Avaliação por sinais públicos
Em produçãoLeitura sem credencial, agente ou integração — inclusive de ambientes a que você não tem acesso.
CISO e segurança
Você já sabe o que tem. Falta a régua que ordena o que vem primeiro.
Inventário criptográfico, varredura e conhecimento do ambiente respondem à pergunta do que existe e onde. Nenhum deles produz, sozinho, uma medida comparável entre unidades, contra o setor e ao longo do tempo. É essa medida que falta quando a diretoria pede uma ordem de execução.
01A decisão
Escolher, entre centenas de dependências criptográficas conhecidas, quais entram no próximo ciclo — e sustentar essa escolha diante de um comitê que não lê handshake. A restrição não é conhecimento técnico: é critério comparável e comunicável.
O que está em jogo
- Sem régua comum, a priorização acompanha o que foi descoberto por último, não o que acumula mais exposição.
- Estar na mediana do setor é frequentemente lido como estar bem, e a mediana não é um alvo de segurança.
- Ambientes de terceiros entram no escopo sem que exista acesso para inventariá-los.
- Progresso técnico real fica invisível ao comitê quando não há medição anterior comparável.
02Evidência
Em finanças, a mediana da régua operacional é 51,3 e o desvio-padrão é 7,57: metade das 25.826 organizações do setor está entre 48,3 e 58,6. A distribuição é estreita — a diferença entre a mediana e o terceiro quartil é de 7,3 pontos, o que significa que sair da mediana exige mudança estrutural, não ajuste de configuração pontual.
Em finanças, a mediana da régua operacional é 51,3 e o desvio-padrão é 7,57: metade das 25.826 organizações do setor está entre 48,3 e 58,6. A distribuição é estreita — a diferença entre a mediana e o terceiro quartil é de 7,3 pontos, o que significa que sair da mediana exige mudança estrutural, não ajuste de configuração pontual.
- Fonte
- Base operacional GWK, coorte de finanças
- Data
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 25.826 organizações no setor de finanças
- Cobertura
- Camada pública apenas: DNS, TLS, prontidão PQC, cabeçalhos, infraestrutura e subdomínios observáveis.
Limite: Quartis descrevem a coorte na data de corte. Uma organização específica pode estar fora do intervalo, e a leitura individual exige avaliação própria — a coorte não a substitui.
03O que se aplica ao seu trabalho
Esta é a persona que mais pressiona a fronteira do que a GWK faz. Por isso a maturidade de cada item está declarada: dois estão em roadmap e não devem entrar em planejamento como se existissem.
Benchmark contra a coorte
Em produçãoPercentil e distribuição por faixa contra o setor, na mesma régua e data de corte.
Roadmap de governança
Em produçãoProjeção do efeito de ações declaradas, com estado atual e projetado na mesma régua completa.
Alertas de regressão
Em roadmapDiferença entre coletas, downgrade de TLS, certificado vencendo. Direção de produto, não escopo contratável.
Gestão de terceiros
Em roadmapExposição que chega pela cadeia de fornecedores. Direção de produto, não escopo contratável.
04O que sai
Saída técnica com a proveniência preservada: cada número carrega origem, run e cobertura, para que a leitura possa ser conferida em vez de aceita.
- Score, nível e as quatro dimensões, com o modo de cálculo declarado.
- Contribuidores ordenados, com a origem da evidência de cada um.
- Cobertura por módulo e os fallbacks que o modelo aplicou.
- Comparação com a coorte setorial e o percentil correspondente.
- Relatório em PDF para circulação interna.
- Projeção de governança em modo completo, quando houver declaração.
Do que depende
- Domínios da organização, ou autorização expressa do titular.
- Para o modo completo: declaração sobre dados sensíveis, sistemas críticos, agilidade criptográfica e governança.
- Definição de responsabilidade pela validação do que é declarado — o motor consome o dado, não o audita.
05A fronteira do método
O IEQ não substitui inventário criptográfico, arquitetura de segurança ou assessment interno. Ele mede uma coisa específica, e a separação abaixo é o que torna a leitura utilizável em uma discussão técnica.
Observado
A coleta pública viu
- Versões de TLS, suítes e parâmetros negociados publicamente.
- Certificados, cadeias e políticas de emissão declaradas em DNS.
- Cabeçalhos de segurança e prontidão PQC anunciada.
- Subdomínios alcançáveis por fontes públicas.
Calculado
O motor IEQ derivou
- Exposição estrutural HNDL em escala comum.
- Peso relativo de cada sinal no resultado.
- Faixa de risco e posição na distribuição setorial.
Declarado
A organização informou
- Vida útil do sigilo por categoria de dado.
- Sistemas críticos e dependência de criptografia vulnerável a Shor.
- Agilidade criptográfica e postura de governança.
Inferido
O modelo estimou
- Prior setorial de vida útil, quando não há declaração.
- Fallbacks definidos pelo modelo quando um módulo falha.
Fora do escopo
Outra evidência decide
- Um inventário criptográfico do ambiente interno.
- Vulnerabilidades convencionais: IEQ baixo não significa ausência delas.
- Comparação entre um resultado público e um completo — são réguas diferentes.
- A postura interna de um fornecedor a partir da superfície pública dele.
Contra o que esta comparação foi feita
- Data de corte
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas
- Setores
- 15 setores na taxonomia do motor
- Piso de anonimato
- K = 30
Limites da comparação
- A régua é uma base de referência estática, não uma medição contínua: não há atualização automática entre um run e o seguinte.
- A comparação é sempre contra agregados anônimos, nunca contra o resultado individual de uma organização terceira.
- Um resultado do modo público não se compara a um resultado do modo completo, porque as duas leituras partem de evidências de naturezas diferentes.
Fronteira
Onde a medição termina
Programa de adequaçãoNão implementado
A medição termina em: a mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca — trabalho executado pelos times e fornecedores da organização.
Esta leitura entrega
- Medida comparável de exposição HNDL, com proveniência.
- Ordem de prioridade defensável diante do comitê.
- Projeção do efeito de ações declaradas, no modo completo.
Depois da mudança, a GWK
- Recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
- Declara escopo, modo, cobertura e run das duas medições, para que a diferença seja interpretável.
- Atribui o efeito observado apenas ao escopo efetivamente alterado e verificado.
Não está incluído
- Execução da mudança: a GWK não altera configuração, certificado ou infraestrutura do cliente.
- Implantação, operação assistida ou gestão de mudança.
- Programa de adequação: existe como projeto de engenharia da GWK, não como capacidade contratável.
Traga um escopo, não um pedido de proposta
Diga quais domínios entram, se a leitura precisa ser pública ou completa, e qual decisão ela vai sustentar. Se o que você precisa estiver em roadmap, dizemos isso na primeira conversa.