Teste de segurança e penetração de TI

Os dados de auditoria de segurança de TI abrangem relatórios de testes de penetração, resultados de verificação de vulnerabilidades, resultados de auditoria de segurança da informação e registros de incidentes de segurança que demonstram a postura de segurança cibernética de uma organização. Os testes de penetração simulam ataques do mundo real para identificar vulnerabilidades exploráveis. As verificações de vulnerabilidades fornecem identificação automatizada de vulnerabilidades conhecidas em sistemas e software. Os relatórios de auditoria ISO 27001 fornecem avaliação independente dos sistemas de gestão de segurança da informação. A resposta a incidentes registra eventos de segurança de ativos e a capacidade de resposta da organização. Esta evidência é exigida pela Lei de Resiliência Cibernética da UE, DORA, Artigo 32 do GDPR e regulamentos de segurança cibernética específicos do setor.

As regulamentações de segurança cibernética exigem cada vez mais evidências registradas de práticas de segurança – e não apenas políticas e procedimentos. A Lei de Resiliência Cibernética da UE exige que os fabricantes realizem testes de vulnerabilidade e mantenham os resultados dos testes registrados. A DORA exige que as entidades financeiras realizem avaliações regulares de risco de TIC, testes de penetração e gestão de vulnerabilidades – tudo com provas registadas. O artigo 32.º do RGPD exige medidas técnicas e organizacionais adequadas – as provas de auditoria de segurança demonstram que medidas estão em vigor e que são eficazes. Sem provas registadas de auditoria de segurança de TI, as organizações não podem provar que cumpriram as suas obrigações de segurança cibernética.

Os relatórios de teste de penetração registram metodologia de pentest interna e externa, descobertas, caminhos de exploração, evidências e status de correção – necessários para relatórios de vulnerabilidade CRA e testes de penetração liderados por ameaças (TLPT) DORA. Os resultados da verificação de vulnerabilidades de ferramentas como Nessus, Qualys, OpenVAS e Rapid7 detectaram vulnerabilidades de ativos com classificações de gravidade, sistemas afetados e rastreamento de correção. Os relatórios de auditoria ISO 27001 de organismos de certificação credenciados fornecem avaliação independente da implementação e eficácia do SGSI. A resposta a incidentes registra cronogramas de incidentes de segurança de ativos, métodos de detecção, avaliações de impacto, ações de contenção e análises pós-incidentes – fornecendo evidências de detecção de incidentes e capacidade de resposta exigida pelo GDPR, DORA e CRA.

Relatórios de auditoria de segurança, resultados de testes de penetração, exportações de varredura de vulnerabilidades e registros de resposta a incidentes são carregados no Sustalium. Os resultados são mapeados para as estruturas relevantes de conformidade de segurança cibernética: descobertas de pentest para registros de conformidade CRA e registros de risco de TIC DORA, varreduras de vulnerabilidade para requisitos de gerenciamento de vulnerabilidade DORA e evidências de ação preventiva ISO 27001, registros de incidentes para preparação para notificação de violação do GDPR e obrigações de monitoramento pós-mercado CRA. Sustalium rastreia prazos de correção e cronogramas de novos testes, garantindo que as vulnerabilidades identificadas sejam abordadas dentro dos prazos exigidos e que as evidências de correção sejam registradas.

A Lei de Resiliência Cibernética (CRA) da UE exige que os fabricantes realizem testes de vulnerabilidade e mantenham evidências registradas de gerenciamento de vulnerabilidades durante todo o período de suporte do produto. A DORA (Lei de Resiliência Operacional Digital) exige avaliações regulares de risco de TIC, testes de penetração e gestão de vulnerabilidades para entidades financeiras. O Artigo 32 do GDPR exige medidas de segurança registradas adequadas aos riscos do processamento de dados pessoais. A Lei da UE sobre IA exige provas de testes de segurança para sistemas de IA de alto risco. A ISO 27001 exige auditorias internas, análises gerenciais e evidências de ações corretivas. Regulamentações específicas do setor (serviços financeiros, cuidados de saúde, infraestruturas críticas) têm requisitos adicionais de auditoria e testes de segurança cibernética. Os compradores empresariais exigem cada vez mais evidências de auditoria de segurança como condição de aquisição.