Porque é que o DORA cria um problema de arquitetura para sistemas legados?
O DORA (Digital Operational Resilience Act) exige capacidades que as arquiteturas legadas nunca foram projetadas para oferecer.
O DORA já não é um exercício de compliance para o futuro. Ele está em vigor, é aplicado ativamente e tem foco em resiliência operacional, observabilidade e controle. Muitos ambientes legados conseguem atender aos requisitos de documentação, mas têm dificuldade para cumprir os requisitos arquitetônicos.
O processamento em lote, as dependências não documentadas e as plataformas de fornecedor único criam lacunas que não podem ser resolvidas apenas com melhorias nos processos.
O DORA não é apenas um desafio de compliance. É um impulsionador da modernização.
Por que o inventário de ativos de TIC é tão difícil em ambientes legados?
Na maioria dos ambientes legados, as dependências críticas estão incorporadas ao código, e não à documentação.
O DORA exige um inventário continuamente preciso e auditável dos ativos de TIC e de suas interdependências. Em muitos ambientes de mainframe, essas relações existem apenas em cadeias de processamento em lote, agendadores de tarefas e no conhecimento informal de engenheiros com muitos anos de experiência.
O mapeamento automatizado de dependências é cada vez mais a única forma confiável de atender a esse requisito e, ao mesmo tempo, torna-se a base para qualquer roteiro de modernização realista.
Por que os sistemas legados não conseguem atender aos requisitos de comunicação de incidentes em tempo real?
As arquiteturas legadas detectam incidentes tarde demais, muitas vezes apenas após a conclusão dos ciclos de processamento em lote.
O DORA exige a detecção e a comunicação de incidentes graves de TIC em poucas horas. Os sistemas baseados em processamento em lote atrasam a visibilidade até que o processamento programado seja concluído, tornando uma resposta rápida difícil ou até impossível.
A observabilidade moderna, o monitoramento em tempo real, o rastreamento e os alertas não podem ser implementados de forma eficaz em arquiteturas que nunca foram projetadas para isso. Não se trata de uma falha de governança. Trata-se de uma limitação de arquitetura.
Isso também explica por que muitas iniciativas de IA fracassam em ambientes legados sem dados em tempo real e sistemas de observabilidade, reforçando a necessidade da modernização com IA.
Como o DORA altera o perfil de risco das dependências de mainframe?
Isso transforma dependências há muito tempo aceitas em riscos explícitos de concentração.
O DORA exige que as instituições identifiquem e gerenciem riscos de concentração relacionados a terceiros de TIC. Sistemas centrais dependentes de:
- Um único fornecedor de hardware
- Uma única plataforma de middleware
- Uma força de trabalho especializada cada vez mais escassa
passam agora a estar diretamente sob o escopo da supervisão regulatória.
Embora o DORA não exija a migração imediata dos mainframes, ele requer que as instituições demonstrem uma gestão ativa dos riscos e sua redução ao longo do tempo.
Assim, os esforços de modernização deixam de ser apenas uma iniciativa de redução de custos e passam a ser uma necessidade regulatória.
