S.2Suporte e operaçãoPentest

Testes de segurança

Descobrimos por onde um intruso poderia entrar nos seus sistemas, dentro de limites combinados consigo, e explicamos o risco de cada falha em termos que a direção entende.

Sinais de que precisa disto

  • Um financiador, um auditor ou um cliente pediu provas de que os sistemas estão protegidos.
  • Ninguém voltou a verificar a rede ou o site desde que foram instalados.
  • Houve uma fraude ou uma conta invadida e ninguém sabe se a porta por onde entraram continua aberta.

Poucas organizações sabem ao certo o que deixaram exposto: a conta de um antigo colaborador que ninguém desativou, um equipamento que ainda usa a palavra-passe de fábrica, uma cópia de dados esquecida numa pasta de acesso livre. Nada disto dá sinal até alguém o aproveitar, e nessa altura a descoberta já chega tarde.

Começamos por acordar consigo o âmbito e as datas, para que os testes não interrompam o trabalho. Segue-se uma análise sistemática de vulnerabilidades à rede, aos servidores e às aplicações, e depois testes de intrusão controlados, em que tentamos entrar com os mesmos métodos de quem ataca, sem ultrapassar os limites combinados.

O relatório ordena as falhas por gravidade e explica o que está em risco em termos de negócio. Acompanha-o um plano de correção por prioridades; apoiamos o reforço da configuração dos sistemas e voltamos a testar para confirmar que cada falha ficou fechada. O mesmo relatório serve de prova de diligência perante financiadores, clientes e reguladores.

Como o fazemos

  1. Âmbito acordado

    Definimos consigo o que se testa, quando e o que fica de fora, para não afetar a operação.

  2. Análise de vulnerabilidades

    Percorremos a rede, os servidores e as aplicações à procura de pontos fracos conhecidos.

  3. Testes de intrusão controlados

    Tentamos explorar as falhas encontradas, dentro dos limites combinados, para medir o risco real.

  4. Relatório e plano de correção

    Classificamos cada falha por gravidade e propomos a ordem pela qual convém corrigi-las.

  5. Correção e novo teste

    Apoiamos o reforço dos sistemas e repetimos os testes para confirmar que as falhas ficaram fechadas.

O que fica consigo

  1. Documento de âmbito, acordado antes do primeiro teste
  2. Relatório com cada falha classificada por gravidade e o risco explicado em linguagem de negócio
  3. Plano de correção por ordem de prioridade
  4. Relatório do novo teste, com o estado de cada falha
Mapa técnicoTodas as camadas