Exposição HNDL por setor, 39.903 organizações.
Publicado sob licença CC-BY, com atribuição obrigatória. Dados agregados sob k-anonimato: nenhuma organização individual é nomeada.
O que este relatório mede
Consolidamos o Índice de Exposição Quântica (IEQ) de 39.903 organizações, agregado por setor sob k-anonimato (K = 30: nenhum grupo publicado tem menos de 30 organizações, o suficiente para que nenhuma seja identificável isoladamente). Nenhuma entidade individual é nomeada ou classificada; os resultados são publicados apenas em agregado.
O dataset é um retrospecto de 2026-S1, coletado incrementalmente entre 30 de março e 15 de junho de 2026, com cobertura média de sinal de 68,6%. Essa heterogeneidade é incorporada à incerteza do índice.
O achado central
A vulnerabilidade criptográfica observada é alta e quase uniforme entre setores (68 a 71 em 100). A fragilidade observada é estrutural, não específica de setor.
O que de fato separa os setores é o horizonte de confidencialidade (H, Timeline no relatório), que varia de aproximadamente 21 a 92. Como a vulnerabilidade quase não varia, é a urgência temporal que mais explica a posição relativa de cada setor no ranking.
O ranking setorial
76,4% das organizações estão nas faixas Crítica ou Alta de exposição. A distribuição não é um gradiente suave: organiza-se em três blocos. Nível 1 (Crítico), agir agora: Governo/Não classificado (mediana 85,0), Hospitais e serviços de saúde (84,8), Farmacêutica e biotecnologia (82,0), Seguro-saúde privado (81,3), Materiais e químicos (76,2), Agronegócio (75,9), Manufatura industrial (75,0), Defesa e aeroespacial (72,8).
Nível 2 (Moderado), planejar: Utilities/energia (58,2), Óleo, gás e energia (56,8), Finanças tradicionais (55,3), Processamento de pagamentos (54,7). Nível 3 (Baixo/Mínimo), manter e monitorar: Cloud (39,7), Telecom (38,4), SaaS (30,7), Varejo físico (18,4), E-commerce e marketplace (18,1).
A leitura correta é por bloco, não por posição exata: 9 pares de setores vizinhos têm intervalos de confiança de 90% (CI90) sobrepostos, então a ordem exata dentro de cada bloco não deve ser lida como definitiva.
Dez arquétipos de exposição
Além do ranking por setor, aplicamos clustering não supervisionado (k-means, k = 10) sobre os 13 sinais técnicos observados, identificando dez perfis recorrentes de exposição (arquétipos A a J) que atravessam fronteiras setoriais. Nenhum setor forma um bloco único num arquétipo. Os sinais que mais diferenciam os arquétipos são majoritariamente práticas básicas de higiene de segurança web (conexões seguras, proteções de domínio), e não a fragilidade criptográfica em si, o que reforça o achado central: a fragilidade criptográfica é uniformemente alta; o que varia é a higiene operacional cotidiana.
Blast radius: o risco que vem de terceiros
O score de uma organização não conta a história completa: muitas dependem de um número pequeno de provedores compartilhados: nuvem, operadoras de telecom e redes de distribuição de conteúdo (CDN). Um setor pode ter IEQ baixo com base nos seus próprios sinais observáveis e ainda estar exposto se depende fortemente de um provedor, ou classe de provedores, com postura criptográfica mais fraca.
Limitações declaradas
Onde o dado público é escasso, o modelo assume o pior caso. Por isso, scores de organizações pouco documentadas devem ser lidos como um teto plausível, e não como uma medida definitiva. O dataset é um retrospecto pontual, não um monitoramento contínuo. Nenhuma tentativa de exploração foi realizada; a coleta se limita a sinais públicos.