Como entregar relatórios de vulnerabilidades a filiais em dois países

Um cliente estrangeiro pede relatório de vulnerabilidades para matriz e duas filiais. Parte das falhas envolve sistemas compartilhados. Outras dizem respeito a uma única operação e trazem evidências sensíveis. Antes de distribuir, defina quem precisa ver resumo, detalhes técnicos e provas. Um relatório único enviado a todos pode expor ativos ou dados sem necessidade. A entrega precisa indicar responsáveis por correção e estado de cada achado.

Organize achados por ativo e destinatário

Registre identificador, versão do sistema, ambiente, filial, criticidade e evidência. Identifique se a falha é comum ou local. Para falha compartilhada, indique o dono da correção e quais filiais precisam validar. Para caso local, confirme quem recebe o detalhe. O NIST SP 800-115 oferece referências de planejamento, documentação de testes e relatório. Use um índice que permita identificar cobertura, método, limitações e resultado sem enviar todas as provas ao mesmo grupo.

Separe sumário executivo, plano de correção e anexos técnicos. A matriz pode precisar de riscos consolidados e prazo. A equipe local pode precisar de instrução restrita e prova. Uma captura com dados pessoais ou segredo de negócio deve ficar em área autorizada. O guia da ANPD orienta acesso e compartilhamento. Se houver transferência internacional de dados pessoais, avalie o fluxo, os papéis e o mecanismo com responsáveis conforme a Resolução CD/ANPD nº 19. Enviar relatório a outro país não define sozinho se há transferência de dados pessoais. Examine o conteúdo e o acesso efetivo.

Defina o fluxo de correção e nova verificação

Cada achado deve ter responsável, prazo, sistema e condição de reteste. Diferencie status reportado, aceito, em correção, corrigido segundo o dono e verificado. Se a equipe de um país depende de atualização feita na matriz, registre a dependência. Combine o que entra no reteste e como comprovar. Se uma correção muda o escopo, obtenha autorização. Preserve versões e referências para que o comprador encontre o histórico.

O aceite comercial pode ser do relatório, da revisão de prioridades ou do reteste, conforme contrato. Registre quem pode aprovar cada fase. Se as filiais recebem versões diferentes, use identificador comum para ligar os relatórios sem expor detalhes restritos. Na invoice, referencie o marco e a aprovação. Não reproduza conteúdo de vulnerabilidade no documento financeiro. Guarde o aceite com data, versão e canal.

Exemplo com uma matriz e duas filiais

Uma exportadora analisa uma aplicação administrada pela matriz e dois ambientes locais. O relatório encontra um problema comum de configuração e três ocorrências locais. A matriz recebe o sumário e assume a correção comum. Cada filial recebe os próprios detalhes, com acesso restrito. A evidência técnica fica em repositório controlado. A empresa registra responsáveis e prazos por ativo, e o comprador indica quem aprova o relatório consolidado.

Depois da correção, uma filial precisa de mais tempo para atualizar. O reteste marca o achado como verificado em uma e pendente na outra. O cliente aceita o relatório técnico com ressalva para o último teste. A exportadora registra qual marco pode ser faturado e qual etapa ainda depende de evidência, conforme o contrato.

Verifique a distribuição e o aceite

Teste se cada destinatário consegue abrir a versão autorizada e não acessa anexos de outra região. Revise fuso, prazo e responsáveis. Faça amostra de achado comum e local. Confira se os relatórios apontam para a versão certa do sistema. Registre a confirmação e o prazo de acesso. Se uma filial pede compartilhar com fornecedor, confirme permissões, dados e finalidade antes de liberar. Preserve os documentos de aceite e não mantenha acesso aberto após a necessidade.

Inclua no manifesto a classificação de cada anexo e o grupo autorizado. Uma captura sobre a matriz pode incluir nomes ou endereços de rede de uma filial. Revise a composição antes de compartilhar. Se o comprador exige que um parceiro local tenha acesso, confirme finalidade, autorização e prazo. Use um arquivo de exemplo para testar se o link abre apenas para a conta prevista. Quando um ambiente é replicado em dois países, registre versão e configuração de cada um. Uma correção comum pode produzir resultados diferentes.

Antes de encerrar, confirme o critério de reteste por filial. Se o cliente resolve a falha em produção, mas o escopo só autoriza homologação, peça autorização para testar o ambiente pertinente ou registre a limitação. Não troque o destino com base apenas em pedido informal. Para a parte comercial, identifique se o reteste local entra na mensalidade, no marco ou em extra aprovado. Preserve a relação entre versão, país e evidência de aceite. Isso ajuda a explicar uma cobrança parcial sem abrir anexos técnicos a quem só precisa conferir o valor.

Perguntas frequentes

Posso entregar um PDF único a todas as filiais?

Confira o que cada destinatário precisa e os dados autorizados. Use sumário comum e anexos restritos quando o conteúdo exige.

Como tratar falha que afeta dois países?

Registre um achado comum com responsáveis e verificação por ambiente. Indique estados de cada filial.

A correção informada pelo cliente basta para fechar?

Use o critério acordado. Quando há reteste contratado, confirme o ambiente, a versão e o resultado antes de marcar como verificado.

Fontes oficiais

• NIST — planejamento e testes de segurança
• ANPD — Regulamento de Transferência Internacional de Dados
• ANPD — segurança para agentes de pequeno porte

Leituras relacionadas

• Como dividir responsabilidades de proteção de dados na subcontratação
• Guias para exportadores de serviços

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.