Duas datas, e a distância entre elas
Janela de exposição é o tempo em que um ativo ficou alcançável e vulnerável antes de a organização fechar aquela porta. Mede-se com duas datas: quando o ativo passou a responder na internet naquele estado, e quando ele deixou de responder, foi corrigido ou foi protegido.
A subtração é a janela. É um número em horas ou dias, por ativo, e a mediana do conjunto descreve o programa melhor que qualquer índice composto.
Por que ela é a métrica que sobra
Contagem de vulnerabilidades abertas mede o volume que a ferramenta produz. Duas empresas com o mesmo risco real podem ter 3.000 e 40 itens na fila, dependendo de quantos ativos cada scanner enxerga e de como cada uma classifica.
Percentual de correção dentro do prazo mede aderência a um prazo que a própria organização definiu. Sobe quando o prazo afrouxa.
A janela de exposição não tem essas saídas. Ela é medida contra o relógio do adversário, que ninguém do lado de dentro controla, e por isso não melhora com mudança de critério interno.
Os dois relógios
Existem dois cronômetros correndo sobre o mesmo ativo, e a defesa é a diferença entre eles.
O relógio do adversário começa quando o ativo fica alcançável. Varredura automatizada de internet inteira roda em ciclos de horas, então esse é o prazo real de descoberta do outro lado, independentemente do porte da empresa.
O seu relógio começa quando alguém do time de segurança sabe que aquele ativo existe. Se essa data vem dias depois da primeira, o adversário teve dias de vantagem, e o resto do programa opera sobre um atraso que nenhuma priorização recupera.
O caso em que a métrica não é calculável
Muita organização tenta levantar a janela e descobre que não tem a primeira data.
Isso não é falha de medição. É o resultado. Não saber quando um ativo ficou exposto significa que ninguém está observando a superfície de fora, e essa é a lacuna a fechar antes de qualquer refinamento de priorização.
Vale um cuidado que inutiliza o número quando escapa: medir a janela contra o próprio inventário garante um resultado bom e falso. O ativo que importa para a conta é justamente o que não estava na lista.
Referências práticas
Mediana em horas indica um programa que opera na cadência da mudança. Um dia é aceitável na maioria dos contextos. Uma semana significa que cada ativo novo deu seis dias de vantagem antes de entrar no radar.
Janela e MTTR medem coisas diferentes e costumam ser confundidas. MTTR conta a partir do momento em que o problema entrou na fila. A janela conta a partir do momento em que ele passou a existir, e é por isso que ela captura o atraso que o MTTR esconde.