Sites de software de gestão costumam mostrar telas montadas: conformidade em 98%, tudo verde, nenhum alerta. É compreensível — ninguém quer ilustrar o próprio produto com problema. O efeito colateral é que o gestor que vai avaliar a ferramenta não consegue reconhecer a própria empresa em nada daquilo.
Optamos pelo contrário. As capturas que estão nas páginas de módulo deste site vêm de um parque de verdade, em operação, e os números são os que estavam na tela.
O que aparece quando se liga a medição
Alguns exemplos, todos de telas publicadas aqui:
- Criptografia de disco em 11,11% de conformidade, para uma meta de política de 95%. Treze volumes de sistema totalmente descriptografados, três chaves de recuperação sem custódia, doze máquinas sem TPM 2.0.
- Antivírus presente em 68,42% das máquinas, firewall em 71,05%, antispyware em 2,63% — e, ao lado de cada um, quanto está efetivamente atualizado.
- Fator de risco de compartilhamento do parque em 34,33%, calculado sobre 16 dispositivos e 67 pastas compartilhadas, várias delas abertas para Todos com acesso completo.
- Índice geral de performance em 39,37%, com máquinas indo de “very good” a “critical” e pelo menos uma com o disco de sistema em 97,79%.
Esta não é uma empresa desleixada. É uma empresa comum, com equipe de TI competente, que até a primeira medição não tinha como saber nenhum desses números.
Por que isso é a notícia boa
Há uma diferença grande entre estar exposto e estar exposto sem saber. Nenhum dos itens acima é difícil de resolver depois que aparece numa lista nominal: os compartilhamentos esquecidos se fecham em uma tarde, a criptografia entra por grupo de máquinas, o antivírus ausente vira tarefa de instalação silenciosa.
O trabalho todo estava em enxergar. É por isso que a primeira medição de um parque costuma ser desconfortável e, ao mesmo tempo, o melhor dia do projeto.
O que nós mudamos nas imagens, e o que não
Vale ser explícito, porque isso é parte do argumento. Nas capturas publicadas, trocamos o que identificava quem: nome de pessoa, conta de usuário, nome de servidor e de máquina, endereço IP, caminho de pasta que citava cliente ou órgão. Não tocamos em o quê: percentual, contagem, horário, estado de conformidade e interface estão como estavam.
Trocar um nome de máquina é anonimização. Mudar um percentual seria inventar produto — e, se fosse necessário fazer isso para o site ficar bonito, o problema não seria do site.
Como olhar as páginas
Cada módulo tem uma sequência própria, e ela vale mais do que as telas isoladas: Inventory começa pelo que existe, Security vai do estado da proteção até a resposta, Metering separa instalado de usado, Performance desce do parque até uma máquina, Remote mostra o poder e o contrapeso, Deploy mostra o que foi aprovado e o que chegou, e Forensics mostra o que sobra depois que alguém tentou apagar.