Pentest contínuo, na medida da sua operação

Abaixo de 50

Não dá para testar o que não se enxerga, e o atacante não espera a lista ficar pronta: ele monta a dele com ferramentas públicas em horas. Antes de qualquer teste, levante o que a empresa expõe na internet, com um dono por ativo. A primeira versão incompleta já muda o escopo de qualquer conversa sobre teste.

De 50 a 79

A superfície é conhecida em parte, e a parte desconhecida é justamente a preferida do atacante: ele procura o esquecido, não o vigiado. Vale confrontar a sua lista com uma enumeração externa feita de fora para dentro. A diferença entre as duas é o seu ponto cego.

80 ou mais

Superfície mapeada e com donos é a fundação certa nas suas respostas. O próximo ganho é a atualização contínua: superfície de ataque muda a cada deploy, e o mapa de seis meses atrás descreve outra empresa.

Abaixo de 50

Sem teste conduzido por gente, a segurança do ambiente é uma hipótese que nunca foi confrontada. Scanner cobre o conhecido; falha de lógica e encadeamento de falhas pequenas só aparecem quando alguém tenta. Um primeiro teste nos ativos mais expostos transforma a hipótese em lista de fatos.

De 50 a 79

O teste existe, mas como evento: acontece quando a auditoria pede ou quando sobra verba. O salto desta faixa é amarrar o teste a gatilhos do ambiente: mudança grande, sistema novo, integração nova. O risco nasce no ritmo do negócio, não no ritmo do calendário.

80 ou mais

Cadência estruturada nas suas respostas. O refinamento seguinte é variar profundidade e técnica por criticidade: o sistema que processa pagamento merece mais tempo de teste do que o site institucional, e teste sempre igual vira rotina que o ambiente aprende a passar.

Abaixo de 50

Teste ofensivo sem autorização escrita expõe a empresa e quem testa: juridicamente, não há diferença entre um teste informal e um ataque. Escopo, janela, alvos e contato de emergência num documento assinado é o mínimo antes de qualquer tentativa. Isso vale também para o teste rápido de gente de dentro.

De 50 a 79

A autorização existe, mas as bordas estão soltas: terceiros, nuvem, o que fazer diante de um achado grave. São as bordas que geram incidente no meio do teste. Uma regra de engajamento padrão, revisada por quem responde pelo jurídico, resolve isso uma vez e serve para todos os testes seguintes.

80 ou mais

Regras de engajamento maduras nas suas respostas. Mantenha o documento vivo: cada provedor de nuvem atualiza as próprias políticas de teste, e o contato de emergência de dois anos atrás pode já não trabalhar aí.

Abaixo de 50

Um teste cujo relatório não vira correção só produziu um documento confidencial descrevendo como invadir a empresa. Antes do próximo teste, dê destino ao anterior: cada achado com dono, prazo por criticidade e status verificável. É a parte menos glamourosa do ciclo e a que define se ele vale alguma coisa.

De 50 a 79

Os achados entram num fluxo, mas a correção trata o sintoma apontado, não o padrão. Quando o teste acha uma falha, a pergunta seguinte é onde mais o mesmo erro foi repetido: a resposta costuma multiplicar o valor do relatório sem custar outro teste.

80 ou mais

Correção estruturada nas suas respostas. O ganho seguinte é realimentar o começo do ciclo: padrões que reaparecem em teste viram requisito de desenvolvimento e verificação de build, e a falha para de nascer.

Abaixo de 50

Sem reteste, corrigido é uma declaração, não um fato: parte das correções não fecha a falha, fecha só o caminho que o relatório descreveu. Exigir nova tentativa de exploração após cada correção crítica é o hábito que transforma relatório em segurança. Sem evidência reproduzível, nem dá para saber o que retestar.

De 50 a 79

O reteste acontece, mas depende de quem lembra ou do que a agenda permite. Formalize: correção crítica só encerra com nova tentativa de exploração documentada. E cobre evidência dos relatórios; achado sem passo a passo reproduzível gera discussão, não correção.

80 ou mais

Ciclo de reteste funcionando nas suas respostas. O refinamento é o histórico: medir quanto tempo cada criticidade leva entre achado, correção e reteste dá o número que a diretoria entende e o argumento de orçamento que o time técnico precisa.

Abaixo de 50

Se só a aplicação web principal é testada, o ambiente tem frentes inteiras sem confronto: a API que serve o aplicativo, a configuração da nuvem, a rede interna atrás do perímetro. O atacante escolhe a porta menos vigiada, não a mais famosa. Amplie o escopo na ordem do que mais expõe dado crítico.

De 50 a 79

O escopo vai além do site, mas ainda tem território virgem, e rede interna costuma ser o maior deles. Um teste partindo da premissa da credencial comprometida responde a pergunta que importa: caiu o perímetro, o que sobra? A resposta costuma reorganizar prioridades.

80 ou mais

Cobertura ampla nas suas respostas. O passo seguinte é encadear as frentes como o atacante faz: da API à nuvem, da estação à rede interna, num cenário contínuo em vez de testes isolados. É onde aparecem os caminhos que nenhum teste de frente única revela.