Como é a primeira reunião de escopo de um pentest

Antes de qualquer tentativa de exploração começar, existe uma etapa que a maioria dos clientes nunca vê ser discutida em detalhe, mas que é a mais importante do projeto inteiro: a definição de escopo.

O que é definido nessa conversa

A reunião de escopo define, por escrito, o que exatamente será testado — quais domínios, quais sistemas, quais ambientes — e, igualmente importante, o que fica de fora. Também define o tipo de teste (caixa-preta, caixa-cinza ou caixa-branca), o período em que os testes vão ocorrer, e se o ambiente testado é produção ou homologação.

Regras de engajamento

Além do escopo, essa reunião estabelece as regras de engajamento: o que é permitido tecnicamente (por exemplo, se testes de negação de serviço estão autorizados, o que normalmente não está), quais contatos técnicos do cliente precisam ser avisados durante o teste, e o canal de comunicação para o caso de uma vulnerabilidade crítica ser encontrada e precisar de ação imediata, antes mesmo do relatório final ficar pronto.

Por que isso protege as duas partes

Esse alinhamento formal protege o cliente, porque garante que nada será testado fora do combinado, e protege quem executa o teste, porque cria a autorização documentada que diferencia um pentest legal de uma invasão — no Brasil, acessar sistema de terceiros sem autorização é crime, então esse documento não é burocracia: é o que torna o teste legítimo.

Critérios de sucesso

Por fim, a reunião de escopo alinha o que conta como entrega: um relatório técnico com vulnerabilidades priorizadas por gravidade, evidências de exploração, e recomendações de correção que a equipe técnica do cliente consiga de fato executar — não uma lista genérica copiada de um scanner automático.