O Ambiente Desconhecido

Um sistema a correr não é um sistema compreendido

Uma alteração de licenciamento, uma nova regulação, uma migração de fornecedor. Cada uma chega vestida com o traje de um problema novo — um custo novo, uma disrupção nova, uma exigência nova sobre equipas que já estavam esticadas. Normalmente não é um problema novo. É um problema antigo, finalmente a ser olhado.

Ao fim de ciclos de auditoria suficientes em ambientes regulados, o padrão deixa de surpreender. O mandato que força uma organização a inventariar o seu próprio património não introduz o risco que descobre. O risco já lá estava, a acumular-se em silêncio durante anos, enquanto a organização operava sobre a assunção mais confortável da tecnologia: a de que um sistema a correr é um sistema compreendido.

Não é. E o intervalo entre as duas coisas é onde vive esta edição.

A assunção mais confortável da tecnologia

Todo o património tecnológico transporta duas descrições de si próprio. A primeira é o património tal como corre: os processos em execução, os jobs a concluir, os serviços a responder. A segunda é o património tal como é compreendido: o que existe, porque existe, quem é o dono, e o que aconteceria se parasse. A primeira descrição é imposta pela realidade a cada segundo de cada dia. A segunda não é imposta por nada.

Porque a primeira descrição é validada continuamente e a segunda nunca é validada, as duas afastam-se — em silêncio, e numa só direção. O património continua a correr. A compreensão decai. E a evidência diária da primeira é discretamente aceite como prova da segunda: tudo funciona, logo tudo é conhecido. A assunção nunca é enunciada, porque enunciá-la seria expô-la. Opera como um default.

O resultado é um património que se enche, ano após ano, de artefactos cuja origem, propósito e propriedade ninguém consegue afirmar com confiança. Componentes deixados para trás por pessoas que seguiram caminho. Instalações feitas por razões que foram discutidas numa reunião, acordadas num corredor, e registadas em lado nenhum para onde o próprio artefacto possa apontar. Serviços mantidos vivos porque nada partiu de forma óbvia, por equipas que os herdaram sem herdar a razão deles. Cada um destes continua a funcionar. É precisamente isso que esconde a dívida: funcionar confunde-se com conhecer.

Como um ambiente se torna desconhecido

Nenhum incidente produz um ambiente desconhecido. É essa a dificuldade estrutural: a decadência não tem um evento a que prender um alarme. Avança por três mecanismos, todos silenciosos, todos individualmente racionais.

O primeiro é a partida sem transferência. A compreensão de um património vive desproporcionadamente nas pessoas que o construíram e operaram, e quando elas saem — atrito, reorganização, uma transição de outsourcing — o património não regista a perda. Nada pára. Os sistemas que essas pessoas compreendiam continuam exatamente como antes. A organização lê a continuidade como evidência de que nada de importante saiu. O que saiu foi a segunda descrição.

O segundo é a racionalidade não registada. A maioria dos componentes de um património foi instalada por uma razão que era perfeitamente clara na altura — tão clara que escrevê-la parecia redundante. A razão viveu num ticket que foi fechado, num projeto que foi arquivado, numa conversa entre duas pessoas que ambas sabiam. Anos depois, o componente permanece e a razão não. Não pode ser reconstruída a partir do próprio componente, porque os artefactos não transportam a sua própria justificação. Transportam apenas o seu comportamento.

O terceiro é a sobrevivência. Os patrimónios são podados pela falha, não pela revisão. O que parte recebe atenção e, no decurso da atenção, é compreendido, substituído ou reformado. O que corre, fica — e continua a correr para lá da permanência de todos os que o compreendiam. Os componentes mais longevos de um património são, por isso, sistematicamente os menos compreendidos: a sua sobrevivência protegeu-os do único processo que teria obrigado alguém a olhar.

Uma edição anterior desta newsletter examinou se o julgamento pode ser capturado em documentação, e concluiu que o runbook guarda os passos enquanto o julgamento sai com a pessoa. O problema aqui senta-se abaixo desse, e é num certo sentido mais elementar. A questão não é se o julgamento do património foi capturado. É se o censo do património alguma vez foi feito — o que existe, porquê, e de quem é. É uma fasquia muito mais baixa do que preservar julgamento. E fica, rotineiramente, por cumprir.

O interruptor da luz

Depois, o gatilho externo aterra. Um fornecedor altera os termos de licenciamento e a organização tem de identificar todas as instalações afetadas. Uma regulação exige um registo de ativos críticos e das suas dependências. Uma auditoria pede evidência do que corre onde, e sob a propriedade de quem. Pela primeira vez em anos — às vezes pela primeira vez de sempre — a organização é forçada a enumerar o seu próprio ambiente.

O que a enumeração encontra é o desconhecido acumulado: os artefactos que ninguém consegue classificar como essenciais, residuais ou inseguros; os componentes cuja remoção não pode ser avaliada em risco porque a sua função nunca foi registada; as dependências que só emergem quando alguém finalmente segue o cabo. A descoberta é cara, disruptiva e urgente. E a despesa, a disrupção e a urgência são faturadas — organizacional, emocional e politicamente — ao mandato que as desencadeou.

Alvo errado. O mandato não criou o ambiente desconhecido. Acendeu a luz numa sala que esteve às escuras durante muito tempo — e ocupada o tempo todo. O custo que está a ser contado não é o custo da regra. É o custo de cada ano em que a pergunta elementar ficou por fazer.

E vale a pena ser preciso quanto ao elementar que essa pergunta é. O que está a correr aqui, porquê, e quem é o dono não é um diagnóstico avançado. É a primeira pergunta da disciplina — a que um recém-chegado poderia fazer no primeiro dia. O que se acumula, em vez disso, na maioria dos patrimónios, é sofisticação construída em cima da pergunta por fazer: plataformas de monitorização a vigiar sistemas que ninguém sabe explicar, frameworks de governança a classificar ativos que ninguém enumerou, dashboards a agregar sinais de um ambiente cujo censo não existe. A sofisticação é real. É também, funcionalmente, uma forma de não fazer a coisa elementar. A complexidade junta-se onde uma verificação simples foi saltada, porque a verificação simples é a que atribui responsabilidade pelo que encontra.

A economia de não saber

O subinvestimento é sistemático, e vale a pena compreender porquê, porque não é negligência em nenhuma instância individual.

Conhecer o património não produz nada. Nenhuma funcionalidade é entregue porque o inventário está atual. Nenhuma receita se prende a um mapa que corresponde ao território. Manter a segunda descrição do património é custo puro contra um risco invisível — e compete, em cada ciclo orçamental, com trabalho cujo resultado se vê. O mapa perde essa competição em silêncio, todas as vezes, porque o custo de o deixar decair é diferido e difuso, enquanto o custo de o manter é imediato e concreto.

Diferido, porém, não é cancelado. O custo do ambiente desconhecido chega — e chega nos piores termos possíveis. Chega como montante único, sob um prazo externo, com escrutínio regulatório ou contratual anexado, e sem qualquer alavanca negocial: a alteração de licenciamento não espera, a regulação não flexibiliza, a auditoria não remarca. O inventário que nunca foi feito na calma tem agora de ser feito em compressão — por quem por acaso reconheça a linhagem provável de um artefacto, por consulta reativa, sob ameaça. Inventário sob coação é a forma mais cara de inventário que existe. A organização ia sempre pagar o censo. A única escolha que alguma vez teve foram os termos.

Visto desta forma, o mandato executa uma operação contabilística. A dívida estava a ser paga o tempo todo, em pequenos incrementos de risco não contabilizados — cada alteração feita contra um ambiente não totalmente compreendido, cada incidente prolongado porque o componente em falha não tinha dono, cada decisão coberta porque ninguém sabia dizer o que dependia do quê. O mandato converte esses incrementos numa única fatura visível. E a organização, ao ler a fatura, confunde-a com o preço da regra.

A ferramenta que não sabe responder porquê

A resposta-reflexo à correria, depois de ela ter acontecido, é a aquisição. Compra-se uma plataforma de discovery. Instalam-se agentes. Em semanas existe um registo — gerado automaticamente, continuamente atualizado, impressionantemente completo. O problema parece resolvido, e instala-se um alívio familiar.

O alívio merece escrutínio. As ferramentas de discovery respondem à primeira pergunta — o que está a correr — com competência genuína, e essa resposta tem valor. Mas o censo que os mandatos exigem, e que as operações requerem, tem três partes, e as outras duas não estão em disco nenhum. Porque é que isto existe é um facto sobre uma decisão, não sobre um sistema; nenhum scanner pode recuperar uma racionalidade que nunca foi registada, porque a racionalidade nunca foi um artefacto. Quem é o dono disto é um facto sobre a organização, não sobre o património; a ferramenta pode listar um hostname, mas não pode tornar um humano responsável por ele. Uma plataforma de discovery apontada a um ambiente desconhecido produz uma coisa específica: um mapa muito preciso de coisas que ninguém sabe explicar.

Isto não é um argumento contra as ferramentas. É um argumento sobre aquilo que as ferramentas são silenciosamente autorizadas a substituir. O registo que geram é o terço fácil do censo vestido com o traje do todo — e uma organização que confunde o inventário do comportamento com o inventário da compreensão automatizou o seu ponto cego, não o fechou.

O que a revelação mede de facto

Há um diagnóstico enterrado em tudo isto, e é a razão pela qual o padrão pertence a esta newsletter e não a um guia de compliance.

A forma como uma organização vive um mandato de inventário é uma medição direta de uma disciplina que ela tem ou não tem. A organização que responde ao mandato com um registo atual, propriedade conhecida e racionalidade registada não teve sorte, e normalmente não tem melhores ferramentas. Tratou o conhecimento do seu próprio ambiente como uma disciplina operacional — contínua, com dono, sem glamour — e não como um entregável a montar quando um auditor pergunta. A organização que responde ao mesmo mandato com uma correria está a revelar que a disciplina nunca existiu, e que cada representação anterior de controlo foi construída sobre um património que ninguém sabia enumerar.

A correria, por outras palavras, não é o custo da conformidade. É o sinal. A pressão externa não cria o intervalo entre o património que corre e o património compreendido. Mede-o — publicamente, caro, e num momento que não foi a organização a escolher.

A pergunta desconfortável levantada pelo próximo mandato não é, portanto, a que domina as reuniões de planeamento — quanto vai custar, quão disruptivo será, quanto tempo temos. Essas perguntas tratam o mandato como o problema.

A pergunta desconfortável é a que o mandato está a forçar, e pode ser feita hoje, antes de qualquer regra a exigir:

O que está a correr neste ambiente, neste momento, que ninguém na equipa atual saberia explicar?

O mandato vai passar. Outro se seguirá — a cadência do escrutínio externo só aumenta. A única variável sob o controlo da organização é se a luz, quando for acesa da próxima vez, encontra a sala já mapeada.