Como definimos o que pode e o que não pode ser testado (regras de engajamento)

Antes de qualquer teste começar, escopo e regras de engajamento são formalizados por escrito. Escopo define o quê será testado; regras de engajamento definem como esse teste pode ser conduzido.

O que costuma entrar nas regras de engajamento

Horários permitidos para testes mais invasivos, se testes de negação de serviço são autorizados (normalmente não são, pelo risco de indisponibilidade real), quais técnicas de engenharia social são permitidas (se houver esse componente no escopo), e um canal de comunicação de emergência para o caso de uma vulnerabilidade crítica ser encontrada e precisar de ação imediata do cliente antes mesmo do relatório final.

Por que isso protege o cliente

Sem regras claras, um teste poderia, em tese, causar indisponibilidade real de um sistema em produção, ou acessar dados fora do que o cliente realmente autorizou. As regras de engajamento existem para que o cliente saiba exatamente os limites do que vai acontecer, sem surpresas.

Por que isso protege quem executa o teste

No Brasil, acessar sistema de terceiros sem autorização é crime previsto em lei. As regras de engajamento, junto com o contrato e o termo de autorização, são o que torna o pentest uma atividade legal e legítima — sem esse documento assinado antes do início dos testes, não existe pentest profissional, existe risco jurídico para as duas partes.

Isso pode estar acontecendo agora na sua empresa

A Sovereign Tech faz diagnóstico técnico de segurança digital para empresas que não podem parar. Fale agora com a equipe pelo WhatsApp e entenda o que priorizar primeiro no seu sistema.