A auditoria de segurança confere como servidores, estações, rede e serviços estão configurados e compara com referências públicas reconhecidas. Você recebe a lista de desvios e um plano para corrigi-los.
Todo equipamento e todo sistema da empresa vem com configurações de fábrica pensadas para funcionar, e não para proteger. Com o tempo, entram ajustes feitos às pressas, contas que ninguém revisou, serviços que ficaram ligados sem necessidade e atualizações que não aconteceram. A auditoria de segurança parte de uma pergunta simples: como isto está configurado e como deveria estar? Para responder, usamos como régua os CIS Benchmarks, guias de configuração segura elaborados por consenso de especialistas e publicados pelo Center for Internet Security para sistemas operacionais, serviços, bancos de dados, equipamentos de rede e provedores de nuvem. O trabalho é uma conferência: não tentamos invadir nada, comparamos o que existe com o recomendado. O resultado é um relatório de desvios, em linguagem que a diretoria entende e com detalhe suficiente para o time de TI corrigir, e um plano de correção com ordem de prioridade. Quando a dúvida é se alguém conseguiria explorar o que está mal configurado, o caminho é o pentest, e os dois serviços funcionam bem em sequência.
O que você recebe
- Relatório de desvios entre a configuração encontrada e a referência adotada
- Sumário executivo com o panorama geral e os pontos que mais merecem atenção
- Plano de correção priorizado, com o que ajustar primeiro e por quê
- Inventário dos itens avaliados, útil para a gestão de ativos
- Nova conferência dos pontos corrigidos, com confirmação do resultado
O que cobrimos
Servidores e estações
Conferimos a configuração de sistemas operacionais, contas, permissões e serviços ativos nos equipamentos do escopo.
Rede e acesso
Avaliamos como a rede está organizada, quais regras de acesso existem e se equipamentos como firewalls e roteadores seguem a referência adotada.
Serviços e bancos de dados
Verificamos a configuração dos serviços que sustentam o negócio, como bancos de dados, servidores web e e-mail.
Contas e senhas
Procuramos contas esquecidas, permissões acima do necessário e regras de senha que ficaram para trás.
Indicado para
- Empresas que cresceram rápido e nunca revisaram a configuração do ambiente
- Times de TI que querem uma segunda opinião antes de uma auditoria externa ou de um pentest
- Organizações que precisam mostrar a clientes ou ao regulador que seguem boas práticas de configuração
- Empresas que herdaram um ambiente de outro fornecedor e não sabem o que há nele
Como conduzimos
Definição do escopo e da referência
Escolhemos com você quais ambientes serão conferidos e qual referência pública será usada como régua.
Levantamento da configuração
Coletamos, de forma combinada e com o menor impacto possível, as configurações do que está no escopo.
Comparação e análise
Comparamos cada item com a referência e avaliamos o que realmente importa para o seu negócio, sem listar desvios por listar.
Relatório e plano de correção
Entregamos os desvios, a prioridade e a orientação de correção, e apresentamos o resultado ao time técnico e à gestão.
Nova conferência
Depois das correções, conferimos de novo os pontos ajustados e confirmamos o que foi resolvido.
Perguntas Frequentes
Qual a diferença entre auditoria de segurança e pentest?
A auditoria confere a configuração: compara o que está instalado com uma referência de boas práticas e aponta os desvios. O pentest tenta explorar o ambiente como um atacante faria, para mostrar o que de fato seria possível. A auditoria costuma ser mais abrangente e rápida para achar o que está fora do padrão; o pentest mostra o impacto real. Muitas empresas fazem a auditoria primeiro, corrigem o que ela mostrou e só então testam.
O que são os CIS Benchmarks?
São guias de configuração segura publicados pelo Center for Internet Security, organização sem fins lucrativos, elaborados por consenso de especialistas. Cobrem sistemas operacionais, bancos de dados, equipamentos de rede, provedores de nuvem e outras tecnologias. Servem como régua objetiva para dizer se algo está configurado como a prática recomendada pede.
A auditoria pode derrubar algum sistema?
O trabalho é de conferência da configuração, e o escopo, os horários e os cuidados são combinados antes. Evitamos qualquer ação que possa afetar a operação e alinhamos com o seu time tudo o que exigir acesso aos ambientes de produção.
Preciso seguir todas as recomendações da referência?
Não necessariamente. Uma referência de boas práticas é um ponto de partida, e algumas recomendações podem não fazer sentido para o seu negócio ou conflitar com um sistema legado. Por isso o relatório diferencia o desvio que traz risco real do que pode ser aceito, com a justificativa registrada.
A auditoria substitui uma certificação ou auditoria de norma?
Não. Ela ajuda a se preparar, porque mostra o que está fora do padrão, mas não emite certificação. Certificações dependem de organismos e processos próprios, e a nossa auditoria é uma avaliação técnica da configuração.