Conselho e diretoria
Medição de risco criptográfico
O risco quânticoagora tem número.
O IEQ mede a exposição criptográfica da sua organização e a coloca na mesma régua do setor. Segurança, risco e diretoria passam a saber por onde começar a migração, e com que urgência.
Sem agenteSem credencialSem integração
Retrato do mercado2026-S1
Exposição mediana
O dado capturado hoje ainda vale em 2046
69.9
Vulnerabilidade
60.9
Exposição
79.0
Horizonte
Relatório publicado disponível no Zenodo
01Produtos e casos de uso
Cinco leituras da mesma exposição.
Cada entregável responde a uma pergunta sobre o mesmo índice: onde estamos, como nos comparamos e quanto a migração já rendeu.
Linha IEQ
- 01
Relatório de Exposição
Em produçãoScore IEQ com os contribuidores que mais pesam
Ver um relatório de exemplo - 02
- 03
- 04
PQC Readiness Track
Em produçãoScore atual contra score projetado, na mesma régua
Ver a linha de produtos - 05
Amostra do produto
exemplo.com.br
Alto
Score IEQ
12.1 pontos acima da mediana do setor.
Cobertura de sinal
71%
Decomposição
- Horizonte
- 68%
- Vulnerabilidade
- 71%
- Exposição
- 55%
- Governança
- 1.06×
Domínio fictício, para demonstração
Ver o relatório de exemplo completoCasos de uso
Segurança e infraestrutura
Quero ver a evidência por trás do número.
Risco e compliance
Meu setor está pior ou melhor que a média?
Programa de migração
Já começamos a migrar. Quanto isso rendeu?
Pesquisa e auditoria
Quero revisar o método antes de confiar nele.
02Como funciona
Do sinal público ao score comparável.
Sem agente, sem credencial, sem acesso aos sistemas internos. O motor calcula sobre o que já está exposto e devolve um resultado na régua do setor.
- 01
Coleta sinais públicos
DNS, TLS, prontidão PQC, headers HTTP e tecnologias expostas
- 02
Traduz sinais em risco
Vulnerabilidade e exposição entram na mesma leitura
- 03
Calcula o score IEQ
Uma régua de 0 a 100 para comparar e priorizar
Contexto setorial
Horizonte de dados e maturidade de governança
- Σ04
Entrega prioridade
Diagnóstico comparável para orientar migração, sem expor organizações
Uma camada declaratória opcional refina o resultado com informação interna que nenhum sinal público revela.
Ver as camadas e a maturidade de cada uma03O que é o IEQ
Um motor de cálculo, com entrada e saída definidas.
O Índice de Exposição Quântica recebe um envelope de evidências, calcula, e devolve um resultado explicável na mesma régua para qualquer organização.
Recebe
Um envelope de evidências: sinais observados pela coleta pública e, quando existe, o que a organização declarou.
Devolve
Score de 0 a 100, as quatro dimensões, os contribuidores que mais pesam e a cobertura alcançada.
Serve para
Priorizar migração: onde agir primeiro, com que urgência e por qual motivo.
Como ler o resultado
- Mínimo0–20
- Baixo20–40
- Moderado40–60
- Alto60–80
- Crítico80–100
Onde termina a função do motor
O motor calcula. Quem observa é a coleta.
Ele não monitora entre coletas, não certifica e não estima quando o computador quântico chega.
A camada de coleta faz a varredura e entrega o envelope. O motor recebe esse material pronto e calcula sobre ele.
Cada avaliação é uma medição datada. Nada monitora a organização entre uma coleta e a seguinte.
O resultado apoia priorização interna. Certificação exige organismo acreditado, que a GWK não é. E esta leitura não substitui auditoria: ela registra o que foi declarado, sem verificar internamente o que a organização afirma.
O horizonte mede por quanto tempo o dado ainda precisa de sigilo. A data de chegada do computador quântico fica fora do cálculo.
O que entra no índice
Quatro fatores, uma leitura comparável.
Três saem de sinal público e têm mediana de mercado. O quarto só existe se a organização declarar.
Por quanto tempo o dado ainda precisa continuar secreto. É o fator temporal do risco: um dado com vinte anos de sigilo exigido carrega exposição maior do que um dado de vida curta, mesmo protegido pela mesma criptografia.
Mediana do mercado · 79.0
A fragilidade criptográfica do que está efetivamente em uso. Considera os algoritmos, tamanhos de chave e versões de protocolo observados, e o quanto cada um resiste a um adversário com capacidade quântica.
Mediana do mercado · 69.9
O tamanho da superfície observável. Quantos serviços a organização publica na internet, quanto desse tráfego é interceptável hoje e qual parcela dele carrega dado de vida longa.
Mediana do mercado · 60.9
O que nenhum sinal externo revela: inventário criptográfico, plano de migração e marcos já entregues. A organização informa se quiser, e isso refina o diagnóstico sem nunca substituir o que foi observado de fora.
Informado pela organização
04Evidência
Três em cada quatro organizações estão em exposição alta ou crítica.
O tráfego cifrado capturado hoje pode ser decifrado depois: é o cenário harvest now, decrypt later, e é o risco que o IEQ mede. O NIST já finalizou os padrões de PQC e a IN ITI nº 35/2026 está em vigor.
O que o índice mede não é abstrato: é a cifra negociada por um balanceador, a validade de um certificado, a versão de um protocolo.
39.903
organizações analisadas
76.4%
em exposição alta ou crítica
90%
intervalo de confiança do estudo
10
arquétipos técnicos recorrentes
Relatório Técnico IEQ 2026-S1, junho de 2026. São 39.903 organizações em 17 setores, agregadas sob k-anonimato (K = 30) e publicadas no Zenodo sob licença CC-BY.
Ler o relatório setorial 2026-S1Comparabilidade
Um número sozinho ajuda pouco. Na mesma régua, ele vira ordem de prioridade.
Retrato do mercado
Entre o setor mais e o menos exposto há 67 pontos de diferença
A ordenação define a sequência de migração do mercado, não o resultado de uma organização isolada.
SetorMediana do setor · 0 a 100IEQ
mediana setorial 58,2
Governo / Não classificado
85.0
Hospitais e saúde
84.8
Farmacêutica e biotech
82.0
Saúde suplementar
81.3
Materiais e química
76.2
Agroindústria
75.9
Manufatura industrial
75.0
Defesa e aeroespacial
72.8
Utilidades (energia)
58.2
0255075100
SetorMediana do setor · 0 a 100IEQ
mediana setorial 58,2
Óleo, gás e energia
56.8
Finanças tradicionais
55.3
Processamento de pagamentos
54.7
Cloud
39.7
Telecom
38.4
SaaS
30.7
Varejo e marcas
18.4
E-commerce e marketplace
18.1
0255075100
EscalaCrítico80–100Alto60–80Moderado40–60Baixo20–40Mínimo0–20
4 de 17
setores em faixa crítica
8 de 17
acima da mediana setorial
14,6 vs 2,9
dispersão de exposição e de vulnerabilidade entre setores
Risco também é tempo
O nível não basta. A urgência vem de quanto tempo o dado capturado hoje ainda vale: 20 anos em saúde e governo, 5 no varejo.
Ver a janela de exposição por setorPerguntas sobre o risco
As objeções que aparecem na primeira conversa, respondidas antes dela.
Porque o adversário não precisa esperar. Basta interceptar e guardar o tráfego cifrado hoje para decifrá-lo quando a capacidade existir. O que importa é se a sua cifra continuará de pé pelo tempo em que o dado ainda tiver valor.
Anos. Trocar criptografia significa mexer em servidores, aplicações, bibliotecas, integrações e contratos, quase sempre sem poder parar a operação. Como a transição é longa, o dado capturado durante ela fica exposto pelo tempo que ela levar.
Um contrato que precisa ficar sigiloso por vinte anos e um token de sessão que expira em uma hora não correm o mesmo risco, mesmo protegidos pela mesma cifra. O tráfego capturado hoje só tem valor para o adversário enquanto o conteúdo ainda importar.
Boa parte. A criptografia que protege a sua operação passa por provedores de nuvem, gateways de pagamento, prestadores e fornecedores de software. A exposição que chega pela cadeia costuma ser invisível no inventário interno.
Porque nenhuma organização tem orçamento e janela de manutenção para trocar tudo ao mesmo tempo. A ordem em que a migração acontece determina quanto risco fica exposto no caminho, e essa ordem precisa de critério defensável.
05Diferenciais e limites
O que a medição da GWK faz que um scanner não faz.
Seis propriedades do método. Logo abaixo, onde a leitura termina.
As dimensões se multiplicam
Só há comprometimento quando vulnerabilidade e exposição existem ao mesmo tempo. O modelo multiplica em vez de somar, e há prova formal de que nenhum score aditivo reproduz essa interação.
A mesma régua para todos
Mesmo método, mesmos pesos, para todo mundo. É o que permite comparar duas empresas de setores diferentes sem arbitrar.
Benchmark próprio
A régua setorial vem de coleta própria, não de uma média de mercado emprestada. O percentil é verificável na origem.
Resultado explicável
O score vem com as dimensões e os contribuidores que mais pesaram. A conversa deixa de ser sobre o número e passa a ser sobre o que o produziu.
Escala sem integração
Sem agente, credencial ou acesso interno, dá para avaliar carteiras inteiras de fornecedores e participadas.
Propriedade intelectual preservada
O modelo é público para revisão externa; o appliance protege os pesos. Dá para auditar o método sem reconstruir o produto.
Escopo
Toda leitura declara o próprio escopo.
A coleta pública tem alcance exato, e ele está escrito aqui. Um número só se defende em comitê quando se sabe o que entrou na conta.
Cinco colunas separam o que foi visto, derivado, declarado e estimado. A última nomeia o que outra evidência decide.
Observado
A coleta pública viu
- Cifras, protocolos e certificados expostos publicamente
- Superfície de rede alcançável a partir da internet
- Sinais de configuração criptográfica dos serviços encontrados
Calculado
O motor IEQ derivou
- Score IEQ de 0 a 100 e faixa de risco
- Dimensões de horizonte, vulnerabilidade, exposição e governança
- Contribuidores que mais pesam no resultado
- Cobertura de sinal alcançada pela coleta
Declarado
A organização informou
- Inventário criptográfico e controles internos
- Marcos de governança do programa de migração
- Vida útil exigida dos dados sensíveis
Inferido
O modelo estimou
- Horizonte adversarial a partir da natureza do dado
- Fallback conservador onde o sinal público não apareceu
- Posição relativa no setor, contra agregados anônimos
Fora do escopo
Outra evidência decide
- Que a organização foi ou será comprometida
- Que o inventário criptográfico está completo
- Conformidade regulatória atestada
- O estado de sistemas que não expõem sinal público
O modo público e o modo completo partem de evidências de naturezas diferentes e ficam em réguas distintas.
Modo público
Sinais que a organização já expõe na internet. Não exige agente, credencial ou integração, o que permite avaliar qualquer entidade, fornecedores inclusive, sem abrir uma janela de mudança.
Modo completo
Amplia o escopo com o que a organização declara: inventário criptográfico, controles internos e marcos de governança.
Os dois modos partem de evidências de naturezas diferentes e ficam em réguas distintas. Um score público de hoje não se compara a um score completo de amanhã: a variação mediria a mudança de evidência, e não a de exposição.
Depois da medição
Quem reduz a exposição é quem opera o ambiente.
Baixar a exposição exige mexer em coisas concretas: um balanceador, um certificado, uma biblioteca, um contrato de fornecedor. Esse trabalho é dos times e dos fornecedores da organização, que têm o acesso e a responsabilidade sobre o ambiente. A GWK mede antes e mede depois, sempre na mesma régua.
A GWK desenvolve a solução EVA, de Exposição, Vulnerabilidade e Adequação, para essa etapa. É projeto em curso, sem escopo fechado e sem data.
Solução EVAEm roadmap
Ler a série sobre medir, mudar e verificar06Metodologia e credibilidade
Método público, sinais verificáveis, números com origem.
Decisão executiva sem caixa-preta: sinais observáveis, metodologia publicada e agregação que preserva privacidade.
Ver a base formal do IEQ100%
independente de integrações
Primeira leitura por sinais públicos, sem acesso aos sistemas.
100%
modelo estatístico revisável
Monte Carlo e Sobol calibram o modelo uma vez. O cálculo por organização é determinístico.
DOI
relatório público
Metodologia e dados agregados publicados para citação e verificação externa.
CC-BY
licença aberta
O relatório pode ser reutilizado e revisado com atribuição.
DOI
Relatório técnico 2026-S1 publicado no Zenodo sob licença CC-BY.
Duas coletas, dois papéis
O relatório público e a régua operacional são coletas distintas, com cortes distintos. Resultados de uma não se somam aos da outra.
A GWK trabalha com duas coletas. O relatório técnico 2026-S1 publica 39.903 organizações em 17 setores sob CC-BY, para que o método possa ser revisado por terceiros. A régua que ordena as comparações setoriais vem da base operacional, com 316.911 empresas no run producao_324k_20260712, corte em 12 de julho de 2026. São coletas distintas, com cortes distintos: nenhuma é amostra da outra, e resultados de uma não se somam aos da outra.
Contra o que esta comparação foi feita
- Data de corte
- 12 de julho de 2026
- Run
- producao_324k_20260712
- População
- 316.911 empresas
- Setores
- 15 setores na taxonomia do motor
- Piso de anonimato
- K = 30
Limites da comparação
- A régua é uma base de referência estática, não uma medição contínua: não há atualização automática entre um run e o seguinte.
- A comparação é sempre contra agregados anônimos, nunca contra o resultado individual de uma organização terceira.
- Um resultado do modo público não se compara a um resultado do modo completo, porque as duas leituras partem de evidências de naturezas diferentes.
Quem é a GWK
Pesquisa profunda, produto direto.
A GWK Security é uma deep-tech de Campinas dedicada a criptografia pós-quântica e medição quantitativa de risco criptográfico. O trabalho combina pesquisa científica, engenharia de dados e produto para apoiar decisões de segurança.
GitHub da GWKMR
Matheus Rufino
Fundador & CEO
Doutor em Física
Lidera a direção científica e estratégica. Autor principal do arcabouço formal do IEQ.
RM
Rafael Duarte Marcelino
Fundador & CTO
Eng. Mecânica · MBA Data Science
Arquitetura de dados, analytics e engenharia da plataforma IEQ. Experiência em setores regulados.
JG
Julio Smanioto Garcia
Fundador & CSO
Física · mestrando
Frente científica de QKD, criptografia pós-quântica e interface com pesquisa experimental.
Publicações
A metodologia pode ser lida, testada e revisada.
Produção científica dos fundadores e um relatório técnico aberto.
arXiv:2605.22569
A Formal Basis for Quantum Cryptographic Exposure Measurement under HNDL Threat
Define matematicamente a exposição criptográfica sob a ameaça HNDL e sustenta a forma do índice.
Rufino, Marcelino & Garcia (2026) · submetido à Elsevier
Abrir publicação
arXiv:2605.24230
Detectability Limits for Intra-Block Temporal Drift in Finite-Key Entanglement-Based QKD
Limites estatísticos para detectar deriva temporal em QKD de chave finita baseada em emaranhamento.
Marcelino, Garcia & Rufino (2026) · Springer Nature (em revisão)
Abrir publicação
DOI 10.5281/zenodo.20767648
Quantum Exposure Index Technical Report 2026-S1: Sector-Level HNDL Exposure
Aplica o IEQ a 39.903 organizações e consolida a exposição HNDL por setor, com prioridades de migração.
Garcia, Marcelino & Rufino (2026) · Zenodo · CC-BY
Abrir publicação07Próximo passo
Comece por um escopo real.
Diga quantas organizações precisam ser avaliadas e qual decisão o resultado vai apoiar.
Score, fatores de risco e prioridade de migração em uma leitura pronta para decisão.