A norma de cem páginas
Quase toda a organização tem uma: um documento extenso, escrito com boa intenção, que mistura princípios, recomendações, obrigações e exemplos. Ninguém a lê por inteiro, ninguém sabe que parte é obrigatória e ninguém pode verificar se um desenho a cumpre. Na prática, não governa nada.
Cinco traços de uma norma que funciona
Curta. Cada regra em uma ou duas frases. As explicações longas vão à parte, ligadas.
Neutra. Descreve o que se exige, não com que ferramenta nem de que fornecedor. «Todo o dado em repouso vai cifrado» sobrevive a uma mudança de cloud; «ativar a opção X do serviço Y» não.
Com nível explícito. Cada regra diz se é obrigatória, recomendada ou orientativa. Sem essa distinção, tudo parece obrigatório e nada se cumpre.
Verificável. Cada regra obrigatória responde à pergunta «como sei se se cumpre?». Se não houver resposta, não é uma regra, é um desejo.
Separada mas combinável. Uma norma por tema (identidade, rede, dados, custos, documentação), cada uma independente, que se podem combinar num só documento quando é preciso.
De vaga a verificável
A maior parte do trabalho de escrever uma norma é este: tomar uma intenção razoável e transformá-la em algo que se possa verificar. «Segurança adequada» não se pode revisar; «todo o dado em repouso e em trânsito vai cifrado» sim, e além disso pode verificar-se automaticamente (como em regras como código).
Baseada no que já existe
Uma norma própria não tem de inventar tudo. O sensato é partir de referenciais reconhecidos (os referenciais de boa arquitetura de cada fornecedor, normas de segurança, o próprio FOCUS para custos) e adaptá-los à organização. O que torna a norma própria não é a originalidade, mas que reflita decisões tomadas e escritas.
Uma norma assim, no dia em que se publica, já começa a ficar velha. Por isso precisa de um ciclo de vida.
Como o aplicamos: Governo Multicloud.