Comparação setorial
69.9V
60.9E
79.0H
GWK Security · IEQ02
Medição de risco criptográfico
O risco quânticoagora tem número.
O IEQ mede a exposição criptográfica da sua organização e a coloca na mesma régua do setor. Segurança, risco e diretoria passam a saber por onde começar a migração, e com que urgência.
Dados públicos verificáveisMetodologia própria e transparenteComparável entre organizaçõesFoco em risco real para a migração
IEQ — Índice de Exposição Quântica2026-S1
Alto
- Crítico
- 12%
- Alto
- 64%
- Médio
- 18%
- Baixo
- 6%
O dado capturado hoje ainda vale em 2046
Acessar relatório
Base medida
39.903organizações17setores
01O que você contrata primeiro
Relatório de Exposição IEQ
A primeira contratação é o Relatório de Exposição IEQ: uma avaliação datada da organização, com score de 0 a 100, comparação setorial, fatores de risco e prioridades para a migração criptográfica.
GWK Security · IEQ01
Relatório de Exposição IEQ
De 0 a 100, explicável e reprodutível.
Alto
GWK Security · IEQ03
Sumário Executivo
As dimensões que mais pesam na leitura, com a evidência que sustenta cada uma.
01
02
03
04
05
GWK Security · IEQ04
02Como funciona
Do sinal público ao score comparável.
Sem agente, sem credencial, sem acesso aos sistemas internos. O motor calcula sobre o que já está exposto e devolve um resultado na régua do setor.
- 01
Fontes públicas
DNS, TLS e tecnologias expostas
- 02
Coleta e normalização
Sinais públicos na mesma estrutura
- 03
Análise e correlação
Vulnerabilidade, exposição e horizonte
- 04
Metodologia GWK (IEQ)
Contexto setorial e governança
- 05
Score comparável
Régua de 0 a 100 para priorizar
A coleta observa o que a organização mantém aceso na internet: DNS, TLS, cabeçalhos e tecnologias publicadas. Uma camada declaratória opcional refina o resultado com informação interna que nenhum sinal público revela.
Ver as camadas e a maturidade de cada uma03Prévia do relatório
O que você recebe, em miniatura.
O painel abaixo usa o mesmo componente e os mesmos dados de exemplo da página de demonstração — não é uma montagem.
Amostra do produto
exemplo.com.br
Alto
Score IEQ
12.1 pontos acima da mediana do setor.
Prioridade sugerida: revisar os sinais de protocolo e certificado identificados no relatório completo.
Cobertura de sinal
Decomposição
- 68%
- Horizonte
- 71%
- Vulnerabilidade
- 55%
- Exposição
- 1.06×
- Governança
Domínio fictício, para demonstração
Ver o relatório de exemplo completo04Decisões sustentadas
A pergunta muda por público. A evidência, não.
Conselho, segurança, risco e compliance, programa de migração, pesquisa: cada card leva à leitura que responde à pergunta de quem está decidindo.
01
Conselho e diretoria
Preciso explicar o risco sem virar aula de criptografia.
02
Segurança e infraestrutura
Quero ver a evidência por trás do número.
03
Risco e compliance
Meu setor está pior ou melhor que a média?
04
Programa de migração
Quero saber quanto um programa de migração pode render.
05
Pesquisa e auditoria
Quero revisar o método antes de confiar nele.
05Evidência
Três em cada quatro organizações estão em exposição alta ou crítica.
O tráfego cifrado capturado hoje pode ser decifrado depois: é o cenário harvest now, decrypt later, e é o risco que o IEQ mede. O NIST já finalizou os padrões de PQC e a IN ITI nº 35/2026 está em vigor.
O que o índice mede não é abstrato: é a cifra negociada por um balanceador, a validade de um certificado, a versão de um protocolo.
39.903
organizações analisadas
76.4%
em exposição alta ou crítica
90%
intervalo de confiança do estudo
10
arquétipos técnicos recorrentes
Relatório Técnico IEQ 2026-S1, junho de 2026. São 39.903 organizações em 17 setores, agregadas sob k-anonimato (K = 30) e publicadas no Zenodo sob licença CC-BY.
Ler o relatório setorial 2026-S1Comparabilidade
Um número sozinho ajuda pouco. Na mesma régua, ele vira ordem de prioridade.
Retrato do mercado
Entre o setor mais e o menos exposto há 67 pontos de diferença
A ordenação define a sequência de migração do mercado, não o resultado de uma organização isolada.
SetorMediana do setor · 0 a 100IEQ
mediana setorial 58,2
Governo / Não classificado
85.0
Hospitais e saúde
84.8
Farmacêutica e biotech
82.0
Saúde suplementar
81.3
Materiais e química
76.2
Agroindústria
75.9
Manufatura industrial
75.0
Defesa e aeroespacial
72.8
Utilidades (energia)
58.2
0255075100
SetorMediana do setor · 0 a 100IEQ
mediana setorial 58,2
Óleo, gás e energia
56.8
Finanças tradicionais
55.3
Processamento de pagamentos
54.7
Cloud
39.7
Telecom
38.4
SaaS
30.7
Varejo e marcas
18.4
E-commerce e marketplace
18.1
0255075100
EscalaCrítico80–100Alto60–80Moderado40–60Baixo20–40Mínimo0–20
4 de 17
setores em faixa crítica
8 de 17
acima da mediana setorial
14,6 vs 2,9
dispersão de exposição e de vulnerabilidade entre setores
Risco também é tempo
O nível não basta. A urgência vem de quanto tempo o dado capturado hoje ainda vale: 20 anos em saúde e governo, 5 no varejo.
Ver a janela de exposição por setorPerguntas sobre o risco
As objeções que aparecem na primeira conversa, respondidas antes dela.
Porque o adversário não precisa esperar. Basta interceptar e guardar o tráfego cifrado hoje para decifrá-lo quando a capacidade existir. O que importa é se a sua cifra continuará de pé pelo tempo em que o dado ainda tiver valor.
Anos. Trocar criptografia significa mexer em servidores, aplicações, bibliotecas, integrações e contratos, quase sempre sem poder parar a operação. Como a transição é longa, o dado capturado durante ela fica exposto pelo tempo que ela levar.
Um contrato que precisa ficar sigiloso por vinte anos e um token de sessão que expira em uma hora não correm o mesmo risco, mesmo protegidos pela mesma cifra. O tráfego capturado hoje só tem valor para o adversário enquanto o conteúdo ainda importar.
Boa parte. A criptografia que protege a sua operação passa por provedores de nuvem, gateways de pagamento, prestadores e fornecedores de software. A exposição que chega pela cadeia costuma ser invisível no inventário interno.
Porque nenhuma organização tem orçamento e janela de manutenção para trocar tudo ao mesmo tempo. A ordem em que a migração acontece determina quanto risco fica exposto no caminho, e essa ordem precisa de critério defensável.
06Linha IEQ
A linha completa de entregáveis IEQ.
O Relatório de Exposição, acima, é a primeira contratação. Os outros quatro entregáveis estendem a mesma medição: comparação setorial, alertas de regressão, migração pós-quântica e exposição de terceiros.
- 01
Relatório de Exposição
Score IEQ com os contribuidores que mais pesam
Em produçãoVer um relatório de exemplo - 02
Benchmark Setorial
Percentil no setor, contra agregados anônimos
Em produçãoVer o benchmark setorial - 03
Alertas de Regressão
Diferença entre coletas sucessivas
Em roadmapFalar sobre esta capacidade - 04
PQC Readiness Track
Score atual contra score projetado, na mesma régua
Em produçãoVer o PQC Readiness Track - 05
Gestão de Terceiros
Alcance da exposição por fornecedor
Em roadmapVer avaliação de terceiros
07O que é o IEQ
O motor recebe evidências e devolve um score.
O Índice de Exposição Quântica recebe um envelope de evidências, calcula, e devolve um resultado explicável na mesma régua para qualquer organização.
Recebe
Um envelope de evidências: sinais observados pela coleta pública e, quando existe, o que a organização declarou.
Devolve
Score de 0 a 100, as quatro dimensões, os contribuidores que mais pesam e a cobertura alcançada.
Serve para
Priorizar migração: onde agir primeiro, com que urgência e por qual motivo.
Como ler o resultado
- Mínimo0–20
- Baixo20–40
- Moderado40–60
- Alto60–80
- Crítico80–100
Onde termina a função do motor
O motor calcula. Quem observa é a coleta.
Ele não monitora entre coletas, não certifica e não estima quando o computador quântico chega.
A camada de coleta faz a varredura e entrega o envelope. O motor recebe esse material pronto e calcula sobre ele.
Cada avaliação é uma medição datada. Nada monitora a organização entre uma coleta e a seguinte.
O resultado apoia priorização interna. Certificação exige organismo acreditado, que a GWK não é. E esta leitura não substitui auditoria: ela registra o que foi declarado, sem verificar internamente o que a organização afirma.
O horizonte mede por quanto tempo o dado ainda precisa de sigilo. A data de chegada do computador quântico fica fora do cálculo.
O que entra no índice
Quatro fatores, uma leitura comparável.
Três saem de sinal público e têm mediana de mercado. O quarto só existe se a organização declarar.
Por quanto tempo o dado ainda precisa continuar secreto. É o fator temporal do risco: um dado com vinte anos de sigilo exigido carrega exposição maior do que um dado de vida curta, mesmo protegido pela mesma criptografia.
Mediana do mercado · 79.0
A fragilidade criptográfica do que está efetivamente em uso. Considera os algoritmos, tamanhos de chave e versões de protocolo observados, e o quanto cada um resiste a um adversário com capacidade quântica.
Mediana do mercado · 69.9
O tamanho da superfície observável. Quantos serviços a organização publica na internet, quanto desse tráfego é interceptável hoje e qual parcela dele carrega dado de vida longa.
Mediana do mercado · 60.9
O que nenhum sinal externo revela: inventário criptográfico, plano de migração e marcos já entregues. A organização informa se quiser, e isso refina o diagnóstico sem nunca substituir o que foi observado de fora.
Informado pela organização
08Diferenciais e limites
O que a medição da GWK faz que um scanner não faz.
Mais contexto, mais profundidade e mais valor para a decisão.
Scanner tradicional
- ×Visão superficial de ativos
- ×Foco em vulnerabilidades conhecidas
- ×Sem contexto de negócio
- ×Resultados isolados
- ×Sem comparação setorial
- ×Leitura técnica sem régua executiva
Medição GWK (IEQ)
- ✓As dimensões se multiplicam
- ✓A mesma régua para todos
- ✓Benchmark próprio
- ✓Resultado explicável
- ✓Escala sem integração
- ✓Propriedade intelectual preservada
Escopo
Toda leitura declara o próprio escopo.
A coleta pública tem alcance exato, e ele está escrito aqui. Um número só se defende em comitê quando se sabe o que entrou na conta.
Cinco colunas separam o que foi visto, derivado, declarado e estimado. A última nomeia o que outra evidência decide.
Observado
A coleta pública viu
- Cifras, protocolos e certificados expostos publicamente
- Superfície de rede alcançável a partir da internet
- Sinais de configuração criptográfica dos serviços encontrados
Calculado
O motor IEQ derivou
- Score IEQ de 0 a 100 e faixa de risco
- Dimensões de horizonte, vulnerabilidade, exposição e governança
- Contribuidores que mais pesam no resultado
- Cobertura de sinal alcançada pela coleta
Declarado
A organização informou
- Inventário criptográfico e controles internos
- Marcos de governança do programa de migração
- Vida útil exigida dos dados sensíveis
Inferido
O modelo estimou
- Horizonte adversarial a partir da natureza do dado
- Fallback conservador onde o sinal público não apareceu
- Posição relativa no setor, contra agregados anônimos
Fora do escopo
Outra evidência decide
- Que a organização foi ou será comprometida
- Que o inventário criptográfico está completo
- Conformidade regulatória atestada
- O estado de sistemas que não expõem sinal público
O modo público e o modo completo partem de evidências de naturezas diferentes e ficam em réguas distintas.
Modo público
Sinais que a organização já expõe na internet. Não exige agente, credencial ou integração, o que permite avaliar qualquer entidade, fornecedores inclusive, sem abrir uma janela de mudança.
Modo completo
Amplia o escopo com o que a organização declara: inventário criptográfico, controles internos e marcos de governança.
Os dois modos partem de evidências de naturezas diferentes e ficam em réguas distintas. Um score público de hoje não se compara a um score completo de amanhã: a variação mediria a mudança de evidência, e não a de exposição.
Depois da medição
Quem reduz a exposição é quem opera o ambiente.
Baixar a exposição exige mexer em coisas concretas: um balanceador, um certificado, uma biblioteca, um contrato de fornecedor. Esse trabalho é dos times e dos fornecedores da organização, que têm o acesso e a responsabilidade sobre o ambiente. A GWK mede antes e mede depois, sempre na mesma régua.
A GWK desenvolve a solução EVA, de Exposição, Vulnerabilidade e Adequação, para essa etapa. É projeto em curso, sem escopo fechado e sem data.
Solução EVAEm roadmap
Ler a série sobre medir, mudar e verificar09Metodologia e credibilidade
Método público, sinais verificáveis, números com origem.
Decisão executiva sem caixa-preta: sinais observáveis, metodologia publicada e agregação que preserva privacidade.
Ver a base formal do IEQ100%
independente de integrações
Primeira leitura por sinais públicos, sem acesso aos sistemas.
100%
modelo estatístico revisável
Monte Carlo e Sobol calibram o modelo uma vez. O cálculo por organização é determinístico.
DOI
relatório público
Metodologia e dados agregados publicados para citação e verificação externa.
CC-BY
licença aberta
O relatório pode ser reutilizado e revisado com atribuição.
DOI
Relatório técnico 2026-S1 publicado no Zenodo sob licença CC-BY.
Duas coletas, dois papéis
O relatório público e a régua operacional são coletas distintas, com cortes distintos. Resultados de uma não se somam aos da outra.
A GWK trabalha com duas coletas. O relatório técnico 2026-S1 publica 39.903 organizações em 17 setores sob CC-BY, para que o método possa ser revisado por terceiros. A régua que ordena as comparações setoriais vem da base operacional, com 316.911 empresas no run producao_324k_20260712, corte em 12 de julho de 2026. São coletas distintas, com cortes distintos: nenhuma é amostra da outra, e resultados de uma não se somam aos da outra.
Contra o que esta comparação foi feita
- Data de corte
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas
- Setores
- 15 setores na taxonomia do motor
- Piso de anonimato
- K = 30
Limites da comparação
- A régua é uma base de referência estática, não uma medição contínua: não há atualização automática entre um run e o seguinte.
- A comparação é sempre contra agregados anônimos, nunca contra o resultado individual de uma organização terceira.
- Um resultado do modo público não se compara a um resultado do modo completo, porque as duas leituras partem de evidências de naturezas diferentes.
Quem é a GWK
Pesquisa profunda, produto direto.
A GWK Security é uma deep-tech de Campinas dedicada a criptografia pós-quântica e medição quantitativa de risco criptográfico. O trabalho combina pesquisa científica, engenharia de dados e produto para apoiar decisões de segurança.
GitHub da GWKMR
Matheus Rufino
Fundador & CEO
Doutor em Física
Lidera a direção científica e estratégica. Autor principal do arcabouço formal do IEQ.
RM
Rafael Duarte Marcelino
Fundador & CTO
Eng. Mecânica · MBA Data Science
Arquitetura de dados, analytics e engenharia da plataforma IEQ. Experiência em setores regulados.
JG
Julio Smanioto Garcia
Fundador & CSO
Física · mestrando
Frente científica de QKD, criptografia pós-quântica e interface com pesquisa experimental.
Publicações
A metodologia pode ser lida, testada e revisada.
Produção científica dos fundadores e um relatório técnico aberto.
arXiv:2605.22569
A Formal Basis for Quantum Cryptographic Exposure Measurement under HNDL Threat
Define matematicamente a exposição criptográfica sob a ameaça HNDL e sustenta a forma do índice.
Rufino, Marcelino & Garcia (2026) · submetido à Elsevier
Abrir publicação
arXiv:2605.24230
Detectability Limits for Intra-Block Temporal Drift in Finite-Key Entanglement-Based QKD
Limites estatísticos para detectar deriva temporal em QKD de chave finita baseada em emaranhamento.
Marcelino, Garcia & Rufino (2026) · Springer Nature (em revisão)
Abrir publicação
DOI 10.5281/zenodo.20767648
Quantum Exposure Index Technical Report 2026-S1: Sector-Level HNDL Exposure
Aplica o IEQ a 39.903 organizações e consolida a exposição HNDL por setor, com prioridades de migração.
Garcia, Marcelino & Rufino (2026) · Zenodo · CC-BY
Abrir publicação10Próximo passo
Comece por um escopo real.
Diga quantas organizações precisam ser avaliadas e qual decisão o resultado vai apoiar.
Score, fatores de risco e prioridade de migração em uma leitura pronta para decisão.