Método · Da série sobre medição e adequação
Você corrigiu um domínio. Não corrigiu a organização.
A tentação é aritmética: se quarenta domínios foram medidos e cinco foram corrigidos, a exposição caiu um oitavo. A conta é simples, intuitiva e errada. O problema não está na imprecisão, e sim no fato de ela produzir um número que não sobrevive à primeira pergunta de um auditor.
Por que a conta não fecha
Exposição não é uma quantidade que se distribui igualmente entre ativos. O modelo é multiplicativo: horizonte temporal, vulnerabilidade, exposição observável e governança interagem, e uma dimensão isolada não determina o total. Dois domínios com a mesma configuração criptográfica podem carregar exposições muito diferentes se protegem dados com vidas úteis diferentes.
Há ainda o problema do que não foi medido. Corrigir cinco domínios da superfície pública não diz nada sobre os sistemas internos que nunca entraram na leitura, sobre as dependências de fornecedor que continuam iguais, nem sobre o tráfego que já foi capturado antes da correção. Um número consolidado esconde essas três lacunas atrás de uma vírgula decimal.
A regra que falta
Levar um efeito medido em um ativo até o nível organizacional exige uma regra de agregação formal: como ponderar ativos, o que fazer com o que ficou fora do escopo, como tratar dependências compartilhadas entre unidades. Essa regra não está definida na metodologia da GWK, e é uma das questões abertas do projeto de adequação, não uma lacuna de documentação.
Enquanto ela não existir, a GWK não publica redução organizacional derivada de escopo pontual, nem em caso, nem em exemplo, nem em material ilustrativo. Inventar a regra para caber num slide produziria exatamente o tipo de número que este site existe para não produzir.
O que reportar no lugar
Um grupo não tem um score, tem uma distribuição. A leitura defensável descreve onde cada entidade está, quanto as pontas se afastam da mediana interna, quais contribuidores aparecem repetidos em várias entidades e, depois de uma intervenção, o que mudou dentro do escopo que foi efetivamente alterado e verificado.
Essa leitura é menos confortável de apresentar e mais difícil de contestar. Um conselho que recebe distribuição e escopo aprende mais sobre o próprio programa do que um que recebe um número único descendo ao longo de trimestres.
A objeção
Preciso reportar um número consolidado ao conselho. O que eu levo?
Leve três coisas no lugar de uma: a distribuição das entidades avaliadas com a data de corte, o escopo exato que foi alterado no período, e o que mudou dentro dele na mesma régua. É mais informação, não menos, e responde à pergunta que o conselho realmente tem, que é se o programa está chegando onde precisa chegar, em vez de responder a uma pergunta que a metodologia não sustenta.
O que isso sustenta
- Recusar métricas de redução organizacional que não declarem o escopo de onde vieram.
- Estruturar o relatório de programa por distribuição e escopo, que é o que resiste a auditoria.
- Avaliar propostas de fornecedor pela regra de agregação que elas usam, e perguntar por ela quando não estiver escrita.
Fora do escopo deste texto
- A ausência de regra de agregação é uma limitação declarada da metodologia, não uma propriedade do risco. Ela pode ser resolvida, e até lá o silêncio é a postura correta.
Da série sobre medição e adequação
Como verificar redução de risco sem trocar de régua
Cinco condições tornam duas medições comparáveis. Quebrada qualquer uma, o delta mede método em vez de risco, e o erro não aparece no resultado final.
Por que medir não reduz exposição
Um diagnóstico não altera o ambiente que ele descreve. O que a medição resolve, o que ela não toca e por que a separação entre as duas coisas interessa a quem contrata.
Discutir uma avaliação
Se este texto descreveu um problema que você tem, a conversa começa pelo escopo que você precisa medir, com os limites escritos antes de qualquer proposta.