CMDB: O Que É, Para Que Serve e Por Que Ele Mente Sem Inventário Físico

O CMDB (Configuration Management Database, ou banco de dados de gerenciamento de configuração) é o repositório que registra os itens de configuração (CIs) do ambiente de TI e os relacionamentos entre eles. É uma das peças centrais do ITIL e uma das mais incompreendidas. Quase toda empresa de médio ou grande porte tem um CMDB; pouquíssimas confiam nele. O motivo é sempre o mesmo: a base foi carregada um dia, alimentada por ferramenta de discovery, e nunca mais foi confrontada com o mundo físico. O resultado é um banco de dados bem estruturado que descreve um parque que não existe mais.

Este guia explica o que é o CMDB e para que ele serve na prática, a diferença entre CMDB, inventário de ativos (ITAM) e discovery, por que os CMDBs degradam, e como a conciliação física (floor-to-system e system-to-floor) saneia a base e a mantém viva. A perspectiva é a de quem faz a ponta física dessa equação há três décadas: a CPCON executa inventário de ativos de TI em campo e devolve o CMDB reconciliado com a realidade.

O Que É CMDB (e o Que É um CI)

CMDB é o banco de dados que consolida os itens de configuração de um ambiente de TI. Item de configuração (CI, de Configuration Item) é qualquer componente que precisa ser gerenciado para entregar um serviço: um servidor físico ou virtual, uma aplicação, um banco de dados, um switch, um firewall, uma estação de trabalho, um certificado digital, e até documentos, contratos e licenças, dependendo do escopo adotado. Cada CI carrega atributos (tipo, nome, número de série, dono, ambiente, status, localização) e, principalmente, relacionamentos com outros CIs: a aplicação X roda no servidor Y, que se conecta ao storage Z e depende do banco W.

No ITIL 4 (framework de gerenciamento de serviços de TI mantido pela PeopleCert/Axelos), o CMDB sustenta a prática de Service Configuration Management (manter informação confiável e atualizada sobre a configuração dos serviços) e trabalha lado a lado com a prática de IT Asset Management, que cuida do ciclo de vida e do valor dos ativos. São práticas irmãs, com perguntas diferentes: o ITAM pergunta "o que temos e quanto custa"; a gestão de configuração pergunta "como as peças se conectam para entregar o serviço".

É essa segunda pergunta que faz o CMDB existir. Uma lista de equipamentos qualquer planilha resolve; o que só o CMDB entrega é o mapa de dependências. É ele que permite responder, antes de uma mudança: se eu desligar este servidor, quais serviços param? E durante um incidente: este serviço caiu; de quais componentes ele depende e qual deles mudou por último?

Para Que Serve o CMDB na Prática

Quando a base é confiável, o CMDB vira a espinha dorsal das operações de TI. Os usos mais valiosos são:

• Gestão de mudanças: análise de impacto antes de aprovar: quais serviços e usuários serão afetados se este CI for alterado ou desligado.
• Gestão de incidentes e problemas: diagnóstico mais rápido, partindo do mapa de dependências do serviço afetado em vez de investigação às cegas.
• Segurança e vulnerabilidades: saber em quais máquinas uma versão vulnerável está instalada, e onde essas máquinas estão fisicamente.
• Auditoria e conformidade: evidenciar que a organização conhece e controla seus ativos, exigência de normas como ISO 27001 (controle A.5.9) e de auditorias SOC 2, sempre na esfera de certificação da sua empresa, testada pelo auditor independente.
• Planejamento de capacidade e custos: enxergar o parque por ambiente, criticidade e idade para decidir refresh, consolidação e contratos.

Repare que todos esses usos pressupõem a mesma coisa: que o registro corresponda à realidade. A análise de impacto sobre um CI fantasma é inútil; o plano de patch que ignora as máquinas fora da base é furado. Por isso a discussão séria sobre CMDB não é sobre ferramenta, é sobre acuracidade. Análises divulgadas pela Gartner ao longo dos anos apontam que só uma minoria das organizações (na casa de um quarto delas) extrai valor significativo do CMDB; a causa recorrente é a falta de processo para manter os dados corretos, não a falta de software.

CMDB vs Inventário de Ativos vs Discovery

Os três termos são usados como sinônimos com frequência, e essa confusão custa caro em projeto. São três coisas diferentes, com papéis complementares:

Na arquitetura saudável, o discovery é uma fonte de alimentação contínua, o inventário de ativos é o lastro patrimonial e físico, e o CMDB é a camada de relacionamento que dá contexto de serviço. O erro clássico é achar que o discovery alimenta o CMDB e o assunto está resolvido, ignorando tudo o que a rede não enxerga. O notebook na gaveta, o servidor desativado no rack, o monitor sem IP e o equipamento do shadow IT não aparecem em varredura nenhuma. Quem encontra esses itens é o inventário físico, sala a sala.

Por Que o CMDB Mente: Como a Base Degrada

Nenhum CMDB nasce errado. Ele erra aos poucos, porque o mundo físico muda sem pedir licença ao banco de dados. Os mecanismos de degradação são conhecidos e se repetem em praticamente toda empresa:

• Movimentações invisíveis: equipamentos transferidos entre andares, filiais e usuários sem atualização do registro: o ativo existe, mas o atributo de localização e responsável está errado.
• Baixas não registradas: máquinas sucateadas, doadas, furtadas ou canibalizadas que continuam "ativas" na base: os CIs fantasmas.
• Refresh em massa: cada ciclo de troca de notebooks ou servidores cria centenas de registros novos e deveria encerrar centenas de antigos; na prática, o encerramento fica para depois e nunca acontece.
• Home office: ativos dispersos por endereços residenciais, sem termo de responsabilidade e sem devolução controlada.
• Shadow IT e BYOD: estimativas de mercado (Gartner) apontam que 30% a 40% do gasto de TI em grandes empresas ocorre fora do controle formal do departamento, ou seja, ativos que nunca entraram na base.
• Integrações quebradas: o conector do discovery falha ou muda de escopo, e uma fatia do parque para de ser atualizada sem ninguém notar.
• Duplicidade entre fontes: o mesmo equipamento entra pelo discovery, pelo MDM e pela planilha de compras como três CIs diferentes.

O efeito acumulado é mensurável. Nos primeiros inventários físicos estruturados que executamos em parques sem rotina de reconciliação, 5% a 15% dos itens registrados não são encontrados em campo (são os ativos fantasmas), e a divergência total (somando itens não localizados, não cadastrados e com atributos errados de local ou responsável) costuma atingir uma fração bem maior da base. Cada ponto percentual é um registro em que a TI confia e que está errado.

Conciliação Física: Floor-to-System e System-to-Floor

O saneamento de um CMDB não começa na ferramenta, começa no chão. A única forma de saber se a base reflete a realidade é confrontá-la com a realidade, e isso exige inventário físico: percorrer as instalações, identificar cada equipamento com etiqueta única (código de barras ou RFID) e registrar onde está, em que estado e com quem. Sobre esse levantamento, a conciliação roda em duas direções complementares:

Floor-to-system (do chão para o sistema)

Cada item encontrado em campo é procurado na base. O que existe fisicamente e não está registrado é revelado aqui: o equipamento do shadow IT, a compra que não virou cadastro, o ativo herdado de uma aquisição. Essa direção testa a completude da base: ela registra tudo o que existe?

System-to-floor (do sistema para o chão)

Cada registro da base é procurado em campo. O que está registrado e não existe fisicamente aparece aqui: o CI fantasma, a máquina sucateada sem baixa, o item furtado. Essa direção testa a existência: tudo o que a base registra é real?

As duas direções produzem uma classificação de divergências que orienta o tratamento: encontrado e cadastrado (confirma), encontrado e não cadastrado (incluir), cadastrado e não localizado (investigar e baixar, se confirmado), e cadastrado com atributos errados (corrigir local, responsável, status). O resultado é um CMDB em que cada CI físico corresponde a um equipamento etiquetado, localizado e com dono.

Essa mecânica é a mesma da conciliação patrimonial aplicada ao contábil, e não por acaso: o equipamento de TI também é imobilizado, com depreciação e baixa regidas pelo CPC 27. Quando o inventário físico é executado uma única vez para os dois fins, a empresa concilia o CMDB e o balanço com o mesmo esforço de campo. O ciclo de vida do ativo de TI e o seu reflexo contábil merecem um artigo próprio, da compra ao descarte.

Governança Contínua: Como Manter o CMDB Vivo

Sanear o CMDB uma vez e não mudar o processo é garantir que ele estará errado de novo em um ano. A governança contínua se apoia em três frentes: processo (todo evento de ciclo de vida, como compra, entrega, transferência, devolução e baixa, atualiza a base no momento em que acontece), verificação (inventário rotativo por amostragem ou por site, contínuo ao longo do ano, em vez de um único mutirão anual) e responsabilidade (cada classe de CI tem um dono que responde pela qualidade do dado).

A tecnologia ajuda a baratear a verificação: com etiquetas RFID, a leitura de uma sala inteira leva minutos, o que viabiliza ciclos frequentes de contagem: o mesmo princípio do inventário de ativos com RFID aplicado ao parque de TI. O ponto central, porém, é de gestão: inventário físico periódico deixa de ser um projeto extraordinário e vira rotina operacional, com indicador e dono.

O Papel da CPCON: a Verdade Física do Seu CMDB

A CPCON não vende ferramenta de CMDB. Entrega a parte do problema que nenhuma ferramenta resolve: a verdade física. Nossa equipe executa a descoberta de campo do seu parque de TI (incluindo o que está desligado, em estoque ou em gaveta), aplica identificação única em cada equipamento, concilia o levantamento com o seu CMDB, o export do discovery e o registro contábil, e devolve a base saneada com trilha auditável de cada divergência tratada. São 30 anos e mais de 4.500 projetos de inventário e auditoria de ativos em redes bancárias, operadoras, indústrias e datacenters.

Esse trabalho é também o que sustenta as exigências de auditoria da sua empresa: o controle A.5.9 da ISO 27001 (inventário de informações e ativos associados) e os critérios de auditorias SOC 2 pressupõem um inventário atualizado e com donos definidos. Quem certifica é o organismo auditor da sua empresa; o nosso papel é entregar a evidência de campo que o auditor pede. Veja o serviço completo em inventário de ativos de TI.

Conclusão

CMDB é o mapa de componentes e dependências que sustenta mudanças, incidentes, segurança e auditoria, e só vale alguma coisa enquanto reflete a realidade. Discovery alimenta a base com o que está na rede, mas não enxerga o desligado, o estocado e o que nunca teve agente; o inventário de ativos cuida do ciclo de vida e do valor; e o inventário físico é o único teste de verdade entre o registro e o mundo. A rotina madura combina os três: discovery contínuo, ITAM disciplinado e conciliação física periódica, nas duas direções: floor-to-system e system-to-floor.

Se a sua empresa não confia no próprio CMDB (ou vai precisar prová-lo em auditoria), o caminho começa pelo chão: contar, etiquetar e conciliar. A CPCON faz esse trabalho há três décadas. Conheça o serviço de inventário de ativos de TI e os guias relacionados de ITAM e ciclo de vida de ativos de TI.