Metodologia publicada
Em produçãoModelo, dimensões e limites documentados sob licença aberta, com DOI citável.
Risco e compliance
Uma avaliação só é útil na auditoria se o critério dela puder ser lido.
A pergunta que chega ao time de risco não é qual é o score. É como ele foi produzido, contra o que foi comparado, em que data, com que cobertura, e o que ele explicitamente não conclui. Uma metodologia que não pode ser lida por um terceiro não sustenta decisão registrada em ata.
01A decisão
Adotar — e conseguir defender — um critério de avaliação de exposição criptográfica que produza evidência consistente entre entidades, entre ciclos e diante de um auditor que não participou da coleta.
O que está em jogo
- Avaliações sem proveniência não se sustentam quando o avaliador muda ou o fornecedor é substituído.
- Critério não documentado impede comparar dois ciclos: a diferença pode ser de método, não de risco.
- Números sem data de corte envelhecem em silêncio dentro de relatórios que continuam circulando.
- Uma avaliação que promete mais do que mede cria exposição de compliance própria.
02Evidência
A metodologia do IEQ está publicada e é citável: o relatório técnico 2026-S1 traz 39.903 organizações em 17 setores sob licença CC-BY, com DOI permanente. A base formal do índice está em pré-publicação no arXiv. O método é auditável sem ser replicável: pesos e calibradores permanecem proprietários.
A metodologia do IEQ está publicada e é citável: o relatório técnico 2026-S1 traz 39.903 organizações em 17 setores sob licença CC-BY, com DOI permanente. A base formal do índice está em pré-publicação no arXiv. O método é auditável sem ser replicável: pesos e calibradores permanecem proprietários.
- Fonte
- Relatório Técnico IEQ 2026-S1, Zenodo
- Data
- Edição 2026-S1
- População
- 39.903 organizações publicadas
- Cobertura
- Agregados setoriais com piso de anonimato K = 30: nenhuma organização é exposta individualmente.
Limite: A base publicada e a base operacional são coletas distintas, com cortes distintos. Nenhuma é amostra da outra, e resultados de uma não se somam aos da outra.
Acessar a fonte03O que sustenta a evidência
Para esta persona, a capacidade relevante não é o score: é o que permite conferi-lo. Cada item abaixo existe para que a leitura possa ser auditada por quem não a produziu.
Proveniência por número
Em produçãoFonte, data de corte, run, população e cobertura acompanham cada valor apresentado.
Régua setorial anonimizada
Em produçãoComparação sempre contra agregados, com piso de anonimato declarado.
Registro de limites
Em produçãoO que a avaliação não conclui é parte do entregável, não uma ressalva de rodapé.
04O que fica registrado
Documentação que sobrevive à troca de fornecedor, de avaliador e de ciclo — que é o teste real de uma evidência de compliance.
- Critério de avaliação, com o modelo e as dimensões documentados.
- Data de corte da coleta e identificador do run usado.
- População da régua de comparação e piso de anonimato.
- Cobertura por módulo e os fallbacks que o modelo aplicou.
- Contribuidores e a origem da evidência de cada um.
- Limitações explícitas do que a leitura não sustenta.
Do que depende
- Definição de escopo: quais entidades e domínios entram na avaliação.
- Periodicidade acordada, quando houver comparação entre ciclos.
- Definição de responsabilidade pela validação dos dados declarados, quando a leitura for em modo completo.
05O que não pode ser afirmado a partir daqui
Esta seção existe para ser citada. Um relatório de risco que reproduz os limites junto com o resultado é mais defensável do que um que só reproduz o número.
Observado
A coleta pública viu
- Configuração criptográfica publicamente verificável na data de corte.
- Sinais de prontidão pós-quântica anunciados publicamente.
Calculado
O motor IEQ derivou
- Exposição estrutural em escala comum e comparável.
- Posição relativa contra agregados setoriais anônimos.
Inferido
O modelo estimou
- Vida útil do sigilo por prior setorial, na ausência de declaração.
- Valores de fallback quando um módulo não completa a coleta.
Fora do escopo
Outra evidência decide
- Conformidade com qualquer norma, atestado ou certificação.
- Probabilidade atuarial de incidente ou de ataque.
- A data em que um computador quântico relevante existirá.
- Que dois resultados sejam comparáveis quando mudam versão do motor, calibração, modo ou cobertura.
Contra o que esta comparação foi feita
- Data de corte
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas
- Setores
- 15 setores na taxonomia do motor
- Piso de anonimato
- K = 30
Limites da comparação
- A régua é uma base de referência estática, não uma medição contínua: não há atualização automática entre um run e o seguinte.
- A comparação é sempre contra agregados anônimos, nunca contra o resultado individual de uma organização terceira.
- Um resultado do modo público não se compara a um resultado do modo completo, porque as duas leituras partem de evidências de naturezas diferentes.
Fronteira
Onde a medição termina
Programa de adequaçãoNão implementado
A medição termina em: a mudança técnica no ambiente. Medir a exposição não a reduz: a redução exige alterar configuração, substituir certificado, trocar política de negociação ou migrar biblioteca — trabalho executado pelos times e fornecedores da organização.
Esta leitura entrega
- Critério documentado e citável, com metodologia publicada.
- Evidência com proveniência campo a campo.
- Registro explícito do que a avaliação não conclui.
Depois da mudança, a GWK
- Recoleta os sinais públicos e recalcula o IEQ na mesma régua, quando contratada para isso.
- Declara escopo, modo, cobertura e run das duas medições, para que a diferença seja interpretável.
- Atribui o efeito observado apenas ao escopo efetivamente alterado e verificado.
Não está incluído
- Execução da mudança: a GWK não altera configuração, certificado ou infraestrutura do cliente.
- Implantação, operação assistida ou gestão de mudança.
- Programa de adequação: existe como projeto de engenharia da GWK, não como capacidade contratável.
Leia o método antes de contratar a leitura
A metodologia está publicada sob licença aberta e pode ser avaliada pelo seu time antes de qualquer conversa comercial. Se preferir discutir a aplicação ao seu contexto, a sessão técnica trata disso.