Coleta não autenticada
Em produçãoSinais públicos de qualquer domínio, sem depender de acesso ou colaboração.
Aplicação
Você não vai auditar trezentos fornecedores. Vai escolher quais.
Questionário de fornecedor depende de quem responde, chega meses depois e descreve a intenção declarada. Sinais públicos não dependem de colaboração, chegam na mesma janela para toda a carteira e descrevem o que está exposto. Nenhum dos dois substitui o outro — mas só um deles serve para ordenar a fila.
01O problema
Decidir onde gastar a capacidade limitada de aprofundamento — auditoria, questionário detalhado, cláusula contratual — dentro de uma carteira de fornecedores grande demais para tratar inteira.
O que está em jogo
- Sem critério de ordenação, a fila segue o tamanho do contrato, não a exposição que ele carrega.
- Questionários chegam respondidos por quem tem interesse na resposta.
- Fornecedores pequenos com dependência crítica passam despercebidos por não terem relevância comercial.
- A exposição que chega pela cadeia não aparece no inventário interno de nenhuma das partes.
02Evidência
A coleta observa apenas o que um agente externo também observaria: sem credencial, sem agente instalado e sem alteração no ambiente do fornecedor. É por isso que ela pode ser aplicada a uma carteira inteira na mesma janela — nenhum dos avaliados precisa concordar, ser notificado ou colaborar para que a leitura exista.
A coleta observa apenas o que um agente externo também observaria: sem credencial, sem agente instalado e sem alteração no ambiente do fornecedor. É por isso que ela pode ser aplicada a uma carteira inteira na mesma janela — nenhum dos avaliados precisa concordar, ser notificado ou colaborar para que a leitura exista.
- Fonte
- Infraestrutura de coleta pública GWK
- Data
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas na base operacional
- Cobertura
- Camada pública apenas: DNS, TLS, prontidão PQC, cabeçalhos, infraestrutura e subdomínios observáveis.
Limite: A superfície pública de um fornecedor não comprova nem refuta a postura interna dele. Um resultado alto indica onde olhar, não o que concluir.
03O que se aplica
A capacidade útil aqui é de escala e uniformidade: a mesma leitura, aplicada igualmente a toda a carteira, na mesma janela.
Score público por entidade
Em produçãoA mesma régua aplicada a todos os fornecedores da carteira.
Agrupamento e comparação
Em produçãoOrdenação, agrupamento por faixa e identificação de outliers na carteira.
Gestão contínua de terceiros
Em roadmapAcompanhamento recorrente da carteira ao longo do tempo. Direção de produto, não escopo contratável.
04O que sai
Uma fila ordenada com justificativa por posição — que é o que permite defender por que o fornecedor número quarenta não foi auditado neste ciclo.
- Score público de cada fornecedor da carteira, na mesma janela.
- Ordenação por exposição, com os contribuidores de cada posição.
- Agrupamento por faixa, para tratar a carteira em blocos.
- Comparação de cada fornecedor contra a coorte do setor dele.
- Lista priorizada de quem merece aprofundamento, e por quê.
- Cobertura por fornecedor: onde a leitura foi cega.
Do que depende
- Lista de fornecedores com os domínios correspondentes.
- Autorização ou base legal para avaliar domínios de terceiros — a coleta é externa, mas a decisão de avaliar é sua.
- Critério interno de criticidade, para cruzar exposição com importância do contrato.
05O que a superfície de um terceiro diz
Este é o limite mais importante da página, e o mais fácil de esquecer quando o resultado é alto: a leitura externa prioriza investigação, não produz conclusão sobre o fornecedor.
Observado
A coleta pública viu
- Configuração criptográfica exposta pelo fornecedor.
- Superfície de domínios e serviços alcançáveis.
- Sinais de prontidão pós-quântica anunciados.
Calculado
O motor IEQ derivou
- Exposição estrutural por fornecedor, na mesma escala.
- Posição de cada um dentro da carteira e do setor.
Inferido
O modelo estimou
- Setor do fornecedor, quando não declarado.
- Prior de vida útil aplicável ao tipo de dado que ele processa.
Fora do escopo
Outra evidência decide
- A postura interna de segurança do fornecedor.
- Que exista, ou não, um programa de migração em andamento lá dentro.
- Que o fornecedor represente risco contratual ou deva ser substituído.
- Qualquer conclusão sobre dados que ele processe e não estejam expostos.
Contra o que esta comparação foi feita
- Data de corte
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas
- Setores
- 15 setores na taxonomia do motor
- Piso de anonimato
- K = 30
Limites da comparação
- A régua é uma base de referência estática, não uma medição contínua: não há atualização automática entre um run e o seguinte.
- A comparação é sempre contra agregados anônimos, nunca contra o resultado individual de uma organização terceira.
- Um resultado do modo público não se compara a um resultado do modo completo, porque as duas leituras partem de evidências de naturezas diferentes.
Fronteira
Onde a medição termina
Programa de adequaçãoNão implementado
A medição termina em: a mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca — trabalho executado pelos times e fornecedores da organização.
Esta leitura entrega
- Fila de aprofundamento ordenada por exposição observável.
- Justificativa por posição, com contribuidores e cobertura.
- Leitura uniforme da carteira inteira, na mesma janela.
Depois da mudança, a GWK
- Recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
- Declara escopo, modo, cobertura e run das duas medições, para que a diferença seja interpretável.
- Atribui o efeito observado apenas ao escopo efetivamente alterado e verificado.
Não está incluído
- Execução da mudança: a GWK não altera configuração, certificado ou infraestrutura do cliente.
- Implantação, operação assistida ou gestão de mudança.
- Programa de adequação: existe como projeto de engenharia da GWK, não como capacidade contratável.
Comece por uma carteira real
Traga a lista de fornecedores e o critério de criticidade que você já usa. A leitura de exposição entra como segunda dimensão da fila, não como substituta da primeira.