Resposta rápida
Peça uma proposta com inventário de ativos, periodicidade, triagem manual, responsáveis, revalidação e critérios claros de exclusão. Uma lista automática de falhas não substitui a gestão de correções.
Publicado em · Atualizado em · Conteúdo educativo, não substitui orientação jurídica.
Defina o que será acompanhado
Liste domínios, aplicações, endereços e ambientes autorizados. Diferencie ativos expostos na internet de sistemas internos e documente responsáveis e janelas de manutenção.
Um orçamento para dois domínios institucionais não pode ser comparado diretamente a outro que inclui dez aplicações autenticadas e infraestrutura em nuvem.
Compare entregáveis, não só ferramentas
Exija evidência reproduzível sem expor dados sensíveis, classificação contextual, indicação de responsável, prazo acordado e histórico dos achados.
Pergunte como o fornecedor lida com falsos positivos, alterações no inventário e riscos que permanecem sem correção.
Transforme avaliação em rotina
Defina a reunião de revisão, o formato do relatório e como uma correção será validada. Contratos de duração determinada ou mensais precisam explicitar reajuste, rescisão e limites.
Solicite uma amostra fictícia de relatório antes da contratação; o material deve estar identificado como demonstração.
Perguntas frequentes
Varredura mensal é pentest?
Não. Uma varredura identifica possíveis falhas; pentest tem objetivo de exploração controlada e escopo próprio.
Como saber se preciso de acompanhamento recorrente?
Quando ativos, fornecedores ou configurações mudam com frequência, um ciclo periódico com responsáveis e evidências pode ser mais útil que uma avaliação isolada. A necessidade depende do risco e do escopo.
Referências e leitura adicional
As fontes são indicadas para consulta. Conteúdo editorial de caráter informativo, sujeito a revisão conforme mudanças nas regras e práticas.