Milhares de riscos e nenhuma ideia de por onde começar: o redesign do Risk Assessment no 1Secure™

É segunda-feira de manhã. Você abre seu painel de segurança, café na mão, e é isto que vê: 573 riscos altos.

Isso é ruim? Provavelmente. É pior do que no mês passado? Difícil dizer. Qual você corrige primeiro? Isso vai levar um tempo para descobrir.

Esse foi o ponto de partida de um dos problemas de UX mais desafiadores em que já trabalhei para o 1Secure, a plataforma SaaS da Netwrix para segurança de dados e identidades. Os dados eram precisos, mas um número sem significado é só ruído. Então nos perguntamos: “Como podemos transformar esse ruído em algo acionável?”

O teste dos 30 segundos

No início do projeto, estabelecemos uma meta desconfortável: um administrador de segurança deveria entender sua postura em menos de 30 segundos. Não “encontrar a informação se procurar a fundo”. Entender no momento em que a página carrega, com o café ainda na mão.

Essa restrição eliminou algumas das soluções mais óbvias, como uma simples contagem de riscos. Contar não é entender, então ela falha no teste imediatamente.

Então passamos a uma pontuação de risco com uma escala clara, zonas claras e uma frase honesta que diz onde você está.

O Risk Assessment se baseia no PingCastle, uma ferramenta em que as equipes de segurança confiam há anos para saber em que pé está o Active Directory. A análise por trás dele é sólida, então mantivemos o que funcionava e reconstruímos a forma de comunicá-la. A pontuação é ponderada, o que importa mais do que parece. Uma descoberta de alta gravidade que afeta 12 contas de administrador pesa muito mais do que um objeto de computador obsoleto em uma OU de staging, então o número reflete o impacto, não apenas o volume.

E não paramos em dizer às pessoas onde elas estão. Também mostramos para onde elas estão indo:

Get +12 pts to reach Fair

Transformamos um número em um próximo passo. Você vê exatamente quantos pontos separam você da próxima zona e quais correções levam até lá.

Seu progresso é o ponto central

Algo que ouvimos repetidamente em nossa pesquisa: o trabalho de segurança é incessante e, às vezes, invisível. Você corrige 12 problemas e ninguém percebe. Mas quando o 13º quebra, todo mundo percebe.

Por isso, tornamos o progresso impossível de ignorar. A pontuação muda conforme você remedia os riscos, e cada correção traz um ponto de valor visível. As tendências mostram se você está subindo ou caindo em relação ao mês passado.

Focus center: o recurso pelo qual todos se apaixonaram

Se eu tivesse de escolher o elemento mais validado do redesign, seria este.

Focus center responde à pergunta com que todo administrador abre a página: “De tudo o que está quebrado, o que faço agora?” Você não recebe uma lista de 573 itens nem um filtro de gravidade para configurar. Em vez disso, ele mostra os poucos itens com maior impacto na sua postura, cada um com o que custará ignorá-lo e o que você ganhará ao corrigi-lo.

Os usuários adoraram porque ele eliminava uma decisão que eles não queriam tomar. Priorizar é exaustivo, então fizemos isso por eles.

Também adicionamos selos de contexto, New e Regressed, porque “isto acabou de aparecer” e “isto voltou depois que você já o corrigiu uma vez” são situações emocionais e operacionais muito diferentes, e merecem reações diferentes.

Você sabia? Transformando dados em frases

Os números dizem o que está acontecendo, mas as frases dizem o que isso significa.

• 3 contas de administrador têm senhas com mais de 3 anos e continuam ativas em vários tenants.
• Os riscos de autenticação e protocolo aumentaram 18% neste mês, a categoria de risco que mais cresce.

São insights que você pode levar direto a uma reunião com o seu CISO sem montar um único slide. Essa foi uma necessidade real dos usuários que ouvíamos o tempo todo: relatórios de postura consomem horas, e ninguém gosta de traduzir manualmente painéis para a linguagem executiva. Este recurso é um bom lembrete de que as melhores ideias surgem quando design e produto enfrentam um problema juntos.

Cada risco, pelo ângulo que importa para você

Entender sua postura rapidamente é uma coisa. Trabalhar nela é outra.

Agrupamos All risks por categoria por padrão porque uma lista plana de centenas de descobertas não diz onde está o problema, mas uma lista de áreas diz. Identidade e privilégios representando 35% da sua pontuação é uma conversa muito diferente de 7% em lacunas de logging, e muitas vezes é uma equipe diferente que precisa corrigir cada uma. Cada categoria também mostra como evoluiu desde o mês passado, para que você veja tanto o que está crescendo quanto o que é grande.

Mas categoria não é a forma de pensar de todo mundo. Um arquiteto de segurança tende a trabalhar a partir de um framework, um responsável por conformidade a partir de uma regulamentação. Por isso, ambos estão a um clique: os mesmos riscos, uma lente diferente. Essa era nossa hipótese inicial, e queremos validá-la com uso real.

E isso é só a superfície

Abra qualquer risco individual e você obtém a história completa: qual é de fato o problema, por que ele importa e o que ele afeta. Mas, mais importante, você ganha uma saída: uma remediação pronta que você pode aplicar diretamente ou uma conversa com IA para explorar abordagens alternativas quando a correção padrão não se adequa ao seu ambiente.

Identificar um risco é a parte fácil; fechá-lo é onde está o trabalho.

O que levei deste projeto

A parte mais difícil deste projeto foi resistir à vontade de mostrar tudo.

Cada stakeholder tinha um gráfico de que gostava. Cada conjunto de dados tinha uma história que queria contar. Mas cada elemento que considerávamos adicionar precisava passar pela mesma pergunta: “Isso ajuda alguém a entender sua postura mais rápido?”

Uma quantidade surpreendente de bom design é subtração.

Entregamos um painel que diz onde você está, para onde está indo, o que corrigir primeiro e o quanto você avançou, tudo em menos de 30 segundos.

O que é, penso eu, o mínimo que uma equipe de segurança merece numa segunda-feira de manhã.

Comece sua jornada com o 1Secure Risk Assessment

Veja o 1Secure Risk Assessment em ação. Explore a experiência com dados de sandbox ou conecte seu próprio ambiente por meio do nosso teste guiado e simples.