Relatório de Exposição
Em produçãoScore, dimensões, principais contribuidores e cobertura para uma organização, a partir de sinais públicos.
Diretoria e conselho
Priorizar uma transição que não cabe em um orçamento anual.
A migração pós-quântica não será concluída em um ciclo de investimento, e nenhuma organização substitui todos os ativos ao mesmo tempo. A decisão do conselho não é se migra: é o que vai primeiro, com que critério, e como isso será demonstrado a quem cobra.
01A decisão
Definir a ordem de prioridade e a estrutura de governança de um programa plurianual, antes de haver consenso técnico interno e antes de a ameaça se materializar. É uma decisão de alocação sob incerteza, e ela precisa de um critério que sobreviva à troca de quem a defende.
O que está em jogo
- Priorizar por intuição técnica concentra investimento onde há mais atenção, não onde há mais exposição acumulada.
- Sem uma régua comum, cada unidade de negócio defende a própria urgência e a comparação entre elas vira negociação política.
- Dados com vida útil longa acumulam exposição enquanto a decisão é adiada: o que é capturado hoje pode ser decifrado depois.
- Um programa sem medição inicial não consegue demonstrar progresso depois, porque não existe estado anterior registrado.
02Evidência
Na régua operacional da GWK, a mediana de horizonte temporal varia de 0,21 a 0,96 entre os 15 setores da taxonomia do motor — o maior é 4,5 vezes o menor. É a vida útil do dado, e não o porte da organização, que ordena a exposição estrutural: a mesma configuração criptográfica representa exposições diferentes quando protege dados que precisam durar prazos diferentes.
Na régua operacional da GWK, a mediana de horizonte temporal varia de 0,21 a 0,96 entre os 15 setores da taxonomia do motor — o maior é 4,5 vezes o menor. É a vida útil do dado, e não o porte da organização, que ordena a exposição estrutural: a mesma configuração criptográfica representa exposições diferentes quando protege dados que precisam durar prazos diferentes.
- Fonte
- Base operacional GWK, agregados setoriais
- Data
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas na base operacional
- Cobertura
- Camada pública apenas: DNS, TLS, prontidão PQC, cabeçalhos, infraestrutura e subdomínios observáveis.
Limite: Medianas setoriais descrevem coortes, não organizações. Uma empresa específica pode estar em qualquer ponto da distribuição do seu setor, e a mediana não autoriza nenhuma conclusão sobre ela.
03O que se aplica a esta decisão
Nem toda capacidade da GWK serve a um conselho. As quatro abaixo produzem material que sustenta uma decisão de alocação; as demais são insumo técnico e não deveriam subir ao colegiado.
Benchmark Setorial
Em produçãoPosição relativa contra a coorte do setor, com percentil e distribuição por faixa.
PQC Readiness Track
Em produçãoProjeção do efeito de ações declaradas de governança, sempre no modo completo.
Análise de portfólio
Em produçãoComparação entre entidades de um mesmo grupo sob a mesma régua e a mesma data de corte.
04O que chega ao colegiado
Material de leitura, não painel de acompanhamento. A GWK não opera portal de cliente, e um conselho não precisa de um.
- Exposição consolidada das entidades avaliadas, com a data de corte da coleta.
- Posição relativa contra a coorte setorial, com o piso de anonimato declarado.
- Principais contribuidores do resultado e a origem de cada evidência usada.
- Cobertura por módulo de coleta: o que foi observado e o que caiu em fallback.
- Prioridades de aprofundamento — onde vale gastar análise interna, e por quê.
- Limitações da leitura, escritas e não rodapé.
Do que depende
- Lista de entidades e domínios a avaliar, definida pela organização.
- Autorização para avaliar domínios de terceiros, quando o escopo incluir fornecedores ou controladas.
- Para leitura em modo completo: declaração interna sobre dados, sistemas e governança. Não há formulário: é processo conduzido com o time da GWK.
05O que esta leitura não conclui
Um conselho decide melhor sabendo o que a evidência não cobre. As colunas abaixo separam o que foi visto do que foi derivado, e ambos do que a avaliação não sustenta.
Observado
A coleta pública viu
- Configuração criptográfica exposta ao público.
- Superfície de domínios e subdomínios alcançável de fora.
- Sinais de prontidão pós-quântica anunciados na negociação.
Calculado
O motor IEQ derivou
- Score IEQ e as dimensões H, V, E e M.
- Contribuição de cada sinal para o resultado.
- Percentil contra a coorte do setor.
Inferido
O modelo estimou
- Vida útil do dado, por prior setorial, quando não há declaração.
- Maturidade de governança não observável de fora.
Fora do escopo
Outra evidência decide
- Que a organização esteja segura, ou insegura, em cibersegurança geral.
- Que a ausência de sinal público de PQC signifique ausência de iniciativa interna.
- Uma data para a quebra criptográfica, nem probabilidade de ataque.
- Que o resultado represente integralmente o ambiente interno da organização.
Contra o que esta comparação foi feita
- Data de corte
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas
- Setores
- 15 setores na taxonomia do motor
- Piso de anonimato
- K = 30
Limites da comparação
- A régua é uma base de referência estática, não uma medição contínua: não há atualização automática entre um run e o seguinte.
- A comparação é sempre contra agregados anônimos, nunca contra o resultado individual de uma organização terceira.
- Um resultado do modo público não se compara a um resultado do modo completo, porque as duas leituras partem de evidências de naturezas diferentes.
Fronteira
Onde a medição termina
Programa de adequaçãoNão implementado
A medição termina em: a mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca — trabalho executado pelos times e fornecedores da organização.
Esta leitura entrega
- Exposição medida e posição relativa, com data de corte.
- Critério de priorização defensável entre unidades.
- Material executivo com evidência e limites declarados.
Depois da mudança, a GWK
- Recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
- Declara escopo, modo, cobertura e run das duas medições, para que a diferença seja interpretável.
- Atribui o efeito observado apenas ao escopo efetivamente alterado e verificado.
Não está incluído
- Execução da mudança: a GWK não altera configuração, certificado ou infraestrutura do cliente.
- Implantação, operação assistida ou gestão de mudança.
- Programa de adequação: existe como projeto de engenharia da GWK, não como capacidade contratável.
Comece pelo escopo real
Diga quantas entidades entram na leitura e qual decisão ela vai apoiar. A conversa começa pelo que é possível medir hoje, com os limites escritos antes do contrato.