Escolha um serviço para delimitar a descoberta
Em um exercício hipotético, a equipe conhece os computadores usados no atendimento, mas não sabe quem mantém o domínio do portal, a integração de mensagens ou a aplicação que gera protocolos. A indisponibilidade revela dependências que não estavam no cadastro de equipamentos. Um inventário voltado à segurança precisa permitir localizar essas relações antes que uma ocorrência exija respostas urgentes.
Comece por um serviço municipal reconhecido pela área usuária e descreva sua entrega. Pergunte o que precisa funcionar para que uma solicitação seja recebida, analisada e respondida. Mapeie os componentes dessas etapas sem tentar catalogar toda a prefeitura de uma vez. Registre o recorte escolhido e o que ainda não foi examinado para evitar uma percepção incorreta de cobertura.
O objetivo inicial é reconhecer ativos e responsáveis suficientes para agir. Não é necessário implantar uma plataforma complexa antes de descobrir o primeiro conjunto. Uma base restrita e organizada pode apoiar o trabalho, desde que haja identificação estável, controle de alterações e possibilidade de relacionar o mesmo componente a mais de um serviço.
Diferencie os cadastros que precisam conversar
O cadastro patrimonial acompanha bens e suas responsabilidades administrativas. O inventário operacional acrescenta informações necessárias à manutenção e à proteção do serviço. Eles podem compartilhar referências, mas não representam exatamente o mesmo objeto. Uma assinatura de software, um ambiente virtual ou uma integração pode ser relevante sem aparecer como um computador com etiqueta física.
A orientação de inventário físico de TI da Prefeitura de São Paulo exemplifica a conferência de número patrimonial, descrição, responsável e divergências. Esse é um procedimento municipal específico. Use a distinção para conversar com a área patrimonial da sua instituição, sem transplantar automaticamente seus prazos, sistemas e fluxos para outro município.
Quando um ativo existir nos dois registros, preserve o vínculo por identificador. Evite criar descrições incompatíveis que impeçam reconhecer o mesmo equipamento. Defina qual área confirma cada informação: localização patrimonial, finalidade de uso, configuração ou responsável pela sustentação. A integração entre cadastros começa pela clareza desses papéis, antes de qualquer sincronização automática de campos.
Cruze registros e confirme com quem opera
Reúna contratos pertinentes, listas de sistemas, registros de atendimento técnico, ambientes administrados e referências de patrimônio. Peça às áreas que indiquem ferramentas usadas fora do conjunto central, incluindo serviços contratados por unidade e soluções mantidas por terceiros. Uma fatura pode mostrar que há uma assinatura, mas não comprova quem a utiliza nem qual processo depende dela.
Combine essa pesquisa com entrevistas curtas e conferências autorizadas. Pergunte como a pessoa inicia o trabalho, onde registra informações e o que faz quando um componente falha. Não solicite senhas ou exportações de dados pessoais para demonstrar que uma ferramenta existe. Nome, finalidade, referência administrativa e responsável são suficientes para abrir uma verificação.
Ferramentas técnicas de descoberta podem complementar o levantamento, dentro do ambiente e da autorização definidos. Não realize varreduras invasivas nem instale agentes indiscriminadamente em equipamentos de terceiros. A descoberta deve ser compatível com continuidade, contratos e privacidade. Registre a origem de cada informação e a data em que ela foi confirmada.
Crie uma ficha que permita decidir
Uma ficha útil reúne identificador, tipo, descrição, serviço associado, responsável institucional, custodiante técnico, localização lógica ou física, estado e última conferência. Acrescente dados de suporte e dependências quando forem necessários à ação. Não coloque credenciais, chaves ou detalhes sensíveis em uma planilha de ampla circulação para tornar o cadastro supostamente completo.
O modelo de política de ativos do PPSI 2.0, publicado em 2026, trata gestão ao longo do ciclo de vida e atribuição de responsáveis. O documento é referência para órgãos do SISP e requer adaptação. Para o município, a lição operacional é definir quem decide sobre o uso e quem executa a manutenção, conforme suas próprias competências e regras.
Diferencie informação declarada, confirmada e desconhecida. Se ninguém souber a versão de um componente, registre a lacuna com responsável por apurar. Preencher um valor provável reduz a confiabilidade do conjunto. Cada campo deve apoiar uma decisão concreta, como localizar suporte, avaliar uma mudança ou identificar ativos que precisam de revisão prioritária.
Relacione os componentes ao impacto no serviço
Um mesmo servidor ou serviço externo pode sustentar várias jornadas. Registre essa relação para que uma mudança não seja avaliada apenas pela equipe que a solicitou. Inclua dependências de identidade, conectividade, armazenamento e integração relevantes ao recorte. A criticidade deve considerar a consequência da interrupção ou do uso indevido para a instituição e para as pessoas atendidas.
Não transforme o inventário em um desenho técnico que só uma pessoa entende. Para cada serviço prioritário, a equipe precisa localizar os componentes essenciais e os contatos responsáveis. O roteiro de resposta a incidentes em prefeituras utiliza esse contexto para delimitar impacto e acionar as pessoas certas quando surge uma ocorrência.
Evite divulgar publicamente o mapa detalhado de infraestrutura como consequência automática da organização interna. Acesso e compartilhamento devem ser proporcionais à necessidade. Uma versão para gestão pode apresentar serviço, responsável e situação, enquanto detalhes técnicos ficam com equipes autorizadas. Essa separação mantém a informação útil sem expor desnecessariamente caminhos de acesso ou dependências sensíveis.
Trate ativos desconhecidos como pendências verificáveis
Ao encontrar um equipamento sem registro, uma assinatura sem responsável ou um sistema aparentemente desativado, abra uma pendência. Confirme uso, titularidade, autorização e impacto antes de decidir o tratamento. A ausência no cadastro não comprova por si só uma irregularidade, mas exige esclarecimento. Evite apagar serviços ou desconectar componentes apenas para fazer o inventário parecer reconciliado.
Classifique as diferenças de modo simples: existe e não estava registrado; consta no registro e não foi localizado; responsável divergente; estado não confirmado. A norma de inventário da ANAC oferece um exemplo institucional de identificação e mapeamento com responsabilidades. A adaptação local deve preservar a distinção entre descobrir uma diferença e autorizar uma providência sobre o ativo.
Atribua responsável e próximo passo a cada ocorrência. Se um serviço não tiver dono reconhecido, encaminhe a definição à gestão competente. Se houver risco imediato, acione o procedimento de segurança apropriado. Registre a conclusão com evidência suficiente, em vez de encerrar o item porque alguém informou informalmente que o sistema provavelmente não era mais usado.
Faça mudanças atualizarem o inventário
Inclua conferência do cadastro em aquisição, ativação, transferência, mudança de suporte e encerramento. Quando uma equipe muda, revise também a responsabilidade sobre componentes e contas administrativas. A revisão de acessos na movimentação de pessoas complementa o inventário, mas não deve ser confundida com sua atualização: ativo e permissão são objetos relacionados, com controles próprios.
Combine eventos de mudança com revisões periódicas proporcionais à criticidade. Um serviço estável pode ter rotina diferente de um ambiente com alterações frequentes. Marque a última confirmação real e não apenas a última edição da ficha. Atualizar a formatação de uma planilha não demonstra que a localização, o uso ou a manutenção do componente foram novamente conferidos.
O encerramento exige cuidado com dados, contas, contratos e dependências. Remover o nome da lista não demonstra desativação segura. Preserve o histórico necessário e obtenha as autorizações pertinentes. Se houver recuperação prevista, o teste de restauração pode ajudar a confirmar se a documentação permite reconhecer quais componentes precisam ser recuperados juntos.
Meça cobertura e capacidade de resposta
Acompanhe serviços mapeados, ativos com responsável confirmado e pendências sem tratamento. Não use apenas o total de itens cadastrados como sinal de maturidade: um cadastro enorme pode conter duplicidades e componentes sem uso conhecido. A medida precisa considerar o recorte e mostrar o que ainda falta descobrir ou verificar para sustentar as decisões prioritárias.
Faça uma conferência prática: escolha um componente e peça à equipe que identifique serviço afetado, responsável, suporte e dependências. Depois escolha um serviço e localize seus componentes essenciais. Se a consulta depender de uma pessoa lembrar de detalhes ausentes, ajuste a ficha. O inventário passa a ter utilidade quando reduz essa dependência de memória individual.
No Grupo Edge, cibersegurança e governança de IA permanecem frentes de expansão, com escopo e disponibilidade a confirmar. O método apresentado é orientação operacional. Seu resultado esperado é uma prefeitura capaz de reconhecer o que mantém seus serviços, atribuir decisões e tratar diferenças com evidência, sem apresentar o cadastro como certificação de segurança.
Perguntas frequentes
Inventário patrimonial e inventário digital são iguais?
Não. Eles compartilham referências, mas o inventário digital também precisa explicar sistemas, serviços e dependências relevantes à operação e à segurança.
Encontrar um ativo desconhecido autoriza desligá-lo?
Não automaticamente. Confirme uso, impacto, responsabilidade e autorização para a providência, acionando o procedimento de segurança quando houver risco imediato.