Diagnóstico Preliminar As-Is — Matriz de Riscos Consolidada¶
Projeto: DSB26201 — Assessment de Arquitetura e Integrações ADMS (Energisa) Versão: v0.2 · rascunho de trabalho (migrado do HTML original para markdown em 03/08/2026; revisado em 04/08/2026 e 05/08/2026 — ver notas de revisão ao final) Data-base: 28/07/2026
Riscos unificados das doze atas e da conversa de equipe de 11/07, ordenados por severidade, com duplicidades eliminadas e convergências indicadas. Severidade combina probabilidade e impacto conforme discutido nas sessões; onde a ata de origem atribuiu severidade, ela foi preservada. Ver também a matriz de achados e lacunas.
Críticos¶
| # | Risco | Domínio | Impacto principal | Origem |
|---|---|---|---|---|
| R01 | Dependência WAN inter-datacenter do G1 em produção, sem precedente e sem resiliência evidenciada por testes antes do go-live de 01/09. Latência interdatacenter confirmada em 60–70ms pela Ata 13 — corrobora o risco, não muda a severidade já crítica. | Infra / Telecom (D11) | Indisponibilidade ou degradação da operação G1 em falha ou latência da WAN. | Atas 01, 03, 05; corroborado pela Ata 13 |
| R02 | Ausência de estratégia de backup, replay e DR do barramento de eventos. | Barramento (D5) | Perda de eventos e impossibilidade de reconstruir estado após desastre. | Ata 10 |
| R03 | Failover incompleto da cadeia de dados: replicação presa ao site primário e continuidade do job de captura sem tratamento (convergência CV1). | CDC / Continuidade (D9, D11) | ADMS opera em contingência enquanto consumidores corporativos ficam sem dados. | Atas 05, 12 |
| R04 | Atualização do fornecedor quebra a materialização das views e a captura em produção, sem comunicação prévia de mudanças de esquema. | ADMS / CDC (D1) | Indisponibilidade de integrações e retrabalho emergencial a cada upgrade. | Ata 12 |
| R05 | Atraso de captura de 10 a 30 minutos nas tabelas de alta volumetria compromete processos operacionais de tempo quase real. | CDC / Dados (D9) | Decisões operacionais sobre estado defasado nos horários de pico. | Ata 12 |
| R06 | Contenção single-thread do adaptador ADMS sob crescimento de volume, com defeito de produto em aberto. | ADMS / OMS (D1) | Saturação do processamento de eventos em picos e em cenários de tempestade. | Atas 01, 08 |
| R07 | Tráfego interno ao cluster trafegando por rota externa (F5, firewall, API Gateway), adicionando latência, custo e pontos de falha desnecessários. | OpenShift / Rede (D6) | Falha em componente externo interrompe comunicação que deveria ser interna. | Ata 10 |
Altos¶
| # | Risco | Domínio | Impacto principal | Origem |
|---|---|---|---|---|
| R08 | Dual write sem Outbox e ausência de correlation ID nos fluxos de incidentes. | CRM / Barramento (D3) | Divergência de estado entre sistemas e diagnóstico lento de falhas. | Ata 09 |
| R09 | Janela de sincronização GIS-ADMS de aproximadamente 12 horas gera eventos tardios, duplicidades e incidentes com granularidade insuficiente. | GIS / ADMS (D2) | Reaberturas, deslocamentos indevidos e perda de confiança na informação. | Ata 06, conv. 11/07 |
| R10 | Carga full de equipes WFM com falhas, timeouts e ausência de confirmação (convergência CV2). | WFM (D4) | Dessincronização de equipes entre WFM e ADMS em janelas críticas. | Ata 08 |
| R11 | Chaveamento manual multiequipe no F5 e monitores que não enxergam o serviço (convergência CV3). | F5 (D7) | Tempo de indisponibilidade elevado e tráfego direcionado a nós sem serviço. | Ata 05 |
| R12 | APIs publicadas sem testes de contrato: quebras de compatibilidade chegam à produção. | API / Sensedia (D8) | Falhas em consumidores e retrabalho de backend após publicações. | Ata 05, conv. 11/07 |
| R13 | Governança de eventos ausente: tópicos duplicados e eventos equivalentes multiplicando tráfego (convergência CV5). | Barramento (D5) | Custo e processamento crescentes sem valor correspondente. | Ata 10 |
| R14 | Consumidores frágeis pós-reinício, exigindo intervenção manual e induzindo a postergação de atualizações da plataforma. | Aplicações (D5) | Exposição prolongada a vulnerabilidades e dependência de operação manual. | Atas 04, 10 |
| R15 | Capacidade e licenciamento do barramento (ordem de 120 cores dedicados, número ainda não confirmado por inventário — ver D6) sem modelo formal de planejamento. | OpenShift / Custo (D6) | Crescimento de custo sem remoção das causas estruturais. | Ata 10 |
| R16 | Observabilidade ausente na OT e cobertura parcial (três de nove unidades) do APM. | Observabilidade (D10) | Demora para localizar falhas entre domínios e experiência desigual entre empresas. | Ata 11 |
| R17 | Plataforma de logs com storage compartilhado: incidentes do ELK propagam para outros serviços. | Observabilidade (D10) | Indisponibilidade sistêmica a partir do ambiente de logs. | Ata 11 |
| R18 | Telemetria de 151 aplicações em um único tópico, sem propriedade nem gestão de volumetria (convergência CV5). | Observabilidade (D10) | Custo, degradação e ausência de responsável identificável. | Ata 11 |
| R19 | Dados pessoais potencialmente indexáveis no pipeline de logs e criptografia em trânsito incompleta na telemetria. | Segurança / LGPD (D10) | Incidente de conformidade e exposição de dados sensíveis. | Ata 11 |
| R20 | Azure e Databricks sem monitoramento previsto; telemetria multicloud não consolidada. ⚠ candidato a elevação — a Ata 14 confirma, de forma independente, que esse mesmo elo (integração ambiente-próprio↔nuvem) é ponto único de falha da cadeia regulatória e operacional; ver nota metodológica. | Observabilidade (D10, D12) | Pontos cegos em dados e aplicações na nuvem. | Ata 11; corroborado pela Ata 14 |
| R21 | Procedimentos customizados da cadeia de captura sem responsável formal, SLA ou ciclo de vida (convergência CV5). | CDC / Governança (D1, D9) | Sustentação dependente de pessoas específicas e resposta lenta a falhas. | Ata 12 |
| R22 | Mudança de esquema pode causar perda silenciosa de dados entre origem e consumidores. ⚠ candidato a elevação — a Ata 14 registra o mesmo padrão de falha (schema breaking sem contrato, detecção reativa) atravessando uma segunda cadeia de dados independente (data lake); ver nota metodológica. | CDC / Dados (D1, D9) | Divergência de dados detectada tardiamente, sem alerta de desvio. | Ata 12; corroborado pela Ata 14 |
| R23 | Consumidores de dados não identificados ou sem acordo de nível de serviço. | Dados / Governança (D9) | Impossibilidade de dimensionar e priorizar corretamente a cadeia de dados. | Ata 12 |
Médios¶
| # | Risco | Domínio | Impacto principal | Origem |
|---|---|---|---|---|
| R24 | Comandos DDL não interpretados pelo conector interrompem a captura em operações rotineiras de banco. | CDC (D9) | Paradas de fluxo por manutenção comum de banco. | Ata 12 |
| R25 | Duplicidade de leitura sobre as bases do ADMS por múltiplas ferramentas de integração. | Dados (D9) | Complexidade, custo operacional e pressão redundante sobre a fonte. | Ata 12 |
| R26 | Dependência de componentes proprietários do fornecedor para as views e bibliotecas. | ADMS (D1) | Limitação das alternativas de replicação e acoplamento ao produto. | Ata 12 |
| R27 | Ciclo de versões do OpenShift e do operador Confluent defasado; atualização em curso, mas sem processo institucionalizado. | Plataforma (D6) | Exposição a vulnerabilidades e upgrades acumulados de maior risco. | Ata 10 |
| R28 | Schema Registry parcial e divergência de esquemas entre empresas do grupo. | Barramento (D5) | Incompatibilidades silenciosas entre produtores e consumidores. | Atas 04, 09 |
| R29 | Retenção de logs de quinze dias em produção e resposta a incidentes predominantemente manual. Mesma causa-raiz de governança (retenção definida por conveniência de custo/storage, não por criticidade) reaparece na retenção de sete dias da área de aterrissagem do data lake — ver R37. | Observabilidade (D10) | Perda de evidência forense e tempo de recuperação elevado. | Ata 11 |
| R30 | Requisitos "real-time" sem formalização de SLA de negócio direcionam custo de Databricks e streaming sem necessidade comprovada (convergência CV4). | Dados / Custo (D9, D4, D10) | Custo estrutural elevado para requisitos que tolerariam batch ou micro-batch. | Conv. 11/07, Atas 11, 12 |
Riscos adicionais propostos (Atas 13 e 14 — fora da consolidação v1.10)¶
Diferente de R01–R30, que passaram pela consolidação e eliminação de duplicidade das doze Atas originais, os itens abaixo são propostos nesta revisão (04/08/2026) diretamente a partir das severidades já atribuídas pelas próprias Atas 13 (seção 1.14.11) e 14 (seção 1.15.16) em suas tabelas de risco. Não passaram por rodada de validação — tratar como entrada de trabalho para a próxima consolidação formal, não como risco confirmado no mesmo grau que R01–R30. Dois achados das Atas 13 e 14 propositalmente não geraram linha nova aqui — a resiliência da integração ambiente-próprio↔nuvem e a evolução de esquema no data lake — porque já são tratados como corroboração de R20 e R22 acima, respectivamente, para não duplicar o mesmo risco sob dois números. Itens de severidade Média mais operacionais da Ata 14 (custo de processamento, disparo integrado da camada de visualização, padronização de documentação arquitetural) também ficaram de fora por serem de impacto mais restrito à própria equipe de dados — podem ser incorporados na consolidação formal se a validação com as áreas indicar relevância maior.
| # | Risco | Severidade (Ata de origem) | Domínio | Impacto principal | Origem |
|---|---|---|---|---|---|
| R31 | Conector de captura (Debezium) roda no OpenShift corporativo, distante do banco de origem no ambiente operacional — achado ainda não formalizado como linha em D9. | Alta | CDC (D9) | Maior sensibilidade a variações de rede, atraso na captura e dificuldade de recuperação após interrupções — soma-se às causas já registradas em R05. | Ata 13 |
| R32 | Replicação do banco corporativo entre sites via Data Guard, sem modo de proteção nem transporte (síncrono/assíncrono) confirmados. | Alta | Continuidade (D11) | Objetivo de ponto de recuperação desconhecido; possível perda ou defasagem de dados em failover. | Ata 13 |
| R33 | Testes de recuperação de desastre dos sistemas corporativos restritos a ambiente isolado ("bolha"); nunca houve chaveamento integral de produção. RTO declarado de 24h (sessão de DR) não tem essa cobertura exercitada. | Alta | Continuidade (D11) | Dependências reais — resolução de nomes, rotas, autenticação, integrações — podem não estar sendo exercitadas. | Ata 13; sessão de DR (03/08) |
| R34 | Entrada em produção do OMS (01/09) sem critérios objetivos de aceite de integração definidos. | Alta | G1 / Integrações | Problemas de desempenho ou continuidade podem só se manifestar após o go-live, sem gate prévio para barrá-los. | Ata 13 |
| R35 | Ocupação dos enlaces interdatacenter sem linha de base formal — números variam entre menos de 50% e 70% conforme o critério de medição. | Média | Rede / Telecom (D11) | Decisões sobre margem de capacidade apoiadas em números divergentes; risco de saturação não percebida. | Ata 13 |
| R36 | Segmentação entre redes TI e OT apoiada apenas em identificador de VLAN, até a conclusão do projeto de interconexão de data centers (migração prevista até março de 2027). | Média | Rede / Segurança | Limitações de isolamento e governança entre os dois domínios de rede durante toda a janela de implantação do G1 e G2. | Ata 13 |
| R37 | Retenção uniforme de sete dias na área de aterrissagem do data lake, sem diferenciação por criticidade; caso concreto de perda de dados já ocorrido por reprocessamento solicitado fora da janela. | Alta | Dados / Data Lake (D12) | Impossibilidade de reprocessar incidentes descobertos tardiamente, inclusive em fluxos regulatórios. | Ata 14 |
| R38 | Ausência de framework formal de qualidade de dados (completude, validade, consistência, quarentena) no data lake. | Alta | Dados / Data Lake (D12) | Pipeline pode concluir com sucesso enquanto o dado publicado está semanticamente incorreto — inclusive em API regulatória com penalidade por atraso ou erro. | Ata 14 |
| R39 | Ausência de idempotência nos consumidores de eventos do data lake; conectores sem mecanismo de reconstrução de estado além da janela de retenção. Segunda ocorrência independente da lacuna já registrada em R08 (Ata 09). | Alta | Dados / Data Lake (D12) | Reenvio de dados corrigidos cria risco de duplicidade; recarga histórica indisponível fora da janela de sete dias. | Ata 14 |
| R40 | Upgrade de licenciamento Oracle para replicação de grande volume estimado em cerca de R$ 6 milhões, considerado inviável para um único projeto. | Média | Dados / Custo | Fluxos que dependem dessa capacidade recorrem a releituras históricas volumosas, elevando custo e carga sobre o ambiente de origem. | Ata 14 |
| R41 | Serviço de gravação em Go, desenvolvido sob pressão de prazo regulatório para substituir conector comercial não adquirido a tempo, mantido em produção sem propriedade formal. | Alta | Dados / Governança (D12) | Mesmo padrão de risco já registrado para a materialização de views do ADMS (R26, Ata 12) — componente crítico sem dono nem sustentação formal. | Ata 14 |
Riscos adicionais propostos (evidência de produção real — 05/08/2026, fora da consolidação v1.10)¶
Diferente de R01–R41, este item não vem de uma Ata, mas da leitura direta de relatórios reais do Confluent Control Center/Kafka Connect e de payloads de evento reais fornecidos pelo cliente, analisados em
030-artefatos/evidencias-producao-confluent-kafka.md. Não passou por rodada de validação com as áreas — tratar como entrada de trabalho, no mesmo grau de maturidade que R31–R41, não como risco confirmado.
| # | Risco | Severidade (proposta) | Domínio | Impacto principal | Origem |
|---|---|---|---|---|---|
| R42 | Dados pessoais (CPF, telefone) trafegando em texto puro em tópicos operacionais de CRM (ex.: crm_chamada_ocorrencia_tecnica) sem Schema Registry nem contrato formal, sem mascaramento nem controle de acesso por schema. |
Alta | CRM / LGPD (D3) | Exposição de dado pessoal sem trilha de governança; qualquer consumidor do tópico recebe o dado sem filtro. | Análise de payload real de produção, 05/08/2026 |
Nota metodológica¶
A severidade de R03 foi elevada de alta (classificação isolada da Ata 12) para crítica na visão consolidada, porque a convergência com o gap de failover do CDC identificado na Ata 05 mostra que o problema atravessa toda a cadeia de dados e coincide com o cenário de contingência do G1. Elevações ou rebaixamentos como esse estão sinalizados e devem ser confirmados na rodada de validação.
Propostas de elevação em aberto (revisão de 04/08/2026, pendentes de validação — não decididas unilateralmente por esta consultoria):
- R20 (observabilidade ausente em Azure/Databricks, Ata 11) tem hoje uma segunda fonte independente — a Ata 14 — confirmando que o mesmo componente (integração ambiente-próprio↔nuvem) é "ponto único de falha" para toda a cadeia analítica e regulatória, na formulação da própria equipe de dados. É o mesmo padrão de evidência que justificou elevar R03: duas sessões distintas, ângulos diferentes (observabilidade vs. resiliência), mesmo componente crítico. Candidato a elevação de Alto para Crítico.
- R22 (mudança de esquema causa perda silenciosa de dados, Ata 12) tem o mesmo padrão de falha — quebra sem contrato, detecção reativa — confirmado de forma independente pela Ata 14 do lado do data lake, uma cadeia de dados distinta da que originou o achado em D1/D9. Candidato a virar uma sexta convergência transversal (CV6) na matriz de achados, com possível reavaliação de severidade.
Essas duas propostas foram deixadas como candidatas, não como decisão, seguindo a regra de ouro do assessment: divergências e reclassificações são levadas às áreas como questões de validação, nunca arbitradas pela consultoria.
Nota da migração (03/08/2026): esta matriz reflete o estado do assessment em 28/07 (base v1.10, Atas 01–12). As sessões de Rede/Telecom (Ata 13), Engenharia de Dados (Ata 14) e DR (sem Ata formal) trouxeram achados adicionais — notavelmente a assimetria de continuidade entre ADMS e sistemas corporativos e o ponto único de falha na integração com a nuvem — que ainda não foram incorporados a esta matriz consolidada. Ver
030-artefatos/rede-telecom-adms.md,030-artefatos/engenharia-dados-adms.mde030-artefatos/dr-adms-sistemas-corporativos.md.Nota de revisão (04/08/2026): esta revisão fez quatro alterações. Primeiro, anotou a referência de domínio (Dx) da matriz de achados em cada uma das trinta linhas originais, para rastreabilidade entre os dois documentos. Segundo, sinalizou R15 como número ainda não confirmado por inventário. Terceiro, abriu a seção "Riscos adicionais propostos" (R31–R41) transcrevendo as severidades já atribuídas pelas Atas 13 e 14 em suas próprias tabelas de risco. Quarto, registrou duas propostas de elevação por convergência (R20 e R22) seguindo o precedente metodológico já usado em R03, deixadas explicitamente como candidatas pendentes de validação. Nenhuma severidade de R01–R30 foi alterada nesta revisão.
Nota de revisão (05/08/2026): aberta uma segunda seção de "Riscos adicionais propostos", separada de R31–R41 porque a origem é diferente — análise direta de evidência de produção (relatórios reais + payloads reais), não uma Ata. Proposto R42 (PII em texto puro em tópico CRM sem Schema Registry). Nenhuma severidade de R01–R41 foi alterada nesta revisão.