Existe uma verdade desconfortável que separa o hacker de fim de semana do profissional empregável: ninguém contrata um pentest porque acha "legal". As empresas contratam por uma de três razões — para gerenciar risco, para cumprir uma exigência legal ou regulatória, ou porque um incidente as assustou. Se você não entende a linguagem de governança, risco e compliance (o famoso "GRC"), você sabe invadir, mas não sabe vender nem contextualizar o que encontrou. E um achado sem contexto de negócio é só uma curiosidade técnica. Esta aula te dá a lente com que o cliente enxerga o seu trabalho.

Vulnerabilidade sozinha não é risco

Comecemos por risco, que tem uma definição operacional precisa e que você deve internalizar: risco é a combinação de uma ameaça explorando uma vulnerabilidade, gerando um impacto. Uma vulnerabilidade sozinha não é risco — um servidor com uma falha crítica que não está exposto a ninguém e não guarda nada de valor representa risco baixíssimo, mesmo sendo "vulnerável". Já uma falha média num sistema que processa pagamentos e está exposto à internet é risco altíssimo. É por isso que priorizar achados apenas pela severidade técnica (o famoso "CVSS") é ingênuo: o profissional maduro pondera a severidade pelo contexto do ativo. Um pentester que entrega dez achados "críticos" sem dizer qual deles realmente ameaça o negócio não ajudou o cliente a decidir onde gastar seu orçamento limitado.

Nem todo risco é para corrigir

Isso nos leva à gestão de risco como ciclo. Toda organização séria faz, de forma explícita ou não, quatro passos: identifica seus ativos (o que ela tem de valioso — dados de clientes, propriedade intelectual, disponibilidade de serviço), identifica as ameaças e vulnerabilidades sobre eles, avalia o risco resultante, e então decide o que fazer com cada risco. E aqui há um conceito que surpreende o iniciante: nem todo risco deve ser corrigido. As quatro respostas possíveis são mitigar (reduzir com controles), transferir (por exemplo, contratar um seguro cibernético), aceitar (conviver com o risco porque corrigi-lo custa mais do que o dano provável) e evitar (descontinuar a atividade que gera o risco). O pentester alimenta esse ciclo — ele revela vulnerabilidades para que a organização possa decidir — mas quem decide é o negócio, não você. Recomendar "corrija tudo" é sinal de imaturidade profissional.

Os nomes que aparecem na reunião

Sobre os frameworks de governança, você não precisa ser auditor, mas precisa reconhecer os nomes que vão aparecer nas reuniões. A ISO/IEC 27001 é a norma internacional de gestão de segurança da informação — quando um cliente diz que está "buscando a certificação ISO 27001", ele quer um sistema de gestão estruturado, e o pentest costuma ser peça desse quebra-cabeça. O NIST Cybersecurity Framework organiza a segurança em cinco funções (Identificar, Proteger, Detectar, Responder, Recuperar) e é referência dominante, sobretudo em contexto americano. Saber onde o seu trabalho se encaixa nesses mapas te faz falar a língua do gestor de segurança que assina o seu contrato.

PCI-DSS: a indústria que contrata por obrigação

E chegamos ao ponto mais concreto de todos: compliance, os direcionadores que obrigam a existência do pentest. O mais importante para a sua carreira é o PCI-DSS — o padrão de segurança para quem processa cartões de crédito — porque ele exige testes de intrusão periódicos. Ou seja: existe uma indústria inteira contratando pentest não por vontade, mas por obrigação normativa, e entender PCI-DSS te abre portas comerciais reais. No contexto de saúde americano há o HIPAA; para empresas de tecnologia que vendem para outras empresas, o SOC 2 é frequentemente o que o cliente corporativo pede antes de fechar contrato. E no Brasil, a LGPD cria o dever de proteger dados pessoais, tornando o pentest uma evidência de diligência. O fio condutor: quando você mapeia um achado a "isso te coloca em não conformidade com o requisito X do PCI-DSS", você deixa de ser um técnico e passa a ser um consultor — e a diferença entre os dois aparece na fatura.

Sem processo vivo, o relatório vira papel

Do lado defensivo — porque prometemos paridade em toda aula —, a contramedida de governança é exatamente construir e manter esse ciclo de gestão de risco de forma viva: inventário de ativos atualizado, classificação de dados, políticas que as pessoas de fato seguem, e a integração dos achados de pentest num plano de remediação com prazos e responsáveis. Um relatório de pentest que entra numa organização sem processo de GRC vira PDF esquecido numa pasta; numa organização madura, ele vira tarefas rastreadas até a correção e o reteste. Guarde isso, porque no Bloco XX, quando escrevermos o relatório, o objetivo será justamente produzir um documento que alimente esse ciclo, e não que morra nele.

Fontes e leituras recomendadas

  • ISO/IEC 27001:2022 e ISO/IEC 27005 (gestão de risco de segurança da informação)
  • NIST Cybersecurity Framework 2.0 (nist.gov)
  • PCI-DSS v4.0 — requisito 11 (testes de segurança), disponível no site do PCI Security Standards Council
  • Managing Risk and Information Security — Malcolm Harkins
  • NIST SP 800-30 (guia de condução de avaliação de risco)

Exercícios

  1. Escreva a definição operacional de risco em termos de ameaça, vulnerabilidade e impacto, e explique por que uma vulnerabilidade isolada não equivale a risco alto.

    ✓ Resposta:

    Risco é uma ameaça explorando uma vulnerabilidade e produzindo um impacto. Uma vulnerabilidade sozinha não gera risco alto se não houver ameaça capaz de explorá-la ou se o impacto for irrelevante — como uma falha crítica num sistema isolado, sem valor e sem exposição.

  2. Quais são as quatro respostas possíveis a um risco identificado? Dê um exemplo de quando "aceitar" é a decisão correta.

    ✓ Resposta:

    Mitigar, transferir, aceitar e evitar. "Aceitar" é correto quando o custo de corrigir o risco supera o dano provável — por exemplo, uma falha de baixo impacto num sistema que será desativado em dois meses.

  3. Por que priorizar achados apenas pelo CVSS pode enganar o cliente?

    ✓ Resposta:

    Porque o CVSS mede severidade técnica isolada, ignorando o contexto do ativo; uma falha "média" num sistema crítico e exposto pode representar risco de negócio maior que uma "crítica" num sistema irrelevante.

  4. Qual framework de compliance efetivamente obriga testes de intrusão e por que isso é relevante comercialmente para o pentester?

    ✓ Resposta:

    O PCI-DSS, que exige testes de intrusão periódicos para quem processa cartões — o que cria uma demanda comercial obrigatória e recorrente por serviços de pentest.

  5. Explique por que "recomendar corrigir tudo" é sinal de imaturidade profissional.

    ✓ Resposta:

    Porque ignora que nem todo risco deve ser corrigido: a decisão pertence ao negócio, que pondera custo, impacto e apetite a risco. O papel do pentester é revelar e priorizar, não impor correção indiscriminada.