O que inclui um teste de intrusão e como se preparar

Um teste de intrusão (pentest) simula, de forma controlada, o ataque de um terceiro para encontrar vulnerabilidades antes que um atacante real o faça.

O que inclui

• Definição do escopo: quais sistemas são testados (aplicações web, APIs, aplicativos móveis, infraestrutura) e o que fica de fora.
• Regras de engajamento: datas, horários, técnicas permitidas e contatos de emergência.
• Testes: reconhecimento, busca de vulnerabilidades e verificação de sua explorabilidade.
• Relatório: achados priorizados por risco, evidências e recomendações claras.
• Plano de remediação: ações concretas e, se acordado, uma nova verificação após as correções.

A autorização por escrito é indispensável

Todo teste deve contar com autorização por escrito do dono dos sistemas. Acessar sistemas sem permissão pode constituir crime; na Colômbia, por exemplo, a Lei 1273 de 2009 tipifica o acesso abusivo a sistemas informáticos.

Como se preparar

1. Faça o inventário dos sistemas e de quem é responsável por cada um.
2. Defina o escopo e os objetivos: conformidade, validação antes de um lançamento, revisão anual?
3. Avise as equipes internas e os provedores que hospedam os sistemas, se for o caso.
4. Faça cópias de segurança e defina um plano de comunicação para incidentes.
5. Designe uma pessoa responsável por receber o relatório e coordenar a remediação.

Testes de segurança para aplicações de IA

As aplicações com IA trazem riscos próprios, como instruções maliciosas que manipulam o modelo, vazamentos de dados ou agentes com permissões excessivas. Convém incluí-las no escopo quando sua organização usa agentes ou assistentes de IA.