A nossa garantia
No Findings, No Pay: o risco do teste de intrusão é nosso
Quase todas as empresas de testes de intrusão são pagas mesmo quando entregam um relatório vazio. Achamos que isso alinha os incentivos ao contrário — e resolvemos o problema da forma mais simples possível.
Sem adiantamento. Sem achados relevantes, sem fatura.
A ideia
Porque é que fazemos isto
Quem compra um teste de intrusão pela primeira vez enfrenta sempre o mesmo problema: não tem como avaliar a qualidade daquilo que está a comprar antes de receber o relatório. E, quando o recebe, não tem forma independente de saber se o que lá está é tudo o que havia para encontrar.
O No Findings, No Pay não resolve esse problema por completo, mas retira-lhe o pior: se fizermos um trabalho superficial e não encontrarmos nada de relevante no âmbito acordado, não somos pagos. O incentivo passa a estar do lado certo, que é o de procurar a sério.
Juntamos-lhe uma segunda condição, igualmente invulgar: não pedimos qualquer pagamento adiantado. A totalidade do valor é faturada depois de o trabalho estar concluído e de o cliente estar satisfeito com os entregáveis. Se o relatório não corresponder ao que foi acordado, ainda estamos a tempo de o corrigir antes de haver fatura.
A terceira peça é o reteste. Corrigir uma falha sem confirmação independente é meio trabalho. Por isso o reteste é gratuito e sem limite de repetições: voltamos a testar as vezes que forem precisas até podermos escrever, preto no branco, que o achado está fechado.
Condições
Como funciona na prática
O âmbito fica escrito
A proposta define exatamente o que é testado. A garantia aplica-se a esse âmbito, para que não haja interpretações divergentes no fim do trabalho.
O critério fica escrito
O que conta como achado relevante é definido antes de começarmos, em termos de severidade e de impacto, e não depois de vermos o resultado.
O exercício é completo
A garantia pressupõe que executamos o exercício até ao fim, com o tempo planeado. Não é um pretexto para encurtar o trabalho.
Sem adiantamento
Não há sinal nem pagamento por fases. A faturação acontece uma única vez, no fim, após a aceitação dos entregáveis.
Reteste incluído
Validamos as correções sem custo adicional e sem limite de repetições, até podermos confirmar formalmente o encerramento de cada achado.
Vale também no modelo contínuo
Num programa recorrente, a garantia aplica-se por ciclo: um ciclo sem achados relevantes no âmbito acordado não é faturado.
Conformidade
E se o teste não encontrar nada?
Um relatório sem achados críticos continua a ser um documento útil — e continua a servir para efeitos de auditoria.
RGPD
O artigo 32.º pede prova de que as medidas técnicas são testadas com regularidade, não prova de que existem falhas. O relatório documenta âmbito, metodologia e datas, e serve na mesma perante a CNPD — mesmo quando a conclusão é favorável.
NIS2
Para as entidades abrangidas em Portugal, o que tem de ficar demonstrado é a existência do processo e a sua periodicidade. Um resultado limpo é uma boa notícia para o dossiê, não uma lacuna.
ISO 27001 e SOC 2
Os auditores procuram evidência de teste independente e do ciclo de correção quando aplicável. Entregamos o relatório completo, com ou sem achados, e a confirmação de reteste sempre que tiver havido correções.
Questionários de clientes
O resumo executivo pode ser partilhado com clientes e parceiros para responder a processos de avaliação de fornecedores, sem expor detalhes que ajudem alguém a atacar-vos.
Perguntas frequentes
Dúvidas sobre a garantia
Também lhe pode interessar
Ponha-nos à prova
Peça um orçamento sem adiantamento e sem risco. Se não encontrarmos nada de relevante, não há fatura.
Pedir orçamento