Salak Security
Ver relatórioFalar com especialista
Soluções

Pentest e auditoria para plataformas corporativas

Vários perfis, vários times e um relatório que a diretoria entende. Escopo e cronograma definidos em conjunto.

Avaliar meu sistemaVer relatório de exemplo

Plataformas corporativas têm muitos papéis, integrações e ambientes, e o risco está menos em uma falha isolada e mais nas regras de quem pode fazer o quê. A auditoria começa pela modelagem de ameaças de cada fluxo crítico e pela matriz de papéis, e só depois parte para os testes.

O relatório tem duas partes: uma executiva, para a diretoria decidir prioridade e investimento, e uma técnica, com a ficha de cada achado para o time executar.

O que testamos

8 verificações, cada uma com prova

Nenhum item é aprovado sem evidência: saída de ferramenta, requisição ou trecho de código.

  • Modelagem de ameaçasSTRIDE em cada fluxo crítico, com casos de abuso priorizados.
  • Matriz papel × recurso × açãoCada papel testado contra cada recurso, com usuários reais de cada perfil.
  • Isolamento entre clientesEm sistemas multi-cliente, um cliente não vê nem altera dados de outro.
  • Autenticação e MFAMFA para papéis administrativos, SSO, sessão e recuperação de conta.
  • Dados sensíveis pela LGPDInventário de dados pessoais e sensíveis e as proteções de cada um.
  • Exportação e relatóriosQuem exporta o quê, em que volume e se isso fica registrado.
  • IntegraçõesCredenciais de integração, escopo e o que cada parceiro acessa.
  • Logs e alertasAtaques que geram registro e alerta, e falhas que não vazam detalhe interno.
Exemplo de achado

Assim chega cada falha no relatório

Severidade, categoria OWASP e CWE, o caminho que o dado percorre até vazar, o impacto no negócio e a correção recomendada. O exemplo é fictício; o formato é o que você recebe.

Ver o relatório completo →
AltaSEC-031 · exemploA01 · CWE-285

Perfil de recepção acessa prontuários completos pela exportação

  1. 01Login com perfil recepção
  2. 02Tela de agenda sem acesso a prontuário
  3. 03POST /relatorios/exportar?tipo=prontuario
  4. 04200 OK · CSV com prontuários
Impacto
Um perfil sem permissão clínica exporta dados de saúde de todos os pacientes, o que é dado sensível pela LGPD.
Correção recomendada
Conferir o papel no endpoint de exportação, registrar toda exportação e um teste por papel na matriz de acesso.
Como funciona

Quatro passos, nenhum sem evidência

Ver o método completo →
  1. 01

    Escopo e autorização

    Termo assinado com sistemas, ambientes e limites, antes de qualquer teste.

  2. 02

    Inventário e testes

    Rotas, dados sensíveis e testes em staging com cada perfil de usuário.

  3. 03

    Correção pelo seu time

    Cada falha com correção recomendada e teste de regressão.

  4. 04

    Verificação independente

    Quem não participou reproduz, confirma e assina.

Oferta recomendada

Corporativo

O plano Corporativo é sob proposta: escopo, ambientes, cronograma e acordos de nível de serviço definidos com o seu time.

projeto ou contrato anualSob propostacronograma em conjuntoSolicitar proposta
Perguntas

Sobre plataformas corporativas

A correção é feita pelo seu time, com a correção recomendada e o teste de regressão que entregamos. Apoio na implementação é orçado à parte.

Serve para processos de contratação e licitação?

Sim. Entregamos relatório executivo e técnico, termo de escopo e evidências em formato adequado a processos públicos e auditorias de clientes.

Quantos ambientes e sistemas cabem?

O escopo é definido em conjunto. Cada sistema e ambiente entra no termo de escopo com limites e janelas de teste.

Como é o relatório para a diretoria?

Uma página com o estado geral, os riscos principais, o que foi corrigido e o que falta, com a contagem por severidade. O detalhe técnico fica nas fichas.

Guias relacionados
Guia · 10 minOWASP Top 10:2025 explicadoAs 10 categorias, o que mudou desde 2021 e um exemplo real de cada uma.Ler o guia →Guia · 6 minQuanto custa um pentest em 2026Faixas de preço no Brasil, o que muda o valor e o que precisa estar incluso.Ler o guia →
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.