Ideia principal

"Quero saber quem se conecta à aplicação." Lida como um pedido funcional, a frase é magra: um log de acessos, nada de espetacular.

Ela costuma carregar outra coisa. Por trás podem estar uma auditoria ISO, uma política de segurança, um time de cibersegurança, um SIEM central, um procedimento de investigação — ou simplesmente uma cultura de empresa em que todo acesso precisa ser rastreável.

A mesma leitura vale para os pedidos vizinhos: usar o IAM do cliente, as chaves de criptografia dele, o contrato dele com o fornecedor do modelo, o gateway de e-mail dele. Parecem heterogêneos e contam a mesma história.

Por que isso importa

Tratados como exigências técnicas, esses pedidos são julgados pelo custo de desenvolvimento, e a conclusão frequente é que eles não criam valor de negócio. Esse julgamento está certo e fora do assunto.

Lidos como expressão de uma governança, eles são julgados de outro jeito: não "o que isso agrega ao produto?", mas "o que isso permite que essa organização aceite?".

Nuances e limites

Nem todos vêm da cultura: alguns são obrigações regulatórias de verdade, outros são simples preferências de um time. O trabalho está justamente em não confundir.

E a cultura de uma grande conta não é homogênea: o que a segurança pede e o que a diretoria de negócio pede podem se opor.

Questões em aberto

• Como distinguir, ao ler um pedido, a obrigação regulatória do hábito organizacional?