- Início
- Soluções
- Análise de Vulnerabilidades
- Relatórios e conformidade
Análise de Vulnerabilidades · Recurso
Relatórios de vulnerabilidades e evidências de conformidade
Um relatório que o TI usa para corrigir, a diretoria usa para decidir e a auditoria aceita como evidência da gestão de vulnerabilidades.
O que é
Relatórios de vulnerabilidades e evidências de conformidade, sem complicação
O relatório é o que transforma a varredura em ação. Para cada vulnerabilidade confirmada, ele traz o ativo afetado, a severidade e a prioridade, a descrição da falha e de como um atacante poderia explorá-la, e a medida de correção ou mitigação recomendada.
Um bom relatório tem duas leituras. A visão executiva resume o nível de risco, os principais problemas e as decisões que dependem da gestão. A visão técnica detalha cada achado, com as referências (como o identificador CVE) de que o time precisa para corrigir.
Esse material também serve como evidência. A ISO 27001 tem um controle específico para a gestão de vulnerabilidades técnicas, o PCI DSS exige varreduras periódicas em ambientes de cartão, e a LGPD pede medidas técnicas de segurança para proteger dados pessoais. Relatórios e históricos de varredura ajudam a evidenciar que a empresa identifica e trata suas falhas. A conformidade, porém, também depende de processos, políticas e pessoas: a análise é uma das peças.
Como funciona
Passo a passo
- 01
Consolidação dos achados
As vulnerabilidades validadas são agrupadas por ativo e por tipo, sem duplicidades e sem falsos positivos.
- 02
Descrição e recomendação
Cada falha recebe explicação, forma de exploração possível e a correção ou mitigação indicada.
- 03
Resumo executivo
Os principais riscos e as decisões necessárias são apresentados em linguagem de negócio.
- 04
Apresentação e reteste
O resultado é apresentado ao seu time e, após as correções, uma nova varredura registra o que foi resolvido.
Por que importa
O que muda para a sua empresa
Correção sem adivinhação
Com o ativo, a falha e a recomendação lado a lado, o time de TI sabe exatamente o que fazer e onde.
Diretoria informada
O resumo executivo mostra o tamanho do risco e ajuda a decidir sobre investimentos e prazos de correção.
Evidência para auditorias
Registros datados de varreduras e correções ajudam a demonstrar a gestão de vulnerabilidades em auditorias e avaliações de clientes.
Histórico de evolução
Relatórios de ciclos diferentes mostram se a exposição está diminuindo ao longo do tempo.
Na prática
Situações do dia a dia
Empresa em processo de certificação ISO 27001
Os relatórios de varredura e os registros de reteste são apresentados ao auditor como evidência do controle de vulnerabilidades técnicas.
Fornecedor de um banco
Na avaliação de segurança de terceiros, a empresa apresenta o resumo executivo da última análise e o plano de correção em andamento.
Indústria que precisa justificar orçamento
O TI usa o relatório para mostrar à diretoria quantos servidores estão com sistema fora de suporte e por que a troca não pode esperar.
Na Strema
Como entregamos Relatórios e conformidade
Na Análise de Vulnerabilidades, a Strema entrega o relatório com visão técnica e executiva e apresenta o resultado ao seu time. Depois das correções, o reteste registra o que foi resolvido.
Quando a exigência é provar o impacto real das falhas, o pentest traz um relatório com cada etapa do ataque simulado. Para estruturar processos e políticas além da parte técnica, conheça a Consultoria Técnica.
O relatório garante a certificação ISO 27001?
Não. Ele ajuda a evidenciar um dos controles da norma, a gestão de vulnerabilidades técnicas. A certificação avalia o sistema de gestão como um todo.
A análise atende ao PCI DSS?
Ela apoia a exigência de varreduras de vulnerabilidade. Algumas varreduras externas do PCI DSS precisam ser feitas por um fornecedor aprovado pelo conselho do padrão, o que deve ser verificado caso a caso.
O relatório é entendido por quem não é técnico?
Sim. O resumo executivo é escrito para a gestão, e a parte técnica fica separada para o time de TI.
Como a análise ajuda na LGPD?
A LGPD pede medidas de segurança para proteger dados pessoais. Identificar e corrigir falhas, com registro, é uma forma de demonstrar essas medidas.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de Análise de Vulnerabilidades
Fale conosco
Quer Relatórios e conformidade protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP