Operação

Ambientes lógicos (ciclo de vida)

O contrato de Operação (C2) sustenta, corrige e executa mudanças nos ativos alocados a cada faixa — desenvolvimento, homologação, pré-produção (se existir) e produção. O que entra em cada faixa vem de escopo, catálogo e ANS; janelas, criticidade e SLAs podem variar entre elas.

• Desenvolvimento (e/ou sandbox, laboratório)
• Homologação (teste integrado, validação de release ou UAT)
• Pré-produção, quando houver
• Produção

Níveis de suporte (N1, N2, N3) e modelo operativo

No âmbito do contrato de Operação (C2), o atendimento e a sustentação organizam-se em camadas de competência — em geral designadas N1, N2 e N3 — que definem quem trata o quê, com que profundidade técnica e até onde se desloca o problema antes de envolver fabricante, terceiro especializado ou a equipe de Segurança (C3). A matriz exata (catálogo, escalamentos e SLAs) fica no ANS e no ITSM; aqui fixa-se o racional para o TR e para a gestão do serviço.

Competências típicas por nível

N1/N2/N3 não substituem o RACI nem o OLA interno entre equipes do fornecedor; alinham-se ao catálogo de serviço e às filas definidas no ITSM, com métricas em C1.

Formas de operação

O fornecedor pode combinar turnos fixos (horário comercial ampliado ou 24/7), plantões para fora do expediente e, quando aplicável, modelo follow-the-sun com equipes em outros fusos horários — desde que o ANS e o canal de contato único (por exemplo, service desk) permaneçam claros para a Administração e os usuários. O NOC (monitoramento e reação a alarmes) pode estar integrado ou acoplado ao fluxo N2/N3; o SOC permanece no âmbito de C3, com handover definido para C2 em execução e restauração.

• Centralizado — um ponto de entrada (ITSM) e escalamento interno N1→N2→N3.
• Hub e spoke — núcleo técnico N2/N3 com N1 local ou por território (útil com muitas localidades).
• Embutido (dedicated) — recursos com horário alinhado a equipes da Administração, para projetos ou produção crítica; exige cláusula de substituição e ausências.

Requisitos que o TR e o ANS devem explicitar

• Cobertura horária por criticidade (por exemplo, P1 24/7, P5 horário útil) e tempo máximo de primeira resposta e restauração.
• Percentual mínimo de resolução em N1 (quando mensurável) e regras de escalamento obrigatório (por exemplo, alteração em produção só via mudança aprovada).
• Idioma, canal (telefone, portal, e-mail) e evidência de atendimento em ITSM para IMR.
• Acessos (VPN, PAM, contas privilegiadas) e segregação: quem em N2/N3 pode tocar em produção e sob que aprovação.
• Teletrabalho e remoto: mesmos SLAs que presencial, salvo cláusula excepcional documentada; segurança de posto (MDM/UEM, criptografia) alinhada a C3.

Presencial, remoto e teletrabalho

Presencial exige deslocamento a instalações da Administração ou de telecomunicações quando o serviço assim o fixar (por exemplo, “mãos no hardware”, salas seguras, cabeamento, impressão em balcão). Remoto designa a realização técnica à distância (console, sessão segura, nuvem) sem implicar necessariamente o regime jurídico de teletrabalho do trabalhador. Teletrabalho (trabalho em domicílio ou fora da sede habitual do empregador, nos termos da lei e do contrato de trabalho ou de prestação de serviços) pode ser a forma como o fornecedor organiza N1–N3, desde que haja controle de jornada acordado, confidencialidade, meios seguros e continuidade (substituição em caso de ausência).

A Administração pode exigir períodos mínimos presenciais para auditoria, repasse de conhecimento ou intervenções em perímetro físico; isso deve constar do TR, sem contradizer metas de ANS. A combinação presencial + remoto + teletrabalho é comum: o que não pode é haver “buracos” de responsabilidade entre modalidades (sempre um titular de fila e um registro no ITSM).

Regras mínimas do TR — Operação (C2)

As regras abaixo materializam exigências do Termo de Referência e do ANS para o contrato de Operação, com base única de contagem: itens de configuração (CIs) inventariados no CMDB e no período congelado (ver secção 2 do ANS), por categoria (PC, servidor, rede, serviço digital, etc., conforme TR). Evita-se dupla contagem do mesmo CI em denominadores incompatíveis: o TR deve fechar a regra (por localidade, por perfil N3, por escopo de campo N2).

N1 — central própria do fornecedor (primeiro atendimento integral)

O N1 é operado em central própria do fornecedor (não basta “pegar o telefone” sem capacidade de resolução). Deve ser capaz de promover o primeiro atendimento de forma integral, com:

• Acesso remoto (canal e ferramenta pactuados) à máquina do usuário, quando o incidente o exigir, observando LGPD, segregação e política de acesso aprovada pela Administração.
• Leitura de logs e correlação com o serviço de segurança do contrato C3 (por exemplo, SIEM, EDR, eventos de identidade) no mesmo nível de visibilidade necessário para identificar e sanear a causa do problema operacional, sem substituir a função de decisão e resposta a incidente de segurança do SOC (C3) — o N1 atua com C2; incidentes de segurança puros seguem a matriz C3 e Segurança.

Encaminhamento ao N2 é excepcional, justificado por: (i) complexidade técnica fora do desenho do N1; (ii) requisito de negócio (ex. mudança em produção, janela, aprovação formal); (iii) requisito estratégico (ex. usuários com perfil VIP — fila e prioridade, sem alterar a contagem de postos de N2). A instituição poderá manter, no máximo, 5% dos usuários cadastrados (catálogo de identidade / base oficial) como VIP, com regra de comprovação e auditoria (C1).

Todo repasse ao N2 deve trazer, no ITSM, histórico sintético do que já foi feito, com resultados (o que funcionou, o que foi descartado, hipóteses e próximo passo).

N2 — presencial (júnior e pleno) por localidade

O N2 é presencial, com perfis júnior e pleno, com janela contínua (horário de cobertura) definida para cada localidade (por exemplo, cada superintendência estadual), alinhada ao parque e ao planejamento (IN 94/ETP).

Como contar os postos (use o total de CIs de escopo N2 da localidade no CMDB):

1. Calcule quantos profissionais plenos são necessários: para cada 50 CIs (contando em blocos completos), aloque um pleno. Exemplos: com 75 CIs há um bloco de 50 (ficam 25 CIs fora desse bloco); com 100 CIs há dois blocos de 50.
2. O que sobrar depois de formar os blocos de 50 CIs serve para os júniores: a cada 25 CIs restantes, aloque um júnior (também em blocos completos de 25).

Localidades com menos de 50 CIs de escopo N2: não haverá N2 presencial dedicado. O TR deve prever como o atendimento de campo, continuidade e crise serão cobertos (ex.: N2 de base regional com deslocamento, consolidação de localidade no CMDB) — sem lacuna de responsabilidade. Se houver apenas um técnico alocado, ele contará como pleno, com jornada no máximo o horário comercial da unidade, até 8 horas por dia, conforme janela pactuada.

A prioridade VIP altera SLA e escalonamento de chamado, não a tabela de postos de N2 acima (salvo o TR dizer o contrário de forma explícita).

N3 — júnior, pleno e sênior (por perfil de especialidade)

N3 divide-se em júnior, pleno e sênior. A presença física mínima concentra-se na sede em Brasília (DF) e em outras localidades com infraestrutura robusta de datacenter/telecom — lista a definir no TR (ex.: outras capitais, polos; esclarecer se siglas regionais do tipo MS referem estado, projeto ou outro critério — não fixar localidade sem aprovação da Administração).

Modalidade de trabalho (semana, por padrão): Sênior — híbrida 3 dias presenciais / 2 remotos; Pleno N3 — híbrida 4 presenciais / 1 remoto; Júnior N3 — presencial (sede ou polo pactuado).

Perfis de especialidade (cada qual com a sua contagem de CIs no escopo N3, mesma família lógica do CMDB; exemplos: nuvem (IaaS/PaaS); dados (SGBD, DW); SO; rede; segurança da operação — endurecimento, segmentação, WAF a nível de serviço, distinto do SOC e da resposta a incidente C3; serviços — web, DNS, filas, APIs operadas pelo C2).

Para cada perfil, pegue o total de CIs desse perfil no escopo N3 e aplique, nesta ordem (o TR pode exigir pelo menos um sênior em todo perfil que tenha algum CI, a confirmar):

1. Profissionais sênior: a cada 300 CIs (em blocos completos) do perfil, aloque um profissional sênior naquele perfil.
2. O que sobrar depois de contar os blocos de 300: use esse resto para plenos N3 — a cada 100 CIs ainda em jogo, aloque um pleno N3.
3. O que ainda sobrar depois dos plenos: use para júniores N3 — a cada 50 CIs nesse resto, aloque um júnior N3 (presencial).

A base de CIs de N2 (por localidade) e de N3 (por perfil) deve ser acordo distinto no mesmo CMDB, sem contar o mesmo ativo duas vezes em dotação de N2 e N3. O fechamento fica no anexo de capacidade do TR/ANS.

Exemplo (um único perfil com 750 CIs):

Especialista (remoto, sob demanda)

Profissionais especialistas em nichos de ferramentas e soluções usados pela contratante (banco de dados, web, servidores, nuvem, segurança, etc.), em geral remotos e sob demanda. A estratégia de uso e o custeio interno são de responsabilidade do fornecedor.

Remuneração pela contratante (fora do escopo padrão do preço) só ocorre quando houver aprovação prévia, expressa e por escrito da Administração para a ocorrência, até 3 ocorrências por trimestre (por contratante, salvo anexo com outro teto). Demais ativações: sem ônus para a contratante, competindo alocação e custo ao fornecedor, salvo regra distinta aprovada no TR / aditivo.

As ocorrências aprovadas seguem faixas de duração máxima (horas efetivas de trabalho, que podem ser fracionadas no período) e valor — o TR e o anexo de preços fixam, por faixa, o valor da ocorrência (ou teto) e a tarifa-hora de cada categoria de especialista (obrigatório constar do contratação), por exemplo:

• até 3 horas;
• até 10 horas;
• até 20 horas.

Valores, faixas e critério de aprovação prévia devem estar no ANS (remissão) e no instrumento contratual. visualizar o ANS em HTML

Fonte normativa (SDR): texto canônico entre os arquivos sdr-*.md — visualizar em HTML · baixar sdr-0006-operacao-c2-niveis-capacidade.md · índice no planejamento da contratação.

Domínios de infraestrutura — Operação (C2)

A coluna de Segurança (C3) cobre postura e validação na mesma matriz (nuvem, borda, endpoints, redes, servidores e aplicações), para todas as faixas do escopo do contrato.

Disciplinas transversais (ênfase em C2)

Resposta a incidentes e sob ataque

C2 executa bloqueios e restauração técnica quando C3 orienta a resposta. Ver Segurança — Condição sob ataque e o documento de referência para o quadro completo.