratos da radiologia". Meça depois de um período definido.

Defina uma medida de referência antes de começar e acorde a meta e a data para medi-la. No projeto da radiologia da NRHT, a parcela de desconhecidos começou em 31 % e foi medida de novo depois de seis meses. Relate o resultado, quer ele atinja a meta, quer não. Escolha, sempre que possível, medidas que a organização já coleta.

11.6 Caso resolvido

Projeto (sintético): "Garantia dos fornecedores quanto à prontidão pós-quântica na radiologia da NRHT." Patrocinador: diretor de TI da radiologia. Entregas: questionário, rubrica de pontuação, cláusulas contratuais, resultados para 18 fornecedores, documento de decisão. Resultados: 5 fornecedores com roteiros datados e acesso para testes; 7 com alegações sem data; 6 calados. Decisão: cláusulas de PQC obrigatórias em todas as renovações; fornecedores calados escalonados às compras; dois fornecedores convidados para pilotos conjuntos no laboratório. Impacto depois de seis meses: a parcela de desconhecidos na radiologia caiu de 31 % para 12 %.

O resultado é relatado com a sua referência e a data da medição, e o documento de decisão transformou os achados em ações de compras. Guarde o questionário e a rubrica para que outras divisões possam reutilizá-los.

11.7 Erros comuns e limites

• Projetos sem uma decisão a apoiar.
• Entregas que são apenas relatórios, sem artefatos utilizáveis.
• Medidas de impacto definidas depois do fato.

Cada erro tem uma salvaguarda. Acorde a decisão que o projeto apoia antes de começar. Entregue artefatos como texto de política, cláusulas e linhas de base de configuração junto com o relatório. Defina as medidas de impacto e as referências antes de o trabalho começar, e relate o resultado mesmo quando ficar aquém. Na NRHT, o projeto da radiologia foi ligado a uma decisão de compras, entregou um questionário, uma rubrica e cláusulas, e mediu a parcela de desconhecidos em relação a uma referência de 31 % depois de seis meses. Use essa estrutura como modelo para outras divisões.

11.8 Lidando com a resistência

Os projetos aplicados encontram resistência: responsáveis por serviços preocupados com interrupções, fornecedores relutantes em divulgar, detentores de orçamento céticos quanto a um risco que ainda não se materializou. Trate a resistência como informação. O medo de interrupção de um responsável é um requisito de implantação em estágios e de rollback; a relutância de um fornecedor é uma alavanca de compras; o ceticismo é um pedido pelo argumento da decisão robusta do Capítulo 1. Registre as objeções e como o projeto as tratou no documento de decisão, porque as mesmas objeções vão voltar quando o trabalho for ampliado para além do piloto.

Exercícios

• EX051 — Acordo com o patrocinador. Liste oito itens do acordo com o patrocinador. Rubrica: 3 = decisão, escopo, entregas, acesso, autorização, sucesso, uso, tratamento dos dados.
• EX052 — Rubrica de pontuação. Projete uma rubrica de 0 a 3 para a prontidão dos fornecedores em PQC. Rubrica: 3 = níveis claramente distinguidos pelas evidências.
• EX053 — Impacto. Calcule a redução da parcela de desconhecidos de 11.6 em pontos percentuais e em termos relativos. Rubrica: 3 = 19 pontos, ≈ 61 % relativos.
• EX054 — Proteção dos dados. Especifique a retenção e a exclusão dos dados do projeto. Rubrica: 3 = escopo, período, método, verificação.
• EX055 — Transição. Liste o que o responsável operacional precisa na transição. Rubrica: 3 = artefatos, procedimentos, contatos, questões em aberto.

Síntese

Os projetos aplicados apoiam decisões reais, entregam artefatos utilizáveis sob a autorização e a proteção de dados adequadas e medem o impacto segundo critérios definidos com antecedência.