NOC 24x7 e Monitoramento de TI em São Paulo: Guia Completo

O que um NOC faz de fato

A imagem de sala com telões dá a impressão errada. O valor de um NOC não está em observar, está no que acontece nos minutos seguintes a um alerta. Um NOC que funciona entrega cinco coisas, nessa ordem.

1. Detecção. Coletar sinais de servidores, rede, aplicações e serviços em intervalos curtos e comparar com limiares definidos. Detecção boa é a que percebe a degradação antes da queda: disco enchendo, memória saturando, fila de banco crescendo.
2. Triagem. Separar o alerta que é ruído do que é incidente real. Essa é a parte que exige gente experiente e não só ferramenta, e é onde a maioria dos monitoramentos caseiros falha.
3. Diagnóstico de primeiro nível. Confirmar o sintoma, identificar o escopo (um usuário, um setor, a empresa inteira) e reunir a evidência que o especialista vai precisar.
4. Ação segundo runbook. Executar o procedimento documentado para aquele alerta: reiniciar um serviço, liberar espaço, acionar o link redundante, isolar um host.
5. Escalonamento e comunicação. Se o runbook não resolve, acionar o especialista certo no prazo certo e manter o cliente informado enquanto o problema durar.

Existe um sexto item, menos glamouroso e mais decisivo no longo prazo: a análise de tendência. O NOC que revisa o histórico mensalmente enxerga o servidor cujo disco cresce um pouco todo mês e resolve isso num horário planejado, em vez de resolver às três da manhã quando o disco encheu. Explicamos os sinais que o monitoramento deve capturar no artigo sobre as métricas essenciais para monitorar servidores.

NOC e SOC: não são a mesma coisa

Os dois centros monitoram, operam o tempo todo e usam ferramentas parecidas. A diferença está na pergunta que cada um responde. O NOC pergunta: está funcionando? O SOC (Security Operations Center) pergunta: alguém está fazendo algo que não deveria?

Aquele conflito da penúltima linha é real e precisa estar resolvido no papel antes do incidente. Num ataque de ransomware, restabelecer rápido pode significar restaurar um backup já contaminado ou destruir a evidência que diria como o invasor entrou. Por isso a BS IT Solutions opera o NOC 24x7 integrado à frente de cyber security: o mesmo procedimento define quem decide o quê quando os dois objetivos colidem. O plano correspondente está descrito no texto sobre como evitar um ataque de ransomware.

O que precisa ser monitorado

Monitorar só se o servidor responde ao ping é o equivalente a checar se a fábrica tem energia e concluir que a produção está boa. Um monitoramento útil cobre cinco camadas.

1. Rede e borda

Link principal e redundante, latência e perda de pacote, firewall, VPN, switches e pontos de acesso. É a camada em que a falha afeta todo mundo ao mesmo tempo, e a que mais depende de terceiros (operadora) para ser resolvida. Monitorar o link do lado de dentro e do lado de fora evita a discussão improdutiva sobre de quem é o problema.

2. Servidores e virtualização

Disponibilidade, processador, memória, espaço e desempenho de disco, serviços críticos no ar, temperatura e saúde do hardware, host de virtualização e capacidade do cluster. Espaço em disco é o campeão histórico de incidente evitável.

3. Aplicações e banco de dados

Aqui mora a diferença entre monitoramento técnico e monitoramento útil ao negócio. Servidor no ar com o ERP fora do ar é indisponibilidade total para quem trabalha. É preciso monitorar o serviço da aplicação, o tempo de resposta de uma transação típica, o crescimento do banco, os travamentos e as filas de processamento.

4. Backup e recuperação

Job concluído com sucesso, tempo de execução, volume gravado, idade do backup mais recente e, principalmente, teste de restauração. Backup que nunca foi restaurado é uma hipótese, não uma proteção.

5. Serviços em nuvem e SaaS

Com parte do ambiente fora de casa, o NOC precisa observar também a saúde dos serviços contratados, o consumo de recursos na nuvem e as filas de e-mail. Empresa com ambiente híbrido que monitora só o que está no escritório enxerga metade do quadro.

Severidade e escalonamento: o que faz o NOC ser confiável

Sem classificação de severidade, todo alerta vira urgente e nenhum é tratado com a prioridade certa. A matriz abaixo é um ponto de partida que funciona bem em média empresa e deve ser ajustada à realidade de cada operação.

Três regras tornam essa matriz eficaz. Primeira: a severidade é definida pelo impacto no negócio, não pela complexidade técnica. Segunda: todo nível precisa de prazo declarado para resolver ou escalar, senão o chamado envelhece sem dono. Terceira: existe caminho de escalonamento nomeado, com substituto, para o caso de o primeiro contato não responder.

Runbook: o documento que faz o NOC funcionar de madrugada

Runbook é o procedimento escrito que diz o que fazer diante de um alerta específico. Ele é o que permite que um analista de plantão, às três da manhã, resolva em minutos algo que sem documentação exigiria acordar o especialista e esperar. É também o item que mais falta nos monitoramentos improvisados: a ferramenta detecta, alguém recebe o e-mail e ninguém sabe qual é o passo seguinte.

Um runbook útil é curto e específico. Ele cobre um alerta, não um tema. Estes são os campos que não podem faltar:

• Gatilho. Qual alerta exato dispara este procedimento, com o limiar que o define.
• Impacto esperado. Quem para de trabalhar se isso não for tratado, e em quanto tempo.
• Verificação inicial. O que confirmar antes de agir, para não tratar alarme falso.
• Ação autorizada. O que o analista de plantão pode fazer sozinho, sem pedir aprovação.
• Limite de tentativa. Quantas vezes tentar e por quanto tempo antes de escalar.
• Contato de escalonamento. Nome do papel, meio de contato e substituto.
• Registro obrigatório. O que precisa ficar documentado para a análise posterior.

Runbook é documento vivo. Todo incidente que não tinha procedimento deveria gerar um, e todo procedimento que falhou deveria ser corrigido na semana seguinte. É esse acúmulo que faz um NOC ficar melhor com o tempo, em vez de apenas mais antigo.

A matemática do uptime, sem marketing

Disponibilidade se expressa em percentual, e percentual esconde o tamanho real da coisa. Um ano tem 365 dias, ou 8.760 horas, ou 525.600 minutos. Um mês médio tem 730 horas, e uma semana tem 168 horas. A partir daí é aritmética pura: basta multiplicar o tempo total pelo percentual de indisponibilidade tolerada.

Confira você mesmo a linha mais citada: 0,1% de 525.600 minutos são 525,6 minutos, o que dá 8,76 horas por ano. É por isso que 99,9% soa perfeito numa proposta comercial e ainda assim admite quase nove horas de empresa parada em doze meses.

Três perguntas que revelam o que o número realmente vale

• Qual é a janela de apuração? Uptime medido no ano permite concentrar todo o prejuízo em uma parada longa e ainda cumprir o SLA. Medido por mês, o mesmo percentual é bem mais exigente.
• O que conta como indisponibilidade? Manutenção programada costuma ser excluída. Se a exclusão for ampla demais, o percentual perde sentido.
• Uptime de quê? Disponibilidade do datacenter, do servidor e da aplicação são coisas diferentes. O usuário só se importa com a última.

E o número sozinho não basta: SLA sem crédito, penalidade ou plano de correção obrigatório é apenas uma promessa bem formatada. Detalhamos como cobrar isso no artigo sobre SLA de disponibilidade e como cobrar do provedor.

NOC próprio ou terceirizado

Montar um NOC interno de verdade significa manter cobertura ininterrupta. Isso exige rodízio de turnos, cobertura de férias, afastamento e feriado, mais ferramenta, mais processo documentado. Poucas médias empresas conseguem manter essa estrutura ocupada e atualizada, e a alternativa comum, deixar um analista de sobreaviso pelo celular, entrega detecção lenta e desgasta a pessoa.

O modelo misto costuma ser o mais eficiente: o NOC terceirizado observa, tria e executa o runbook a qualquer hora, enquanto o time interno mantém o conhecimento do negócio e decide prioridade. A comparação mais ampla entre modelos de contratação está no guia de serviços gerenciados de TI.

Como avaliar um fornecedor de NOC

Propostas de monitoramento se parecem muito no papel. Estas perguntas separam quem opera de quem só instala ferramenta.

1. O que exatamente é monitorado e em qual intervalo? Peça a lista de itens por camada, não o nome do produto usado.
2. O que o NOC faz sozinho quando um alerta dispara? Se a resposta for sempre abrir chamado e avisar, você contratou notificação, não operação.
3. Quem atende às três da manhã? Confirme se há equipe em turno ou sobreaviso, e qual o prazo de primeira resposta fora do horário comercial.
4. Como é a matriz de severidade e escalonamento? Ela precisa vir escrita, com prazos e nomes de papéis.
5. Qual o SLA, como é medido e o que acontece se descumprir? Sem consequência contratual, o número é decorativo.
6. Que relatório eu recebo e com que frequência? Bom relatório mostra tendência e recomendação, não apenas contagem de alertas.
7. Os dados de monitoramento e o histórico são meus? Isso importa muito no dia em que você trocar de fornecedor.
8. Como funciona a integração com segurança? Quem decide entre restabelecer rápido e preservar evidência.

O que muda na operação depois de implantar o NOC

Nos primeiros meses, é normal a quantidade de incidentes registrados subir. Isso costuma assustar a diretoria e é justamente o sinal de que está funcionando: problemas que existiam e não eram vistos passaram a ser contados. O que precisa cair, e cai, é o tempo entre a falha e a ação, e o número de incidentes que o usuário descobre antes da TI.

Depois dessa fase, o ganho migra para a prevenção. Alertas de tendência viram tarefas planejadas, a janela de manutenção passa a ser usada de propósito e o orçamento de infraestrutura deixa de ser reativo, porque você consegue mostrar com dados qual servidor vai precisar de investimento nos próximos meses. Empresas com pouca folga no caixa encontram no monitoramento uma das ações de melhor relação entre esforço e resultado, tema que tratamos no artigo sobre melhorar a infraestrutura de TI com orçamento curto.

Perguntas frequentes sobre NOC 24x7 e monitoramento

Qual a diferença entre NOC e help desk?

O help desk atende a pessoa e trabalha por demanda: alguém abre um chamado e o time responde. O NOC observa a infraestrutura e trabalha por evento: o sistema dispara um alerta e o time age, muitas vezes antes de qualquer usuário perceber. São funções complementares, e uma não substitui a outra.

Minha empresa é pequena. Faz sentido monitoramento 24x7?

Faz sentido sempre que existir processo que roda fora do horário comercial ou custo relevante em ficar parado logo cedo. Rotina noturna de integração, backup e fechamento fiscal falham de madrugada com frequência, e sem monitoramento o problema só aparece quando a equipe chega. A pergunta útil não é o tamanho da empresa, é quanto custa a primeira hora de operação parada.

99,9% de uptime é bom?

É um patamar comum e adequado para a maioria dos sistemas de média empresa, desde que você saiba o que ele admite: 8,76 horas de indisponibilidade por ano, ou 43,8 minutos por mês. Para sistemas em que uma hora parada representa prejuízo grande, vale discutir 99,95% ou mais, sabendo que cada nove adicional exige redundância e custa mais.

Monitoramento substitui backup e plano de recuperação?

Não. Monitoramento detecta e acelera a reação, mas não recupera nada sozinho. Backup testado, redundância e plano de recuperação continuam sendo obrigatórios. O que o NOC faz é reduzir a chance de você precisar deles e o tempo até acionar o plano quando precisar.

Quanto tempo leva para implantar um NOC terceirizado?

Depende do tamanho do parque e da qualidade da documentação existente, e por isso qualquer prazo dado antes do inventário é chute. A sequência, porém, é sempre a mesma: inventário dos ativos, instalação dos coletores, calibração dos limiares para reduzir alarme falso, escrita dos runbooks e definição da matriz de escalonamento. A fase de calibração é a que mais se subestima, e é o que separa um NOC útil de uma caixa de e-mail cheia de alerta ignorado.

Como a BS IT Solutions pode ajudar

A BS IT Solutions opera NOC 24x7 integrado às frentes de cyber security, cloud computing e infraestrutura SAP, com atendimento presencial em São Paulo e região metropolitana e cobertura remota em todo o Brasil. Isso significa que o mesmo time que detecta a falha entende o ambiente, executa o runbook e sabe quando o caso deixa de ser disponibilidade e passa a ser segurança.

Se você quer parar de descobrir problema pelo telefone do usuário e passar a ter disponibilidade medida, com relatório e SLA, comece pelo diagnóstico do que já dá para monitorar hoje. Fale com um especialista da BS IT Solutions.