Método · Da série sobre medição e adequação
A pergunta não é o que está exposto. É quem consegue mexer nisso.
Duas exposições com o mesmo peso no resultado podem ter prazos de correção separados por anos. Uma se resolve numa alteração de configuração numa tarde. A outra depende de um fabricante lançar firmware, de uma janela de parada e de um contrato ser renegociado. Tratar as duas na mesma fila é o que faz programas de transição parecerem parados.
Configuráveis
São os sinais que dependem de uma decisão que a própria organização toma e aplica: política de negociação criptográfica, versões aceitas, cabeçalhos de segurança, registros de DNS que declaram quem pode emitir certificado para o domínio, renovação e substituição de certificados. Têm três propriedades em comum: o dono está dentro de casa, a alteração é reversível, e o efeito é verificável de fora na coleta seguinte.
É por isso que costumam abrir o programa. Não por serem os mais importantes, porque frequentemente não são, mas porque produzem o primeiro par antes e depois demonstrável. Um programa que mostra resultado cedo sobrevive melhor ao ciclo orçamentário seguinte.
Estruturais
Dependem de terceiros ou de arquitetura: bibliotecas criptográficas embutidas em sistemas antigos, equipamento com criptografia em firmware, módulos de hardware, dependências de provedores que ainda não anunciaram suporte pós-quântico, integrações contratadas que definem o protocolo. Aqui o dono da decisão está fora, ou está dentro mas depende de um projeto com orçamento próprio.
O erro comum não é subestimar esses sinais. É descobri-los tarde. Uma dependência de fornecedor sem plano pós-quântico identificada no início vira cláusula na próxima renovação de contrato. Identificada no meio da migração, vira impedimento sem alternativa contratual.
Organizacionais
Não são configuração nem equipamento. São inventário criptográfico, política de vida útil de dado, capacidade de trocar de algoritmo sem reescrever sistemas, governança do programa, critério de exigência para fornecedores. Não aparecem na superfície pública: entram na leitura pela camada declarada, e por isso só existem no modo completo.
São os de maior alcance e menor visibilidade. Uma organização com agilidade criptográfica real trata cada sinal das outras duas classes como manutenção. Uma sem ela trata cada um como projeto. É a diferença entre migrar uma vez e migrar toda vez.
A objeção
Vocês publicam a lista completa de sinal para ação correspondente?
Não. A classificação acima é publicável porque é metodologia, e ajuda qualquer organização a montar o próprio cronograma mesmo sem trabalhar com a GWK. A tabela completa, com cada sinal, o peso que ele carrega, a ação específica e a evidência que a comprova, é ativo proprietário. Publicá-la entregaria o desenho do modelo sem dar ao leitor nada além do que já está acima. A metodologia é auditável sem ser replicável.
O que isso sustenta
- Separar o que cabe no trimestre do que exige projeto próprio, antes de montar o cronograma.
- Levar exigência criptográfica para a renovação de contrato, e não para o meio da migração.
- Tratar agilidade criptográfica como investimento que reduz o custo de todas as migrações seguintes.
Fora do escopo deste texto
- A classe de um sinal depende do ambiente. O que é configuração numa organização pode ser estrutural em outra, conforme o legado e o contrato.
- A leitura pública alcança apenas a superfície observável. Sinais organizacionais dependem de declaração, e a declaração depende de quem a preenche.
Da série sobre medição e adequação
Projeção não é execução
O roadmap de governança projeta o efeito de ações declaradas. O que essa projeção demonstra, o que ela não demonstra, e por que confundir as duas coisas é o erro mais fácil de cometer.
O que precisa acontecer entre o diagnóstico e a verificação
Cinco etapas separam um score de uma redução demonstrada. Quem é dono de cada uma, e por que pular qualquer delas invalida a comparação final.
Discutir uma avaliação
Se este texto descreveu um problema que você tem, a conversa começa pelo escopo que você precisa medir, com os limites escritos antes de qualquer proposta.