Atualização editorial em : informações técnicas e atribuições corrigidas com fontes identificadas; publicação original preservada.
Uma conversa informal entre arquitetura e segurança pode deixar decisões importantes sem registro. O problema discutido aqui é como tornar restrições, discordâncias e evidências explícitas antes de uma aprovação, sem atribuir a Anderson experiências vividas por outra pessoa.
A origem da discussão
Na apresentação Security and Architecture: to Betray One is to Destroy Both, Shana Dacres-Lawrence organiza sua discussão em fragilidades estruturais, falhas de comunicação e pressupostos de confiança, usando a metáfora de três tipos de “traição”. Ela defende comunicação antecipada e ciclos de revisão entre as equipes. Os relatos profissionais da palestra são dela, não de Anderson Damasio. Fonte: apresentação e transcrição publicadas pela InfoQ.
A versão anterior transformava uma situação de conflito entre equipes em um relato pessoal do autor deste site. Essa atribuição foi retirada. Também não se deve usar um incidente citado em uma palestra para concluir, sem evidência própria, que determinada empresa deliberadamente privilegiou velocidade em detrimento de segurança.
Exemplo hipotético: aprovação de uma exportação
Imagine uma função que exporta documentos de clientes para um parceiro. A equipe de produto quer reduzir trabalho manual; a equipe de segurança precisa compreender quais dados saem e sob quais condições. “Discutimos isso na reunião” não registra uma decisão verificável.
Uma proposta de registro para esse cenário seria:
- Decisão solicitada: permitir ou não a exportação de um conjunto definido de campos para um destino identificado.
- Restrição: documentar quais campos e destinatários são permitidos. Uma exceção fica explícita, com responsável e prazo de revisão.
- Evidência exigida: apresentar um teste autorizado com dados fictícios que compare o conteúdo enviado e o destinatário com a regra aprovada.
- Discordância em aberto: registrar o ponto contestado e quem pode resolvê-lo, sem transformar silêncio em concordância.
- Condição para rever: por exemplo, a inclusão de um campo, parceiro ou caminho de exportação que não existia na análise original.
O registro permite distinguir “a restrição foi discutida”, “o controle foi implementado” e “a evidência foi conferida”. Essas etapas podem ter responsáveis diferentes. Um formulário preenchido não substitui a execução ou a revisão do teste.
Como manter a decisão útil
Na revisão da mudança, confronte a implementação com o registro: o destino é o mesmo? Os campos continuam dentro do conjunto avaliado? Existe um caminho alternativo que ficou de fora? Uma resposta desconhecida deve permanecer como pendência, em vez de virar aprovação por falta de informação.
O cenário de exportação é hipotético e não foi executado. A proposta não é um processo certificado, um relato de projeto de Anderson ou uma conclusão sobre a causa de incidentes mencionados na palestra. Seu alcance é documentar uma decisão e as evidências que ela exige.