Metodologia
O método, em quatro camadas.
Do modelo formal à proteção da implementação: o que sustenta o IEQ, de onde vêm os dados, como a calibração é feita e o que permanece proprietário.
Camada 01
Modelo
A estrutura formal do índice: horizonte, vulnerabilidade, exposição, governança e a interação entre elas.
O problema com somar
O instinto natural ao construir um score de risco é somar: pesar a vulnerabilidade, pesar a exposição, talvez acrescentar um fator de governança. Somar pressupõe que um déficit numa dimensão é compensado por um excedente em outra — e é aí que a conta se afasta do fenômeno que deveria descrever.
Sob o modelo harvest-now-decrypt-later, vulnerabilidade e exposição funcionam como complementos, não como substitutos. Uma organização com criptografia frágil mas sem superfície externa não pode ser colhida. Uma organização amplamente exposta, mas sem criptografia vulnerável, não tem o que ser guardado para depois. O ataque exige as duas condições ao mesmo tempo.
A interação entre as dimensões
O IEQ trata essa dependência multiplicando as dimensões em vez de somá-las. A escolha não é preferência de modelagem: existe demonstração formal, publicada e revisável, de que nenhum score aditivo reproduz a interação entre vulnerabilidade e exposição, qualquer que seja a escolha de pesos. A forma foi testada contra as famílias alternativas usuais, e a distinção se confirma também empiricamente.
A consequência prática é o que diferencia a leitura: o peso de cada dimensão é endógeno. Um mesmo achado técnico não vale o mesmo em duas organizações — vale conforme a posição de cada uma no plano vulnerabilidade-exposição. Um score de pesos fixos não consegue expressar isso, e é por isso que dois scanners com a mesma lista de achados chegam a prioridades diferentes sem conseguir justificar nenhuma delas.
Do modelo formal ao índice operacional
Entre o resultado formal e o número entregue existe uma camada de implementação: transformações que estabilizam a escala, a leitura local das elasticidades e um fator de governança para o risco qualitativo que não deixa sinal técnico — inventário criptográfico ausente, conformidade regulatória pendente. Essa camada é proprietária, pelos motivos da camada 04.
O IEQ deve ser lido como índice de priorização: ele ordena, compara e sustenta a decisão de por onde começar, dentro de uma régua e de uma data de corte declaradas. O tratamento formal completo — hipóteses, derivação e demonstrações — está publicado sob DOI e pode ser consultado, citado e contestado por qualquer revisor.
Camada 02
Dados
De onde vem a evidência: a camada pública, a camada declaratória, a cobertura alcançada e o que acontece quando o sinal não aparece.
Duas camadas de evidência
A camada pública reúne o que a organização já expõe na internet: algoritmos, tamanhos de chave, versões de protocolo e certificados dos serviços alcançáveis de fora. Ela opera sem agente, credencial ou acesso aos sistemas internos, e é a única camada necessária para produzir uma primeira leitura.
A camada declaratória existe porque parte do risco não tem sinal externo. Inventário criptográfico, controles internos, marcos de governança já entregues e vida útil exigida dos dados só são conhecidos pela própria organização. Quando ela declara esses campos, eles entram no envelope com a origem marcada, de modo que o motor sempre sabe o que foi observado e o que foi informado.
Cobertura, e o que ela significa
Toda avaliação vem acompanhada da cobertura de sinal alcançada: quanto da evidência esperada a coleta conseguiu efetivamente observar. Cobertura baixa não invalida o resultado, mas alarga a incerteza da estimativa, e por isso ela é publicada junto do score em vez de ficar num anexo técnico.
Onde o sinal público não aparece, o índice adota postura conservadora: a ausência de evidência nunca é tratada como evidência de ausência. Organizações com pouca superfície observável são lidas pelo pior caso até que a camada declaratória preencha o que a coleta não alcança.
As duas populações da GWK
A GWK mantém duas coletas com papéis diferentes. O relatório técnico 2026-S1 publica um recorte sob licença aberta, para que o método possa ser revisado por terceiros. A base operacional é maior e mais recente, e é dela que sai a régua setorial contra a qual as comparações são feitas.
São coletas distintas, com cortes distintos. Nenhuma é amostra da outra, e resultados de uma não se somam aos da outra. Toda comparação publicada declara qual base e qual data de corte a sustentam.
Camada 03
Calibração
Como a contribuição de cada sinal é definida, o que mantém as avaliações comparáveis e onde a calibração encontra seu limite.
O alcance da calibração
A calibração é estatística e acontece uma vez, sobre a base de referência: ela define o quanto cada sinal observável contribui para as dimensões do índice. O cálculo de uma organização específica é determinístico. Dado o mesmo envelope de evidências, o motor devolve o mesmo resultado, e é isso que torna uma avaliação reproduzível e auditável.
A calibração não pontua ninguém. Ela não é refeita por cliente, não é ajustada para produzir um resultado desejado e não olha para a organização que está sendo avaliada. Recalibrar por cliente destruiria a única propriedade que torna a comparação setorial possível: a régua única.
Cada sinal conta uma vez
Sinais criptográficos observáveis são fortemente correlacionados entre si. Um servidor que aceita um protocolo antigo costuma aceitar também as cifras antigas correspondentes. Contados ingenuamente, esses sinais registrariam o mesmo fato várias vezes, e a dimensão de vulnerabilidade passaria a medir redundância em vez de risco.
O tratamento desse acoplamento é parte do que a calibração resolve: a contribuição de um sinal reflete a informação nova que ele traz, não a repetição do que outro sinal já disse. É o que impede que uma configuração isolada domine o resultado de uma organização inteira.
O que a ordenação sustenta
O IEQ é um índice de exposição relativa, e é como tal que ele deve ser usado: ele diz quem age primeiro, quanto uma organização se afasta da referência do próprio setor e qual movimento reduz mais exposição por unidade de esforço. Essa ordenação é reproduzível e defensável em comitê, em auditoria e diante de um fornecedor.
É também o que a decisão exige. Priorizar um programa plurianual não depende de uma probabilidade absoluta de comprometimento; depende de saber, com critério declarado e mesma régua para todos, o que entra no primeiro ciclo e o que espera o segundo.
Camada 04
Proteção
O que é publicado para revisão externa, o que permanece proprietário e como o motor roda fora da GWK sem que a implementação seja exposta.
O que é publicado
A estrutura do modelo é pública: os axiomas, a prova de que a forma multiplicativa decorre deles, a demonstração de que nenhum score aditivo a reproduz, as transformações conceituais aplicadas ao resultado e as limitações reconhecidas. O relatório setorial e os dados agregados saem sob licença aberta, com DOI, para que possam ser citados e contestados.
Publicar isso é deliberado. Um índice de risco que ninguém pode revisar dificilmente sustenta uma decisão de investimento, por mais casas decimais que apresente.
O que não é publicado
Permanecem proprietários a tabela de pesos, os parâmetros por setor, o conjunto completo dos transformadores de implementação, as regras de fallback e a operação interna da coleta. A fronteira é esta: publicamos o suficiente para o método ser auditado, não o suficiente para o produto ser reconstruído.
Essa separação é o que permite manter a régua única. Se os parâmetros circulassem, cada avaliação poderia ser reproduzida com pesos ajustados ao gosto de quem calcula, e a comparabilidade entre organizações deixaria de existir. É essa comparabilidade que dá sentido ao percentil setorial.
Execução fora da GWK
Quando o cálculo precisa rodar na infraestrutura de um parceiro, ele roda pelo appliance: um binário que empacota a coleta e o motor com os pesos protegidos, produz a saída bruta e a saída calculada, e mantém registro de uso auditável. O licenciamento é definido por contrato.
O appliance serve a um caso específico: integrar o motor a um produto de terceiro sem transferir a propriedade intelectual junto. O acesso passa por contrato, e não por autoatendimento.
O que o índice mede
O IEQ é um índice de exposição relativa: ele ordena e compara organizações sob uma régua única, com proveniência declarada e data de corte explícita. É isso que sustenta a decisão de priorização — onde começar, o que vem primeiro, quanto uma organização se afasta da referência do próprio setor.
O escopo de cada leitura vem declarado com o resultado: o modo de coleta, a cobertura alcançada e a base de comparação. O tratamento formal completo, com os axiomas e as demonstrações, está publicado para revisão externa e pode ser consultado na íntegra.