Checklist: 10 perguntas para saber se seu site está exposto

Não é preciso ser técnico para começar a avaliar o risco do próprio negócio digital. As perguntas abaixo servem como um primeiro filtro — se a resposta for "não sei" em mais de duas ou três delas, isso já é um sinal de que vale investir tempo entendendo melhor a exposição real do sistema.

• O site ou sistema já passou por algum teste de segurança nos últimos 12 meses?
• Alguém na empresa sabe listar quais softwares, plugins e bibliotecas estão em uso e se estão atualizados?
• Existe um processo definido para o que fazer nas primeiras horas depois de um incidente de segurança?
• As senhas de acesso administrativo usam autenticação de dois fatores?
• Ex-funcionários ainda têm algum tipo de acesso a sistemas, painéis ou contas da empresa?
• O backup do sistema já foi restaurado e testado alguma vez, ou só existe "na teoria"?
• Fornecedores e integrações de terceiros têm acesso a mais dados do que realmente precisam?
• A política de privacidade do site reflete o que realmente acontece com os dados coletados?
• Existe algum ambiente de teste ou homologação acessível publicamente, sem senha?
• Se o sistema saísse do ar hoje por um ataque, quanto tempo a empresa levaria para perceber?

O que fazer com essas respostas

Esse checklist não substitui um pentest — ele é o equivalente a um autoexame. Serve para organizar a conversa com o time técnico ou com quem for conduzir o diagnóstico, e para priorizar o que resolver primeiro enquanto uma avaliação mais profunda não é feita.