A nossa filosofia sobre testes de intrusão

Primeiro: a contagem de achados não mede nada. Um relatório com trinta entradas de risco baixo dá a sensação de trabalho intenso e não muda a exposição de ninguém. Preferimos entregar três achados que descrevem o percurso completo até aos dados dos vossos clientes do que trinta que descrevem cabeçalhos em falta.

Segundo: as falhas que causam incidentes reais raramente têm assinatura. São verificações de autorização em falta num endpoint específico, fluxos de negócio que aceitam ser executados fora de ordem e identificadores que ninguém validou do lado do servidor. Nenhum scanner encontra isto, porque nenhum scanner sabe o que o vosso produto devia fazer.

Terceiro: um relatório que a equipa não consegue usar é dinheiro perdido. Cada achado tem de trazer os passos exatos de reprodução, a evidência, a classificação de risco e a correção recomendada — e tem de ser escrito para quem vai corrigir, não para impressionar quem assina a fatura.

Quarto: comunicar tarde é falhar. Um achado crítico não pode ficar guardado duas semanas à espera do relatório final. Comunicamos no próprio dia, com o detalhe suficiente para a mitigação começar antes de o exercício acabar.

Quinto: os incentivos têm de estar do lado certo. Por isso não pedimos pagamento adiantado, não cobramos reteste e não faturamos quando não encontramos nada de relevante. Se o nosso trabalho for superficial, somos nós a perder — que é exatamente como deve ser.