Por que medir não reduz exposição
Um diagnóstico não altera o ambiente que ele descreve. O que a medição resolve, o que ela não toca e por que a separação entre as duas coisas interessa a quem contrata.
Recursos
Medir, mudar, verificar.
Seis textos sobre a distância entre um diagnóstico e uma redução demonstrada. Explicam o que a medição resolve, onde ela termina e que condições tornam uma verificação defensável. São metodologia, e servem também a quem nunca vai contratar a GWK.
01Série
A sequência
Cada texto responde a uma objeção real e sustenta uma decisão. Podem ser lidos fora de ordem, mas foram escritos em sequência.
01 Ler02 LerO que precisa acontecer entre o diagnóstico e a verificação
Cinco etapas separam um score de uma redução demonstrada. Quem é dono de cada uma, e por que pular qualquer delas invalida a comparação final.
03 LerComo verificar redução de risco sem trocar de régua
Cinco condições tornam duas medições comparáveis. Quebrada qualquer uma, o delta mede método em vez de risco, e o erro não aparece no resultado final.
04 LerPor que o impacto pertence ao escopo alterado
Remediar um ativo não reduz a exposição da organização na mesma proporção. Por que a agregação de impacto exige uma regra que ainda não existe, e o que reportar enquanto ela não existir.
05 LerProjeção não é execução
O roadmap de governança projeta o efeito de ações declaradas. O que essa projeção demonstra, o que ela não demonstra, e por que confundir as duas coisas é o erro mais fácil de cometer.
06 LerSinais configuráveis, estruturais e organizacionais
Nem toda exposição se resolve do mesmo jeito. Três classes de sinal, três cronogramas diferentes, e por que classificar antes de priorizar economiza trimestres.
Sobre a etapa que vem depois
Solução EVAEm roadmap
A série descreve o trabalho que separa um diagnóstico de uma redução verificada. A GWK desenvolve a solução EVA, de Exposição, Vulnerabilidade e Adequação, para cobrir essa etapa. É projeto em curso, sem escopo fechado e sem data, e nenhum dos seis textos depende dele.