Teste de intrusão vs. validação de segurança: o que usar e quando

O que oferece um teste de intrusão

Num teste de intrusão, testadores experientes tentam penetrar nos sistemas dentro de um âmbito e de um período acordados. Pontos fortes: criatividade, compreensão da lógica de negócio, análise aprofundada de aplicações específicas. Limites: mostra a situação num determinado momento e, na maioria dos casos, é realizado apenas uma ou duas vezes por ano.

O que oferece a validação de segurança contínua

A validação de segurança, frequentemente designada Breach and Attack Simulation (BAS) ou teste de intrusão automatizado, reproduz de forma controlada técnicas de ataque conhecidas. Mostra continuamente que passos são bloqueados, detetados ou passam despercebidos e, após cada correção, verifica de novo se a falha ficou realmente fechada.

Quando precisa de quê

• Teste de intrusão: antes do lançamento de novas aplicações, para análises aprofundadas de sistemas críticos, quando a regulamentação o exige expressamente.
• Validação: para a prova contínua de que as medidas de proteção funcionam, após alterações e para confirmar correções.
• Ambos em conjunto: os resultados do pentest alimentam a validação e passam a ser monitorizados de forma permanente.

Regulamentação: NIS2 e DORA

A NIS2 exige políticas e procedimentos para avaliar a eficácia das medidas de gestão de riscos. O DORA exige às entidades financeiras um programa de testes de resiliência operacional digital; determinadas entidades significativas têm ainda de realizar, pelo menos de três em três anos, testes de intrusão baseados em ameaças (TLPT). A validação contínua não substitui estes testes obrigatórios, mas fornece as evidências contínuas entre eles.