Priorizar fornecedores exige um critério comparável.
O questionário de fornecedor depende de quem responde, chega meses após a solicitação e descreve intenção declarada. Sinais públicos independem de colaboração, são coletados para toda a carteira na mesma janela e descrevem exposição observável. Os dois instrumentos são complementares, mas apenas um deles sustenta uma ordenação comparável entre fornecedores.
Decidir onde gastar a capacidade limitada de aprofundamento (auditoria, questionário detalhado, cláusula contratual) dentro de uma carteira de fornecedores grande demais para tratar inteira.
O que está em jogo
A coleta observa apenas o que um agente externo também observaria: sem credencial, sem agente instalado e sem alteração no ambiente do fornecedor.
- Fonte
- Infraestrutura de coleta pública GWK
- Data
- 7 de outubro de 2026
- População
- 80.182 empresas na publicação em uso nos produtos
- Cobertura
- Camada pública apenas: DNS, TLS, prontidão PQC, cabeçalhos, infraestrutura e subdomínios observáveis.
Limite. A superfície pública de um fornecedor não comprova nem refuta a postura interna dele. Um resultado alto indica onde olhar, não o que concluir.
Hoje, a mesma coleta e o mesmo IEQ se aplicam igualmente a toda a carteira, na mesma janela, para uma avaliação pontual.
Sinais públicos de qualquer domínio, sem depender de acesso ou colaboração.
A mesma régua aplicada a todos os fornecedores da carteira.
Ordenação, agrupamento por faixa e identificação de outliers na carteira.
Acompanhamento recorrente da carteira ao longo do tempo. Direção de produto, não escopo contratável.
Uma fila ordenada com justificativa por posição, que é o que permite defender por que o fornecedor número quarenta não foi auditado neste ciclo.
O que você recebe
- Score público de cada fornecedor da carteira, na mesma janela.
- Ordenação por exposição, com os contribuidores de cada posição.
- Agrupamento por faixa, para tratar a carteira em blocos.
- Comparação de cada fornecedor contra a coorte do setor dele.
- Lista priorizada de quem merece aprofundamento, e por quê.
- Cobertura por fornecedor: onde a leitura foi cega.
Ver os limites do método, as dependências e onde a medição termina
O que a superfície de um terceiro diz
A leitura externa prioriza investigação e não produz conclusão sobre o fornecedor. Isso vale também quando o resultado é alto.
Observado
A coleta pública viu
- Configuração criptográfica exposta pelo fornecedor.
- Superfície de domínios e serviços alcançáveis.
- Sinais de prontidão pós-quântica anunciados.
Calculado
O motor IEQ derivou
- Exposição estrutural por fornecedor, na mesma escala.
- Posição de cada um dentro da carteira e do setor.
Inferido
O modelo estimou
- Setor do fornecedor, quando não declarado.
- Prior de vida útil aplicável ao tipo de dado que ele processa.
Fora do escopo
Outra evidência decide
- A postura interna de segurança do fornecedor.
- Que exista, ou não, um programa de migração em andamento lá dentro.
- Que o fornecedor represente risco contratual ou deva ser substituído.
- Qualquer conclusão sobre dados que ele processe e não estejam expostos.
Do que depende
- Lista de fornecedores com os domínios correspondentes.
- Autorização ou base legal para avaliar domínios de terceiros: a coleta é externa, mas a decisão de avaliar é sua.
- Critério interno de criticidade, para cruzar exposição com importância do contrato.
Fronteira
A medição termina na mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca. Esse trabalho é executado pelos times e fornecedores da organização. Depois da mudança, a GWK recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
Por que medir não reduz exposiçãoComece por uma carteira real
Traga a lista de fornecedores e o critério de criticidade que você já usa. A leitura de exposição entra como segunda dimensão da fila, não como substituta da primeira.