O que a nota é
Security rating é uma pontuação que resume, num número ou numa letra, a postura de segurança observável de uma organização a partir de fora. Certificados, configuração de e-mail, serviços expostos, presença em vazamentos públicos, reputação de rede.
Tudo isso é coletado sem colaboração da empresa avaliada, e é essa característica que dá utilidade à nota: ela existe para todos os seus fornecedores, hoje, sem precisar pedir nada a ninguém.
Para que ela serve bem
Triagem. Com trezentos fornecedores e capacidade de fazer diligência profunda em vinte, a nota diz por onde começar.
E tendência. A leitura mais valiosa de um rating está na direção, e não no valor absoluto de hoje: um fornecedor que caiu dois níveis em quatro meses está passando por alguma coisa, e essa é a hora de perguntar.
O que ela não sustenta
Decisão de capital. A nota não é dinheiro, não é probabilidade e não tem unidade que entre em planilha. Perguntar quanto custa não fazer nada e receber "B menos" não move orçamento nenhum. Para isso existe a quantificação de risco, que devolve valor financeiro com premissa escrita.
Julgamento de risco absoluto. Nota alta descreve higiene externa boa, o que é diferente de segurança interna boa. Empresa com nota excelente e sem segmentação de rede continua sendo empresa sem segmentação de rede, porque isso não é observável de fora.
De onde vêm as diferenças entre provedores
Duas notas para a mesma empresa podem divergir bastante, e a causa quase nunca é qualidade de coleta.
É atribuição. Decidir quais ativos pertencem àquela organização é a parte difícil, e cada provedor resolve isso de um jeito. Contar um domínio a mais ou a menos muda a nota, e o cliente avaliado costuma discordar exatamente aí.
Por isso a primeira pergunta a fazer a um provedor de rating não é sobre metodologia de pontuação. É sobre como ele decide o que é seu, e o que acontece quando você discorda.
Onde ela se encaixa
Rating resume; inventário lista. As duas coisas respondem perguntas diferentes, e a confusão entre elas produz o erro comum de tratar a nota como se fosse a superfície.
Um programa de gestão de risco de terceiros usa o rating para ordenar atenção e usa o levantamento detalhado para decidir. Usar só a nota é comprar um resumo sem nunca ler o texto.