Uma avaliação só é útil na auditoria se o critério dela puder ser lido.
A pergunta que chega ao time de risco não é qual é o score. É como ele foi produzido, contra o que foi comparado, em que data, com que cobertura, e o que ele explicitamente não conclui. Uma metodologia que não pode ser lida por um terceiro não sustenta decisão registrada em ata.
Adotar, e conseguir defender, um critério de avaliação de exposição criptográfica que produza evidência consistente entre entidades, entre ciclos e diante de um auditor que não participou da coleta.
O que está em jogo
A metodologia do IEQ está publicada e é citável: o relatório técnico 2026-S1 traz 39.903 organizações em 17 setores sob licença CC-BY, com DOI permanente.
- Fonte
- Relatório Técnico IEQ 2026-S1, Zenodo
- Data
- Edição 2026-S1
- População
- 39.903 organizações publicadas
- Cobertura
- Agregados setoriais com piso de anonimato K = 30: nenhuma organização é exposta individualmente.
Limite. A base publicada e a base operacional são coletas distintas, com cortes distintos. Nenhuma é amostra da outra, e resultados de uma não se somam aos da outra.
Acessar a fonte →O que torna o score útil para risco e compliance é poder conferi-lo: a leitura pode ser auditada por quem não a produziu.
Modelo, dimensões e limites documentados sob licença aberta, com DOI citável.
Fonte, data de corte, run, população e cobertura acompanham cada valor apresentado.
Comparação sempre contra agregados, com piso de anonimato declarado.
O que a avaliação não conclui é parte do entregável, não uma ressalva de rodapé.
Documentação que sobrevive à troca de fornecedor, de avaliador e de ciclo.
O que você recebe
- Critério de avaliação, com o modelo e as dimensões documentados.
- Data de corte da coleta e identificador do run usado.
- População da régua de comparação e piso de anonimato.
- Cobertura por módulo e os fallbacks que o modelo aplicou.
- Contribuidores e a origem da evidência de cada um.
- Limitações explícitas do que a leitura não sustenta.
Ver os limites do método, as dependências e onde a medição termina
O que não pode ser afirmado a partir daqui
Um relatório de risco que reproduz os limites junto com o resultado é mais defensável do que um que só reproduz o número. Estes limites podem ser citados como estão.
Observado
A coleta pública viu
- Configuração criptográfica publicamente verificável na data de corte.
- Sinais de prontidão pós-quântica anunciados publicamente.
Calculado
O motor IEQ derivou
- Exposição estrutural em escala comum e comparável.
- Posição relativa contra agregados setoriais anônimos.
Inferido
O modelo estimou
- Vida útil do sigilo por prior setorial, na ausência de declaração.
- Valores de fallback quando um módulo não completa a coleta.
Fora do escopo
Outra evidência decide
- Conformidade com qualquer norma, atestado ou certificação.
- Probabilidade atuarial de incidente ou de ataque.
- A data em que um computador quântico relevante existirá.
- Que dois resultados sejam comparáveis quando mudam versão do motor, calibração, modo ou cobertura.
Do que depende
- Definição de escopo: quais entidades e domínios entram na avaliação.
- Periodicidade acordada, quando houver comparação entre ciclos.
- Definição de responsabilidade pela validação dos dados declarados, quando a leitura for em modo completo.
Fronteira
A medição termina na mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca. Esse trabalho é executado pelos times e fornecedores da organização. Depois da mudança, a GWK recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
Por que medir não reduz exposiçãoLeia o método antes de contratar a leitura
A metodologia está publicada sob licença aberta e pode ser avaliada pelo seu time antes de qualquer conversa comercial. Se preferir discutir a aplicação ao seu contexto, a sessão técnica trata disso.