Os sites de software de gestão costumam mostrar ecrãs montados: conformidade a 98%, tudo verde, nenhum alerta. É compreensível — ninguém quer ilustrar o próprio produto com problemas. O efeito colateral é que o gestor que vai avaliar a ferramenta não consegue reconhecer a sua empresa em nada daquilo.
Optámos pelo contrário. As capturas que estão nas páginas de módulo deste site vêm de um parque verdadeiro, em funcionamento, e os números são os que estavam no ecrã.
O que aparece quando se começa a medir
Alguns exemplos, todos de ecrãs aqui publicados:
- Encriptação de disco com 11,11% de conformidade, para uma meta de política de 95%. Treze volumes de sistema totalmente desencriptados, três chaves de recuperação sem custódia, doze máquinas sem TPM 2.0.
- Antivírus presente em 68,42% das máquinas, firewall em 71,05%, antispyware em 2,63% — e, ao lado de cada um, quanto está efetivamente atualizado.
- Fator de risco de partilhas do parque em 34,33%, calculado sobre 16 dispositivos e 67 pastas partilhadas, várias delas abertas a Todos com acesso completo.
- Índice geral de desempenho em 39,37%, com máquinas que vão de “very good” a “critical” e pelo menos uma com o disco de sistema a 97,79%.
Esta não é uma empresa desleixada. É uma empresa normal, com uma equipa de TI competente, que até à primeira medição não tinha forma de saber nenhum destes números.
Porque é que isto é a boa notícia
Há uma grande diferença entre estar exposto e estar exposto sem o saber. Nenhum dos itens acima é difícil de resolver depois de aparecer numa lista nominal: as partilhas esquecidas fecham-se numa tarde, a encriptação entra por grupo de máquinas, o antivírus em falta passa a ser uma tarefa de instalação silenciosa.
Todo o trabalho estava em ver. É por isso que a primeira medição de um parque costuma ser desconfortável e, ao mesmo tempo, o melhor dia do projeto.
O que mudámos nas imagens, e o que não mudámos
Vale a pena ser explícito, porque isto faz parte do argumento. Nas capturas publicadas, trocámos o que identificava quem: nome de pessoa, conta de utilizador, nome de servidor e de máquina, endereço IP, caminho de pasta que referia um cliente ou organismo. Não mexemos no quê: percentagem, contagem, horário, estado de conformidade e interface estão como estavam.
Trocar um nome de máquina é anonimização. Mudar uma percentagem seria inventar produto — e, se fosse preciso fazer isso para o site ficar bonito, o problema não seria do site.
Como ver as páginas
Cada módulo tem a sua própria sequência, e ela vale mais do que os ecrãs isolados: Inventory começa pelo que existe, Security vai do estado da proteção até à resposta, Metering separa o instalado do usado, Performance desce do parque até uma máquina, Remote mostra o poder e o contrapeso, Deploy mostra o que foi aprovado e o que chegou, e Forensics mostra o que sobra depois de alguém tentar apagar.