Arquitectura, operación y gobierno

Las operaciones de seguridad responden qué está pasando ahora y lo contienen: su reloj va de minutos a días. El gobierno, riesgo y cumplimiento responde si se cumple lo prometido a reguladores y clientes: su reloj son trimestres y años. La arquitectura responde cómo debe estar construido para que el riesgo ya sea aceptable cuando el sistema salga: su reloj son meses, y casi siempre trabaja antes de que exista lo que diseña.

Ese último rasgo es el que más ayuda a separar los casos dudosos. Si lo que te piden cambia cómo se construye algo que aún no existe o que está por cambiar de forma, es arquitectura. Si es reaccionar a algo que ya ocurrió, es operación. Si es demostrar que se cumple lo que ya se prometió, es gobierno.

Un cuestionario de seguridad de un cliente o de un reasegurador pide evidencia de lo que la empresa ya hace. Aunque lo pida el mismo directivo que pide un diseño, no es un diseño: es una prueba del pasado. Para responderlo bien se necesitan los registros, las políticas y las actas, y eso lo tiene quien lleva el cumplimiento.

Esto no significa que la arquitecta se desentienda: ella puede aportar los diagramas y las decisiones que sirven de evidencia. Pero el trabajo de reunir, ordenar y firmar es de otro equipo.

Hay solicitudes que llegan a la persona equivocada pero no admiten reenviarlas a la ligera. Una cuenta comprometida se bloquea ahora y no mañana, y quien la recibe primero debe asegurarse de que el equipo que opera la tenga en la mano antes de ocuparse de su propio trabajo. Dejar la solicitud sin dueño por considerar que «no es mía» es peor que hacer el bloqueo.

La regla práctica es doble: nadie debe quedarse con trabajo que no es suyo, y nadie debe soltarlo sin confirmar que el otro lo recibió.

La solicitud sobre dónde viven los secretos de la migración parece de operación, porque los secretos se rotan y se vigilan a diario. Pero la decisión de dónde se guardan, quién los lee y cómo arrancan los servicios se toma una vez, antes de migrar, y condiciona todo lo que viene después. Esa parte es arquitectura. La rotación diaria sigue siendo de quien opera.

Cuando un caso mezcla las dos partes, se separa en dos: el diseño se queda con la arquitecta y la ejecución con el equipo que la va a sostener.