A métrica que faz a área de TI parecer mais saudável do que realmente é

O texto original, publicado no CIO.com, aponta três métricas que geram falso conforto em painéis executivos: disponibilidade mensal, cumprimento de SLA e conformidade de patches. Todas calculam médias sobre uma grande população, enquanto o risco se concentra num canto pequeno. Um mês com 99,9% de disponibilidade ainda admite cerca de 43 minutos fora do ar, e o percentual não diz quando eles ocorreram. Quarenta minutos num domingo de madrugada pesam o mesmo que quarenta minutos no fechamento mensal.

No caso dos patches, uma frota 96% atualizada esconde a pergunta que importa: quais são os 4%? Costumam ser o sistema legado que ninguém pode reiniciar ou o appliance gerenciado pelo fornecedor, ativos que um atacante escolheria primeiro. A proposta do autor é trocar os percentuais por três medidas: minutos de interrupção em processos críticos acordados com o negócio, taxa de incidentes repetidos e idade da vulnerabilidade crítica mais antiga ainda sem correção, com exceções vinculadas ao nome do executivo que as aprovou. Os limites de alerta vermelho devem ser definidos antes do período de reporte. As métricas antigas continuam nos painéis das equipes de operação.

A tese conversa com a cobertura anterior do CEVIU, mas não é uma evolução de um mesmo fato. Em 27 de fevereiro de 2026, o CEVIU publicou "Seu sistema está OK. Seus usuários, nem tanto", sobre SLOs de negócio que medem valor ao usuário. Em 31 de março de 2026, veio "Seus Relatórios de Status Estão Mentindo", com foco em sinais estruturais, como filas e retrabalho. Em 11 de julho de 2026, "Ilusão dos 98%" tratou do impacto escondido nos 2% restantes. Agora o argumento chega ao nível do relatório executivo de TI, com a proposta de substituir as métricas por indicadores que podem ficar vermelhos.

Para quem presta contas a diretoria e conselho, a leitura é prática: um painel verde por meses não prova saúde, e a pergunta "quando foi o último mês vermelho?" serve de teste rápido. Para quem cuida de segurança e compliance, listar exceções com o nome do aprovador transforma risco difuso em decisão de gestão. O autor afirma que nada disso exige ferramenta nova, já que histórico de incidentes e dados de vulnerabilidade costumam existir. O custo real é político: aceitar mostrar vermelho antes que um incidente force isso.