Você já sabe o que tem. Falta a régua que ordena o que vem primeiro.
Inventário criptográfico, varredura e conhecimento do ambiente respondem à pergunta do que existe e onde. Nenhum deles produz, sozinho, uma medida comparável entre unidades, contra o setor e ao longo do tempo. É essa medida que falta quando a diretoria pede uma ordem de execução.
Escolher, entre centenas de dependências criptográficas conhecidas, quais entram no próximo ciclo, e sustentar essa escolha diante de um comitê que não lê handshake.
O que está em jogo
Em finanças, a mediana da régua é 66,3: metade das 7.574 organizações do setor está entre 62,2 e 68,2.
- Fonte
- Publicação IEQ em uso nos produtos, coorte de finanças
- Data
- 7 de outubro de 2026
- População
- 7.574 organizações no setor de finanças
- Cobertura
- Camada pública apenas: DNS, TLS, prontidão PQC, cabeçalhos, infraestrutura e subdomínios observáveis.
Limite. Quartis descrevem a coorte na data de corte. Uma organização específica pode estar fora do intervalo, e a leitura individual exige avaliação própria. A coorte não a substitui.
Dois destes itens estão em roadmap e não devem entrar em planejamento como se existissem.
Leitura sem credencial, agente ou integração, inclusive de ambientes a que você não tem acesso.
Percentil e distribuição por faixa contra o setor, na mesma régua e data de corte.
Projeção do efeito de ações declaradas, com estado atual e projetado na mesma régua e no mesmo modo de cálculo.
Diferença entre coletas, downgrade de TLS, certificado vencendo. Direção de produto, não escopo contratável.
Exposição que chega pela cadeia de fornecedores. Direção de produto, não escopo contratável.
Saída técnica do Relatório de Exposição com a proveniência preservada: cada número carrega origem, run e cobertura, para que o resultado possa ser conferido em vez de aceito.
O que você recebe
- Score, nível e as quatro dimensões, com o modo de cálculo declarado.
- Contribuidores ordenados, com a origem da evidência de cada um.
- Cobertura por módulo e os fallbacks que o modelo aplicou.
- Comparação com a coorte setorial e o percentil correspondente.
- Relatório em PDF para circulação interna.
- Projeção de governança em modo completo, quando houver declaração.
Ver os limites do método, as dependências e onde a medição termina
A fronteira do método
O IEQ não substitui inventário criptográfico, arquitetura de segurança ou assessment interno. Ele mede uma coisa específica, e a separação abaixo é o que torna a leitura utilizável em uma discussão técnica.
Observado
A coleta pública viu
- Versões de TLS, suítes e parâmetros negociados publicamente.
- Certificados, cadeias e políticas de emissão declaradas em DNS.
- Cabeçalhos de segurança e prontidão PQC anunciada.
- Subdomínios alcançáveis por fontes públicas.
Calculado
O motor IEQ derivou
- Exposição estrutural HNDL em escala comum.
- Peso relativo de cada sinal no resultado.
- Faixa de risco e posição na distribuição setorial.
Declarado
A organização informou
- Vida útil do sigilo por categoria de dado.
- Sistemas críticos e dependência de criptografia vulnerável a Shor.
- Agilidade criptográfica e postura de governança.
Inferido
O modelo estimou
- Prior setorial de vida útil, quando não há declaração.
- Fallbacks definidos pelo modelo quando um módulo falha.
Fora do escopo
Outra evidência decide
- Um inventário criptográfico do ambiente interno.
- Vulnerabilidades convencionais: IEQ baixo não significa ausência delas.
- Comparação entre um resultado público e um completo: são réguas diferentes.
- A postura interna de um fornecedor a partir da superfície pública dele.
Do que depende
- Domínios da organização, ou autorização expressa do titular.
- Para o modo completo: declaração sobre dados sensíveis, sistemas críticos, agilidade criptográfica e governança.
- Definição de responsabilidade pela validação do que é declarado: o motor consome o dado, não o audita.
Fronteira
A medição termina na mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca. Esse trabalho é executado pelos times e fornecedores da organização. Depois da mudança, a GWK recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
Por que medir não reduz exposiçãoTraga um escopo, não um pedido de proposta
Diga quais domínios entram, se a leitura precisa ser pública ou completa, e qual decisão ela vai sustentar. Se o que você precisa estiver em roadmap, dizemos isso na primeira conversa.