Objetivo
Entendemos a decisão: lançamento, correção, contrato, auditoria, M&A ou resposta.
Governança da avaliação
Transparência antes, durante e depois do teste.
Um relatório útil começa antes do primeiro request. Definimos objetivo, autorização, escopo, janela, limites e critérios de comunicação para que o resultado seja tecnicamente preciso e comercialmente responsável.
Ciclo de trabalho
Seis momentos para reduzir incerteza.
A sequência é adaptada à modalidade. Red Team, Pentest e Security Review possuem perguntas técnicas diferentes, mas compartilham uma base de autorização e documentação.
Autorização
Registramos quem autoriza, quais ativos entram e quais ações são proibidas.
Reconhecimento
Mapeamos superfície, perfis, fluxos, arquitetura e premissas do ambiente.
Validação
Investigamos e exploramos de forma controlada os cenários compatíveis com o escopo.
Relato
Documentamos evidência, impacto, severidade, limites e recomendação.
Reteste
Quando previsto, repetimos o cenário corrigido e registramos o novo estado.
Escopo responsável
Autorização não é burocracia. É controle de risco.
O escopo protege a operação, as pessoas e a qualidade da evidência. Ele deve declarar alvos, janela, contatos, credenciais, ambiente, limites e critérios de parada.
- Ativos e domínios pertencem à empresa ou têm autorização documentada.
- Produção só entra quando o risco e a janela forem acordados.
- Técnicas destrutivas e acesso a dados reais são evitados ou explicitamente controlados.
- Achados críticos seguem o canal de comunicação definido no projeto.
- Dados recebidos são tratados conforme a política e o contrato aplicáveis.
O que pode ser entregue
Formato definido com a modalidade.
Não existe um pacote universal. A proposta registra cobertura e limitações antes da execução.
Resumo executivo
O que importa para gestão, risco e decisão.
Relatório técnico
Evidências, reprodução e recomendações para correção.
Comunicação durante o projeto
Alinhamentos e achados críticos conforme a regra contratada.
Reteste
Validação posterior quando previsto e tecnicamente aplicável.
Referências e entregas
Práticas reconhecidas, resultado acionável.
Quando pertinentes ao escopo, consideramos OWASP, PTES, NIST e MITRE ATT&CK para organizar a investigação e transformar evidências em prioridades claras.
O que você recebe
- Cobertura definida pelos ativos e cenários contratados.
- Evidências técnicas conectadas ao impacto para o negócio.
- Recomendações priorizadas para orientar a correção.
- Reteste e acompanhamento quando previstos na proposta.