Como documentar autorização de pentest por ativo em projeto internacional

Uma equipe brasileira recebe pedido para testar um aplicativo de cliente estrangeiro. O contrato cita o produto, mas o domínio usa serviços de terceiros e integrações de pagamento. Antes de qualquer teste, obtenha autorização de quem tem direito sobre cada ativo e registre o escopo de forma verificável. Um nome comercial ou um endereço isolado pode abranger sistemas que o comprador não controla. O acordo precisa delimitar o que pode ser testado, em qual janela e quando parar.

Transforme a autorização em inventário

Registre aplicação, ambiente, domínios, contas de teste e identificadores aceitos pelo cliente. Para cada item, indique titular, responsável técnico, autorização, janela e limites. Diferencie produção, homologação e dependências de terceiros. Se um serviço pertence a outro fornecedor, confirme autorização e condições antes de incluir. Um domínio pode redirecionar para componente externo. Estabeleça como a equipe age ao encontrar um ativo fora da lista e a quem pedir esclarecimento.

O NIST SP 800-115 trata de planejamento de testes de segurança e regras de engajamento. Use o documento como referência para estabelecer escopo, responsabilidades, limites e comunicação. O NIST SP 800-53 oferece controles de acesso e auditoria úteis para organizar contas de teste e evidências. O contrato e a autorização do titular devem indicar atividades permitidas, condições e responsáveis. Uma solicitação verbal de alguém que usa a aplicação não comprova autorização suficiente para cada sistema.

Defina janela, impacto e parada

Combine horário, fuso, fonte de comunicação, equipe autorizada e responsáveis de plantão. Defina limites de impacto, restrições de dados e eventos que exigem interrupção. Exemplos são degradação de serviço, contato com dados reais fora do escopo e tráfego para ativo não autorizado. Registre como reportar e aguarde autorização antes de retomar. Use acessos próprios com menor privilégio necessário e prazo. Se o cliente muda uma integração durante a janela, confirme o escopo antes de continuar.

Para evidências com dados pessoais, use as medidas de controle e compartilhamento orientadas pela ANPD. Guarde só o necessário para demonstrar a descoberta, em ambiente restrito. Defina formato de relatório, destinatários e prazo de retenção. Uma captura técnica pode revelar conta ou informação de cliente. Quando possível, use dados fictícios e referência que permita reproduzir de forma autorizada. Separe evidência técnica da comprovação comercial de entrega e aceite.

Exemplo com três ativos e uma dependência

Uma empresa contrata teste de dois ambientes de homologação e uma API administrada por ela. A equipe identifica que o portal redireciona para uma página de um processador de pagamento. O inventário marca o processador como fora de escopo até autorização válida. O teste fica restrito às aplicações aprovadas. No primeiro dia, um ambiente fica instável. A equipe segue a regra de parada, informa o responsável e registra o horário. O cliente confirma a causa e autoriza a retomada apenas no ambiente que está estável.

Na entrega, o relatório indica ativos testados, limitações, janela e evidências. A invoice usa o número do pedido e o marco aceito, sem anexar dados de vulnerabilidade. Se o cliente quiser incluir o processador em outra fase, precisa confirmar autorização, condições e preço. A equipe guarda versões do escopo e decisões para sustentar o aceite.

Confira a autorização antes de cada execução

Compare lista vigente, identidade da equipe, horário e contatos. Se a empresa pede ajuste por chat, valide a alçada e atualize o documento. Teste a comunicação de parada com cenário fictício. No encerramento, revogue acessos temporários e registre evidências devolvidas ou mantidas. Faça revisão de cobertura com ativos autorizados, executados e excluídos. O comprador deve conseguir identificar quais sistemas receberam teste e por que outros ficaram fora.

Inclua também uma forma de confirmar que os ativos autorizados ainda correspondem ao ambiente planejado. Um endereço pode mudar de destino durante uma implantação ou passar a servir outra unidade. Antes de começar, peça confirmação da versão do inventário e da janela. Se o sistema estiver compartilhado com outro cliente, confirme quais contas e dados podem ser usados. O plano deve indicar quem pode parar o teste e como a equipe registra a decisão. Se o contato de plantão estiver indisponível, siga a condição acordada em vez de improvisar nova autorização.

Durante a execução, mantenha um registro de início, pausa, retomada e fim por ativo. Uma ocorrência de disponibilidade pode coincidir com o teste sem ter sido causada por ele. Registre horário, ambiente e o que foi observado para facilitar a investigação. No fechamento, peça ao cliente confirmar quais evidências devem permanecer e qual acesso pode ser retirado. Se existe reteste, indique se a autorização original cobre a nova janela. A proposta pode cobrar o relatório inicial e o reteste em marcos distintos. Guarde a referência de cada aceite, com a moeda e o valor do pedido correspondente.

Perguntas frequentes

Um domínio na proposta autoriza testar tudo que ele usa?

Confirme titularidade e autorização de cada ativo ou dependência. Mantenha fora do escopo o que não foi autorizado.

Quem pode ampliar o escopo?

A pessoa com alçada e direito sobre o ativo, pelo procedimento acordado. Registre a versão e confirme janela e condições.

Como tratar impacto inesperado?

Siga a regra de parada, preserve evidências e avise o contato autorizado. Retome só após a decisão prevista.

Fontes oficiais

• NIST — planejamento e testes de segurança
• NIST — controles de segurança e privacidade
• ANPD — segurança para agentes de pequeno porte

Leituras relacionadas

• Como definir acesso à produção em um contrato internacional de backend
• Guias para exportadores de serviços

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.