Método · Da série sobre medição e adequação
Um diagnóstico não muda o ambiente que ele descreve.
Um termômetro não baixa febre. A frase é óbvia fora de contexto e deixa de ser dentro de um relatório de risco: quem recebe um score de exposição costuma esperar que a próxima leitura venha melhor porque a leitura aconteceu. Não vem. Entender a razão disso muda a forma como o programa de transição é montado.
O que a medição faz
O IEQ recebe um envelope de dados, formado pelos sinais públicos coletados e, quando existe, por uma camada declarada pela organização. Devolve um score, quatro dimensões, os contribuidores que mais pesaram, a cobertura alcançada e o modo de cálculo usado. O que ele faz com isso é ordenar: dizer o que, dentro de um conjunto grande de dependências criptográficas, acumula mais exposição estrutural ao risco de captura hoje e decifração depois.
Essa ordenação é a parte escassa. Nenhuma organização substitui toda a criptografia de uma vez, e a restrição raramente é técnica. É orçamento, janela de mudança, contrato de fornecedor e capacidade de equipe. Uma medida comparável entre unidades, contra o setor e ao longo do tempo permite gastar essa capacidade limitada onde ela rende mais.
O que a medição não toca
A coleta observa de fora, sem credencial, sem agente instalado e sem alterar nada. Essa é uma escolha de arquitetura, e não uma limitação temporária. Ela permite avaliar um fornecedor que nunca ouviu falar da GWK, e permite avaliar a própria organização sem abrir uma janela de mudança. O preço é exato: quem só observa não modifica.
Reduzir a exposição exige alterar o ambiente: trocar a política de negociação de um balanceador, substituir um certificado, atualizar uma biblioteca, migrar um serviço que depende de um algoritmo vulnerável, renegociar um contrato com fornecedor sem plano pós-quântico. Cada uma dessas ações tem dono, prazo, risco operacional e caminho de reversão. Nenhuma delas acontece porque um score foi calculado.
Por que separar as duas coisas
Um fornecedor que promete medir e corrigir com a mesma ferramenta quase sempre faz bem só uma das duas. Medição precisa ser conservadora, declarar cobertura e admitir o que não alcançou. Execução precisa ser assertiva e ter opinião sobre o ambiente. As duas posturas competem dentro do mesmo produto.
A separação também tem consequência prática na auditoria: quem mede não tem interesse no resultado da medição. Um número produzido por quem também vende a correção carrega um conflito, o auditor vai perguntar por ele, e a resposta precisa existir antes da pergunta.
A objeção
Se a medição não muda nada, para que contratá-la?
Pela mesma razão que se contrata um laudo estrutural antes de uma reforma. A ordem em que o trabalho acontece determina o custo total, e, terminada a obra, é o laudo que demonstra o que mudou. Sem medição inicial não existe estado anterior registrado, e um programa que não consegue mostrar de onde partiu não consegue mostrar progresso depois, por melhor que tenha sido a execução.
O que isso sustenta
- Exigir medição antes do início do programa, não depois, para que exista estado anterior comparável.
- Separar no orçamento o que é diagnóstico do que é execução, porque são contratos de naturezas diferentes.
- Responder ao conselho o que a avaliação entrega, sem gerar a expectativa de que ela conduz a transição.
Fora do escopo deste texto
- Este texto não afirma que a GWK executa remediação. A execução é dos times e dos fornecedores da organização.
- Medir também não previne. O risco tratado aqui é de captura hoje e decifração no futuro, e o que já foi capturado não é revertido por nenhuma ação posterior.
Da série sobre medição e adequação
O que precisa acontecer entre o diagnóstico e a verificação
Cinco etapas separam um score de uma redução demonstrada. Quem é dono de cada uma, e por que pular qualquer delas invalida a comparação final.
Sinais configuráveis, estruturais e organizacionais
Nem toda exposição se resolve do mesmo jeito. Três classes de sinal, três cronogramas diferentes, e por que classificar antes de priorizar economiza trimestres.
Discutir uma avaliação
Se este texto descreveu um problema que você tem, a conversa começa pelo escopo que você precisa medir, com os limites escritos antes de qualquer proposta.