A norma que ninguém lê
Quase todas as organizações têm uma norma de segurança ou de infraestrutura: um documento com regras razoáveis. Quase todas têm também recursos que a não cumprem. Não por má-fé, mas porque quem escreve a mudança não tem a norma à frente nesse momento, e quem revê não pode verificar trinta regras a olho em cada mudança.
De documento a verificação
A alternativa é escrever as regras como código que se executa face a cada plano antes de o aplicar:
- «Nenhum armazenamento de dados pode ser público.»
- «Todos os discos e bases de dados vão cifrados.»
- «Todo o recurso leva as etiquetas de responsável, aplicação e ambiente» (as que precisa a atribuição de custos).
- «Só se permitem estas regiões.»
- «Nenhuma porta de administração aberta à internet.»
Se o plano não cumprir alguma, a mudança para com uma mensagem que diz que regra, em que recurso e porquê.
Níveis de severidade
Não todas as regras pesam o mesmo:
- Bloqueantes: a mudança não se aplica (dados expostos, cifra desativada).
- Avisos: aplica-se, mas fica registado e alguém o revê (etiqueta opcional ausente).
E para os casos excecionais, exceções documentadas: com responsável, motivo e data de revisão, nunca silenciosas (a mesma lógica que em homologar sem travar).
Porque funciona
A norma deixa de depender da memória de quem escreve e da atenção de quem revê. Cumpre-se sempre, em todos os ambientes, em cada mudança. E como a regra está escrita num só lugar, melhorá-la melhora todas as revisões ao mesmo tempo.
As regras protegem o que se constrói a partir do código. Falta o que já existia antes dele.
Como o aplicamos: Automação e IaC.