Resposta direta
A medição começa pela contagem de valores distintos mantidos em texto, não de ocorrências. O registro por segredo inclui o fluxo em que aparece, o tempo entre criação e troca ou revogação e quantas identidades conseguem lê-lo. A exposição acumulada combina esses três fatores. A série ao longo do tempo mostra se a redução vem de remoção real ou de mudança de local. A métrica é de controle, não de conformidade: serve para priorizar fluxos e verificar se a correção permaneceu após a próxima alteração.
- Objetivo
- Explicar medição
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Mede o segredo em texto por valor distinto, janela e alcance de leitura, com série para acompanhar a redução; não repete a política de restrição de acesso.
A unidade é o valor distinto
Um mesmo segredo pode aparecer no código, na configuração, no histórico de execução e em uma cópia de teste. Contar ocorrências infla o número e esconde o problema real. A unidade de medida é o valor distinto: um segredo, um registro.
Para cada valor, a ficha mínima tem local, leitores, data de criação e data de revogação. Sem esses campos, o total não indica prioridade. Um segredo antigo com leitura ampla pesa mais do que vários valores recentes restritos a uma conta.
Janela e alcance mudam o total
A contagem isolada trata como iguais um segredo que ficou válido por uma tarde e outro que atravessou várias trocas de equipe. A exposição acumulada usa dias de validade e número de identidades com leitura. O resultado é uma medida de esforço: quanto tempo e quantos leitores estiveram expostos ao mesmo valor.
A série ganha sentido quando é comparada com a mudança que a originou. Remover uma cópia do código reduz o total; restringir a leitura reduz o alcance; encurtar a validade reduz a janela. Cada ação altera uma parte diferente da fórmula. A responsabilidade pelo número fica com o dono do fluxo, não com quem faz a varredura.
O que a métrica não prova
Um total baixo não significa que não exista segredo em texto. A medição cobre o que foi encontrado e registrado; valores em passos manuais, anotações fora do fluxo ou sistemas sem inventário ficam de fora. Ausência de achado é ausência de cobertura, não prova de ausência.
A métrica também não indica se o valor ainda funciona. Um segredo pode estar em texto e já ter sido revogado, ou pode estar fora do fluxo e continuar ativo. A verificação de validade é um controle separado. Em ambientes com mudança frequente, a série perde precisão se a coleta não acompanhar a mesma cadência das alterações. Nesses casos, o número serve para orientar revisão, não para encerrar o assunto.
Recurso prático
Exposição acumulada de segredo em texto
Exposição acumulada = soma (dias com o segredo válido × identidades com leitura) por segredo em texto
- dias com o segredo válido
- dias
- Intervalo entre a criação do valor e sua troca ou revogação, contado por segredo distinto. Quando a criação não é conhecida, o intervalo começa na primeira evidência de uso registrada.
- identidades com leitura
- identidades
- Pessoas, contas de serviço e sistemas com permissão de ler o fluxo, o repositório ou o histórico de execução onde o valor aparece.
- segredos em texto
- segredos
- Valores distintos mantidos em texto no fluxo, contados uma vez cada, independentemente do número de cópias.
O erro comum é contar ocorrências e ignorar cópias em histórico de execução, logs e variáveis de ambiente. A contagem mais útil é por valor distinto e por caminho de leitura.
Sobre o que está escrito aqui
Conceitos relacionados: segredo em texto · fluxo de automação · janela de exposição · alcance de leitura · rotação de credencial. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Credenciais expostas: o que avaliar antes de… — credenciais expostas
- Disparos sem aprovação: como mapear onde o fl… — ações sem aprovação
Páginas relacionadas
O mesmo problema em outro objetivo
- Segredo em texto no fluxo: onde está e o que verificar — Diagnosticar
- Segredo em texto no fluxo: onde ele aparece e quem responde — Organizar um processo
- Segredo em texto no fluxo: o que cada alternativa protege — Comparar alternativas
- Segredo em texto no fluxo: onde aparece e o que substituir — Orientar implementação
- Segredo em texto no fluxo: o que exigir na contratação — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Chave de API sem validade: como medir o risco — Registro e acompanhamento de chaves de API sem data de expiração, com critério de idade, uso e responsável para decidir troca ou revogação.
- Chave de API sem prazo de validade: onde fica o controle — Aborda chaves de API sem expiração: posse, escopo, rotação por evento, revogação testável e o que registrar para manter o controle.
- Credencial sem rotação: o que medir para saber o risco — Medição de credenciais sem rotação periódica: quais dados levantar, como priorizar a troca e o que a medição não resolve.
- Credencial sem rotação: o que comparar antes de decidir — Compara alternativas de controle quando a credencial não pode ser trocada com frequência: o que cada opção reduz, o que fica em aberto e o critério de decisão.
- Credencial compartilhada: como implementar o controle — O que definir quando a credencial de automação passa por várias pessoas: dono, forma de uso, registro e gatilho de troca.