Relatório de risco de VPN ignorado? Escreva a decisão, não a nota

Uma nota de risco que termina com uma classificação de gravidade dá ao gestor um veredito e nenhuma ação. É por isso que tantas voltam com «obrigado, anotado» e nada mais. As notas que são aprovadas compartilham uma forma: uma afirmação estreita e verificável, duas opções nomeadas com preço e uma pessoa que precisa responder até uma data. Tudo abaixo trata de produzir essa forma sem exagerar o que você sabe.

A nota responde a uma pergunta que ninguém fez

A aritmética de probabilidade vezes impacto produz um número que ordena achados uns contra os outros. Ela não diz ao diretor o que assinar e convida a discutir o multiplicador em vez de decidir sobre o gateway. Já vi um número de exposição com duas casas decimais engolir uma reunião inteira enquanto a pergunta real — se financiar uma atualização neste trimestre — ficava sem ser feita.

Há apenas algumas decisões reais nesse espaço. Financiar a atualização, aceitar uma exposição limitada até uma data declarada ou reduzir quem consegue chegar ao serviço. Cada uma tem um responsável diferente e um custo diferente, e nenhuma é «reduzir o risco em 40 por cento».

A inflação de gravidade piora o problema. Quando todo achado é crítico, a classificação deixa de discriminar e o leitor volta ao único sinal que resta, que é quem reclamou mais alto. Uma nota que diz que a versão está fora de suporte, que este é o segundo trimestre assim e que um grupo específico de pessoal depende dela é muito mais acionável do que um selo vermelho.

A vaguidade é a outra falha. «A VPN é insegura» não pode ser resolvida, porque não diz qual implantação, qual versão ou quem chega a quê. Uma frase que o leitor pode verificar é a unidade mínima de um relatório útil.

Reduza a afirmação até que alguém possa verificá-la

Ancore a afirmação em um limite publicado, não em uma opinião. Fora de suporte do fornecedor, falta de uma etapa de autenticação obrigatória ou acessibilidade a partir de um segmento de rede que não deveria vê-lo são todas afirmações com um teste por trás. Para a primeira, o teste são três comandos no próprio gateway:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

A linha de versão e a consulta do pacote normalmente concordam, e quando não concordam você encontrou um segundo problema que merece um relatório separado. A data de validade do certificado é o campo que as pessoas esquecem de conferir até os clientes pararem de conectar, e ela pertence ao mesmo anexo de evidências que a string de versão.

Registre de onde veio cada saída e quando foi coletada. Uma nota que diz «gateway gw1, coletado na terça» pode ser executada de novo por um cético; uma captura de tela cortada até a linha interessante não pode. Remova chaves, endereços privados e nomes de conta antes que o arquivo deixe sua máquina.

Escreva a nota como uma escolha entre opções nomeadas

Uma nota de decisão é curta porque faz um único trabalho. Esta é a forma que uso, preenchida para uma organização inventada de porte médio cuja versão de acesso remoto saiu de suporte:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Cada linha merece seu lugar. O pedido é uma frase e contém uma data. A afirmação é verificável. A opção B existe para que a opção A seja uma escolha e não uma formalidade, e ela cita a reinstalação do cliente porque esse é o custo que as pessoas subestimam. O custo de esperar descreve uma consequência, não uma probabilidade.

O que a nota não deve fazer é introduzir de contrabando uma conclusão que você não pode sustentar. Se nenhum comprometimento foi demonstrado, diga isso em uma linha, porque um leitor que descubra depois um exagero também descontará suas três notas seguintes.

O que a aceitação do risco precisa conter

Aceitação não é a ausência de uma decisão nem é silêncio. Se a resposta é conviver com a exposição por um tempo, a nota precisa de três acréscimos: uma data final, uma etapa de monitoramento que alguém realmente execute e uma pessoa nomeada que reabra a questão quando a data chegar.

Um controle provisório precisa do mesmo tratamento. Restringir o serviço a um grupo menor reduz a exposição apenas se a restrição for aplicada em algum lugar e alguém mantiver a lista. Um bloqueio que interrompe silenciosamente uma tarefa noturna em lote não é controle, é uma queda com papelada melhor.

Mantenha separados o responsável pela mudança e o responsável pela decisão quando forem pessoas diferentes. A equipe de plataforma executa; o diretor aceita. Escrever os dois nomes na nota elimina a parada mais comum, que é um plano bem preparado esperando uma pessoa que nunca o viu.

Verifique a nota contra a implantação antes de enviá-la

As afirmações envelhecem mal em organizações com mais de um gateway. Um achado copiado de um tópico de fórum sobre outra versão, ou de um host reconstruído no mês passado, será contestado na reunião e o resto da nota vai junto. Execute as evidências novamente em cada host que a nota nomear:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Se os dois hosts não concordarem, a nota agora trata de uma frota mista, o que é um achado diferente e normalmente mais convincente. Se o serviço estiver inativo em um host que você acreditava atender tráfego, pare e corrija o inventário antes que a nota vá a qualquer lugar.

Em seguida, anexe a saída, coloque a data da decisão no assunto e envie à pessoa que pode dizer sim em vez de ao grupo que vai discuti-la. Se a resposta voltar como «agora não», pergunte pela data em que se torna «agora» e escreva essa data na próxima versão da nota.