Capítulo 26 — Infraestrutura crítica e segurança setorial: passagem para a operação
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 O que é entregue"]
N1["26.2 Runbooks que funcionam às 03:00"]
N2["26.3 Evidências de saúde"]
N3["26.4 Conduzir a passagem"]
N4["26.6 Atividade prática: escreva e teste um runbook"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 O que é entregue"]
N1["26.2 Runbooks que funcionam às 03:00"]
N2["26.3 Evidências de saúde"]
N3["26.4 Conduzir a passagem"]
N4["26.6 Atividade prática: escreva e teste um runbook"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX076"]
[26.1 O que é entregue]
|
v
[26.2 Runbooks que funcionam às 03:00]
|
v
[26.3 Evidências de saúde]
|
v
[26.4 Conduzir a passagem]
|
v
[26.6 Atividade prática: escreva e teste um runbook]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você deve ser capaz de:
- preparar um serviço para a passagem da equipe de projeto para as pessoas que vão operá-lo todos os dias;
- escrever runbooks que um colega competente consiga seguir às 03:00 sem o autor;
- definir a responsabilidade, os níveis de serviço e as evidências de que o serviço está saudável;
- conduzir uma passagem que teste o entendimento, e não apenas entregue documentos.
Um serviço não está pronto quando funciona; está pronto quando outra pessoa consegue operá-lo. Muitos controles de segurança falham na passagem: a pessoa que entendia a rotação de chaves sai do projeto; a equipe de plantão nunca aprendeu o que significa a primeira ação da Regra C; a restauração do backup foi ensaiada apenas pelo seu autor.
26.1 O que é entregue
Um pacote de passagem do LANTERN contém:
- Descrição do serviço — propósito, clientes, arquitetura com zonas, conduítes e caminhos de gerenciamento (Capítulo 8), e as propriedades de projeto que precisam ser preservadas.
- Responsabilidade — dono do serviço, responsável técnico, responsável de segurança, contatos dos clientes, contatos dos fornecedores, com papéis e números fora do horário comercial.
- Níveis de serviço — o que os clientes podem esperar (telemetria em até 60 s, idade do valor exibida, RTO de 4 h para o historiador) e como isso é medido (Capítulo 9).
- Runbooks para tarefas rotineiras e de emergência (veja "Runbooks que funcionam às 03:00" abaixo).
- Cartões de controle para cada controle, com as datas das últimas evidências (Capítulo 18).
- Monitoramento — cada regra com a sua primeira ação, e as verificações de automonitoramento (Capítulo 19).
- Itens em aberto — problemas conhecidos, riscos aceitos com responsáveis, controles compensatórios com datas de término.
- Registro de evidências — o que foi testado e quando (o Capítulo 29 o monta).
26.2 Runbooks que funcionam às 03:00
Um bom runbook é escrito para um colega competente que nunca viu este serviço, sob pressão de tempo. Ele declara o seu propósito e quando usá-lo; os pré-requisitos (acesso, ferramentas, aprovações); as etapas, numeradas, cada uma com o comando ou ação exata e o que você deve ver; os pontos de decisão ("se o log do relay mostrar falhas de MAC, vá para a etapa 9; caso contrário, etapa 12"); as notas de segurança onde uma etapa pode afetar a operação; o rollback; e como registrar o que foi feito. Teste cada runbook fazendo alguém que não seja o autor segui-lo num sistema de teste, cronometrando.
Runbooks centrais do LANTERN: acrescentar ou remover uma estação (mudança padrão); rotacionar a chave de uma estação; reconstruir o host do relay; restaurar o historiador; responder a cada regra de alerta; suspeita de comprometimento do relay (primeiros passos e escalonamento); manutenção planejada com a operação de Água; habilitar o acesso de fornecedores.
26.3 Evidências de saúde
A equipe que recebe deve conseguir responder "o LANTERN está saudável?" em dois minutos, a partir de um painel ou de um relatório diário: estações reportando / esperadas; contagens de aceitação, rejeição e quarentena por hora; folga de recursos do relay (Capítulo 1); deslocamentos de relógio; atualidade das fontes de log; último backup bem-sucedido e último teste de restauração; última avaliação das regras; alertas abertos; regras silenciadas e a sua expiração (Capítulo 25).
A passagem deste capítulo encontrou a lacuna: o relatório de saúde dizia "backups OK", mas não mostrava a data do teste de restauração. Para o LANTERN, a verificação de dois minutos mostraria 14 estações esperadas, as contagens de aceitação, rejeição e quarentena, os deslocamentos de relógio contra o alerta de 2 s, o disco do RLY-01 contra o seu alarme de 85 % e qualquer regra silenciada com a sua expiração.
26.4 Conduzir a passagem
A passagem é um processo, e não um e-mail. Conduza-a em etapas: apresentação do pacote à equipe que recebe; acompanhamento, em que a equipe que recebe executa tarefas rotineiras com a equipe de projeto observando; acompanhamento invertido, em que a equipe de projeto observa a equipe que recebe lidar com um alerta de teste injetado e com um runbook; e aceitação, em que o dono do serviço e o líder da equipe que recebe aprovam, com os itens em aberto listados. Combine um período de suporte inicial em que a equipe de projeto continua disponível.
O acompanhamento invertido de Fallowmere usou um alerta da Regra C injetado para a PS-09.
26.5 Exemplo resolvido: uma passagem que encontrou três lacunas (sintético)
Durante o acompanhamento invertido, a equipe de operações da FSTS recebe um alerta de teste da Regra C para a PS-09. O tecnólogo de plantão segue o runbook e liga para a sala de controle da Água — corretamente — e depois confere a situação da operadora, como está escrito. O runbook não menciona conferir o log de falhas de MAC do relay, então o tecnólogo liga para a BayTel; a causa injetada era uma divergência de chave. Segundo, o runbook de rotação de chaves se refere ao "armazenamento de chaves" sem dizer onde ele fica nem quem tem acesso; a equipe que recebe não consegue segui-lo. Terceiro, o relatório de saúde mostra "backups OK", mas não a data do último teste de restauração. As três são corrigidas antes da aceitação; a passagem atrasa uma semana, o que é muito mais barato do que descobrir as lacunas durante um incidente.
26.6 Atividade prática: escreva e teste um runbook
Escreva o runbook "Responder à Regra C — estação silenciosa" usando a estrutura de "Runbooks que funcionam às 03:00" acima, incluindo o ponto de decisão do exemplo resolvido acima ("uma passagem que encontrou três lacunas"). Peça a um colega (ou, se estiver estudando sozinho, a você mesmo depois de um dia de intervalo) que o siga com os dados do Laboratório 20 e anote cada ponto em que hesitou.
Use a lição da passagem como ponto de decisão: depois de ligar para a sala de controle da Água, confira o log de falhas de MAC do relay para a estação silenciosa antes de ligar para a BayTel. No teste da passagem, a causa injetada era uma divergência de chave, e o runbook sem essa etapa mandou o tecnólogo de plantão para a operadora. Com os dados do Laboratório 20, a mesma etapa separa as mensagens perdidas da PS-07 do deslocamento de relógio da PS-09.
26.7 Erros comuns e limites
- Documentação entregue sem testar se os outros conseguem usá-la.
- Runbooks que dizem "investigar" ou "corrigir o problema".
- Relatórios de saúde que mostram o sucesso da configuração, mas não evidências de eficácia.
- Passagem sem acompanhamento.
- Itens em aberto e riscos aceitos deixados de fora para que o serviço pareça completo.
- Equipe de projeto que desaparece no dia seguinte à aceitação.
O exercício com a PS-09 pegou o segundo erro: "conferir a situação da operadora" mandou o tecnólogo para a BayTel por causa de uma divergência de chave.
A linha "backups OK" sem data de restauração é o terceiro.
Exercícios — capítulo 26
EX076 — Crítica de runbook. Objetivo: melhorar um runbook. Entradas: "Rotação de chaves: 1. Gerar a nova chave. 2. Colocá-la no relay e na estação. 3. Conferir se funciona. 4. Apagar a chave antiga." Restrições: identifique pelo menos seis problemas. Etapas: liste os problemas e reescreva. Evidência esperada: lista e reescrita. Rubrica: 3 = faltam propósito e pré-requisitos, sem local do armazenamento nem acesso, sem período de sobreposição (Capítulo 18), sem verificação específica, sem aviso de safety/operação, sem rollback, chave antiga apagada cedo demais para o acúmulo, sem registro; a reescrita trata deles; 2 = quatro ou cinco; 1 = cosméticos; 0 = nada.
EX077 — Relatório de saúde. Objetivo: definir as evidências de saúde. Entradas: Capítulo 26 ("Evidências de saúde"). Restrições: uma tela; no máximo dez itens. Etapas: escolha os itens, dê a cada um um limiar verde/âmbar/vermelho e diga quem o lê diariamente. Evidência esperada: tabela. Rubrica: 3 = itens cobrindo disponibilidade (estações reportando), integridade (rejeição/quarentena), capacidade, tempo, logs, backup/restauração, saúde do monitoramento e silenciamentos; limiares sensatos; leitor nomeado; 2 = oito itens ou limiares fracos; 1 = lista sem limiares; 0 = nada.
EX078 — Decisão de aceitação. Objetivo: decidir se aceita uma passagem. Entradas: todos os runbooks testados, exceto a restauração do historiador (testada apenas pelo seu autor); dois cartões de controle sem datas de evidência; um risco aceito (PS09-RTU sem suporte) com responsável e plano. Restrições: aceitar, aceitar com condições ou rejeitar. Etapas: decida e justifique, listando as condições com datas. Evidência esperada: parágrafo. Rubrica: 3 = aceitar com condições: teste independente de restauração do historiador numa data próxima, evidências para os dois controles até uma data, suporte inicial até as condições serem cumpridas; reconhece que o risco aceito está tratado corretamente; 2 = decisão sem condições; 1 = aceitar incondicionalmente; 0 = nada.
Síntese do capítulo
Um serviço está pronto quando outras pessoas conseguem operá-lo. Entregue um pacote com descrição, responsabilidade, níveis de serviço, runbooks, cartões de controle, monitoramento, itens em aberto e evidências. Escreva runbooks para um colega competente às 03:00 e teste-os com alguém que não seja o autor. Forneça evidências de saúde que mostrem eficácia, e não apenas configuração. Conduza a passagem como apresentação, acompanhamento, acompanhamento invertido e aceitação com suporte inicial, e corrija as lacunas que ela revelar.
Continue estudando — capítulo 26 de 30
← Capítulo 25 · Índice de capítulos do curso · Capítulo 27 →
Siga para a próxima lição escrita.