Como interpretar indicadores e contagens

Um indicador resume uma seleção de dados. Antes de o apresentar, confirme organização, avaliação, versão, filtros, data e âmbito. Percentagens de percursos diferentes não são automaticamente comparáveis.

Indicadores da avaliação PT/NIS2

Indicador	O que calcula	Limite de interpretação
Postura	Soma ponderada do valor atribuído a cada estado, dividida pelos pesos incluídos; a fórmula da avaliação determina o tratamento dos não aplicáveis	É um índice operacional, não certificação
Cobertura	Itens com estado diferente de Não avaliado, divididos por todos os itens da avaliação, incluindo os marcados Não aplicável	Avaliado não significa conforme
Prontidão da evidência	Itens não marcados Não aplicável que têm pelo menos uma evidência aprovada, não arquivada e atual, divididos pelos itens não marcados Não aplicável	Existência mínima de prova não demonstra suficiência para todos os critérios

Sem denominador adequado, o resultado pode estar indisponível. Não o converta em zero nem em sucesso. A fórmula e o contexto guardados pertencem à avaliação; uma alteração de configuração não deve ser interpretada como reescrita automática do histórico.

ISO e informação operacional

ISO apresenta dimensões próprias: aplicabilidade, implementação, suficiência de evidência e eficácia. Não transfira diretamente o índice PT para esses estados. Confirme também o âmbito do SGSI na fonte.

Contagens de vulnerabilidades, trabalho e relatórios podem ter filtros, paginação ou limites diferentes. Nesta página, nesta seleção e existem mais registos indicam limites relevantes. Um cartão com poucas linhas pode ser uma pré-visualização, não o total da organização.

Exemplo fictício: dez itens avaliados em vinte produzem cobertura de 50%, mesmo que alguns avaliados ainda precisem de melhoria. Os itens Não aplicável também contam como avaliados nesta cobertura. Isso não significa que metade das obrigações legais esteja cumprida.

Se quatro desses vinte itens forem Não aplicável, a prontidão da evidência usa os restantes dezasseis como denominador. Oito com prova aprovada e atual produzem 50% de prontidão. A mesma prova pode apoiar vários itens; este indicador conta itens com prova, não ficheiros carregados.

Tomadas de conhecimento de políticas

No documento, Destinatários é o total esperado da revisão: as pessoas incluídas inicialmente e as acrescentadas explicitamente. Concluídas e Pendentes referem-se a esse conjunto. Uma pessoa inativa ou que perdeu acesso não desaparece do total esperado.

Total com acesso atual responde a outra pergunta: quem pode consultar agora. Elegíveis fora do total esperado identifica pessoas que podem precisar de inclusão explícita no acompanhamento. Use Ver detalhes de cobertura antes de comparar os números; mudar a audiência não reescreve a população já fixada.

Por exemplo, se eram esperadas dez pessoas e oito confirmaram, tornar inativas as duas restantes não transforma o resultado em dez confirmações. Uma nova revisão tem o seu próprio acompanhamento.

Tomar uma decisão

Abra a fonte e confirme as decisões, revisões e dados em falta. Severidade técnica, prioridade organizacional e risco têm metodologias distintas. Uma consulta falhada deve ser apresentada como erro/indisponível, não como ausência de problemas.

Veja relatórios, avaliação ISO e decisões e prova.