Salak Security
Ver relatórioFalar com especialista
Relatório de exemplo

Como é o relatório de uma auditoria de segurança

Um relatório que a diretoria lê e o time executa: resumo executivo de uma página e uma ficha por achado, com prova, correção recomendada e teste de regressão. Os dados abaixo são fictícios; o formato é o que você recebe.

Quero um relatório do meu sistema
O que você recebe

Um relatório que a diretoria lê e o time executa

  • 01
    Resumo executivoEstado geral, riscos principais, o que foi corrigido e o que falta.
  • 02
    Ficha por achadoSeveridade, OWASP, CWE, local exato, caminho do dado e reprodução.
  • 03
    Testes de regressãoUm teste automatizado por falha corrigida, no seu repositório.
  • 04
    Inventário de componentesSBOM no formato CycloneDX.
  • 05
    Verificação contínuaWorkflow pronto para repetir as verificações a cada PR.
Relatório final · Plataforma Exemploexemplo · commit 4f9a21c

23 falhas encontradas, 2 críticas corrigidas e verificadas antes do deploy. Restam 4 itens de baixa severidade no backlog. Nenhum segredo ativo no histórico.

Total23
Corrigidas19
Abertas4
OWASP10/10
Crítica100%
Alta100%
Média89%
Baixa57%
Ficha por achado

Cada falha com prova, não com probabilidade

Relatório genérico lista "possíveis vulnerabilidades". A ficha mostra a falha acontecendo: a chave lida no pacote publicado, a requisição feita sem login e a resposta com os registros.

Quando a falha é corrigida, a mesma ficha recebe o teste de regressão e a assinatura do revisor independente.

CríticaSEC-012 · exemploA01 · CWE-284

Tabela de pacientes legível sem login pela chave pública do banco

  1. 01Chave pública lida no bundle
  2. 02GET /rest/v1/pacientes?select=*
  3. 03Política de linha ausente
  4. 04200 OK · 1.284 registros
Impacto
Qualquer pessoa na internet lê nome, CPF e histórico de todos os pacientes. Dado de saúde é sensível pela LGPD (art. 11).
Correção recomendada
Ligar RLS na tabela, criar política que limita a leitura ao dono do registro e um teste que tenta ler sem login e precisa receber zero linhas.
Estrutura

Os 11 campos de cada ficha

O mesmo formato em todas as ofertas. Na Auditoria Completa, toda ficha corrigida ganha teste de regressão e verificação.

CampoO que traz
ID e títuloIdentificador único (SEC-012) e o que está errado, em uma frase.
SeveridadeCrítica, Alta, Média ou Baixa, com a justificativa e o prazo de correção recomendado.
OWASP e CWECategoria do OWASP Top 10:2025 e o código CWE, para auditorias e certificações.
Local exatoArquivo e linha, endpoint ou tabela.
Caminho do dadoDe onde a entrada vem até onde ela causa dano, passo a passo.
ReproduçãoOs passos para qualquer pessoa do time ver a falha acontecer.
EvidênciaSaída de ferramenta, requisição e resposta, ou trecho de código. Segredos sempre mascarados.
ImpactoO que um atacante consegue e o que isso significa para o negócio.
Correção recomendadaNa causa, não no sintoma: validar no servidor, não esconder o botão.
Teste de regressãoUm teste automatizado que falha antes da correção e passa depois.
StatusAberto, em correção, corrigido, verificado (só pelo revisor independente), falso positivo ou risco aceito.
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.