Este artigo faz parte do guia completo de pentest de aplicações.
Severidade técnica vs. risco de negócio
O CVSS mede o quão explorável e impactante é uma falha em termos técnicos. Ele é útil para comparar vulnerabilidades, mas não conhece o seu negócio.
O risco de negócio soma contexto: quais dados estão expostos, quem alcança o sistema e qual o custo de uma interrupção. Uma falha tecnicamente média pode ser crítica se expõe dados de muitos usuários.
Três perguntas para priorizar
Antes de decidir a ordem, responda com o time: a falha é explorável de fora, sem autenticação? O que um atacante ganha ao explorá-la? Qual o impacto se ela virar incidente?
As respostas ordenam as correções de forma prática, mesmo quando há dezenas de achados.
- É explorável remotamente e sem privilégios?
- Dá acesso a dados sensíveis ou a funções críticas?
- Qual o impacto operacional e reputacional?
Como usar o relatório na prática
Um relatório útil traz, por achado, evidência reproduzível e recomendação. Use isso para agrupar correções por causa comum e evitar retrabalho.
Depois de corrigir, faça o reteste para confirmar. Sem reteste, não há garantia de que o risco foi eliminado.
Perguntas frequentes
Devo corrigir tudo de uma vez?
Não é realista. Priorize pelo risco: comece pelo que é explorável e impacta dados ou dinheiro, e trate o restante por ciclo.