Como definir o escopo de um pentest?

Descreva a decisão que o teste deve apoiar

Uma auditoria, o lançamento de uma aplicação e uma mudança de infraestrutura podem exigir avaliações diferentes. Comece pelo motivo do projeto e pelo que a empresa precisa entender ao final.

Com esse objetivo, fica mais fácil escolher as superfícies e definir uma cobertura coerente com o tempo e os acessos disponíveis.

Relacione ativos e dependências

Organize aplicações, APIs, endereços, ambientes e perfis que podem participar do teste. Dependências de terceiros precisam ser identificadas, pois a empresa pode não ter autorização para incluí-las.

• Ambientes e versões que serão avaliados.
• Perfis de acesso e credenciais de teste.
• Integrações envolvidas no fluxo.
• Ativos e técnicas explicitamente fora do escopo.

Defina as condições de execução

A janela de teste deve considerar a operação e as pessoas que poderão apoiar a avaliação. Os responsáveis precisam saber como serão comunicadas situações que exijam atenção.

Registre também os critérios de interrupção. Permissões, restrições e canais de contato fazem parte do escopo tanto quanto a lista de ativos.

Combine o que será entregue

Alinhe o conteúdo dos relatórios, a apresentação dos achados e a forma de priorizar as correções. A equipe técnica precisa de evidências e contexto; a gestão precisa compreender o impacto e as limitações.

Se houver retest, defina quais achados serão reavaliados e como a empresa informará que as correções estão disponíveis.