Page 18 - newDATAmagazine | 13>05>2022

O nível do modelo de maturidade de Desta forma, importa selecionar com
desenvolvimento seguro da organização irá
influenciar em muito o quão eficiente e de
limitada duração poderá ser a atividade de
pentesting.
Para que tal seja possível, é necessária a
introdução de processos e tecnologias que, de
forma estruturada, integrada e eficiente,
p e r m i t a m c o n t r i b u i r p a r a
desenvolvimentos cheguem à fase de
pentesting com níveis de maturidade de
desenvolvimento seguro muito elevados,
ajudando a reduzir o esforço necessário para a
atividade de pentesting. Permite ainda reduzir
o esforço das equipas de desenvolvimento
associado à alterações de código para a
adequada correção das incidências
identificadas.
Selecionar a equipa
Sendo uma atividade que lida com
informação sensível, muito focada em
atividades executadas por especialistas, em
que se pretende que os resultados sejam, de
facto, uma mais valia para todo o processo de
gestão da cibersegurança da organização, é
essencial garantir que o pentesting seja
executado de forma profissional, ética e
estruturada. Assim, importa garantir que quem
os executa detém as necessárias qualidades
para o fazer, quer a nível de capacidade
técnica, bem como elevados níveis de ética, e
que todo o processo tenha em conta os riscos
associados.
Alguns destes riscos passam, por exemplo,
pelo acesso da equipa de pentesting a
informação crítica da organização e seus
clientes, podendo, em casos extremos, existir
impactos inesperados nos sistemas e
aplicações alvo dos testes, ou ainda
conhecimento técnico insuficiente por parte
de quem executa os testes.
18 newDATAmagazine.com
precaução quem serão os intervenientes
nestas atividades, quer sejam elementos
internos ou externos à organização.
Da perspetiva de capacidade técnica, será
essencial avaliar a experiência dos
especialistas que irão executar os testes em
projetos semelhantes, bem como outros
q u e o s
indicadores de níveis de conhecimentos
necessários. Um destes indicadores é, sem
dúvida, as certificações específicas nesta
área, que, não sendo uma garantia por si
mesmas, mostram alinhamento com o tipo de
conhecimento necessário para realizar
atividades de pentesting.
Destacamos neste campo as certificações
da Offensive Security tais como o OSCP, OSWE
ou OSCE, certificações da SANS GIAC tais
como o GPEN, GWAPT ou GXPN, e ainda
certificações do CREST tais como o CRSA,
CRT, CCWAT ou CCIT, não sendo, no entanto,
esta lista exaustiva.
Sendo que, durante todo o processo de
teste, se lida com informação potencialmente
sensível da organização e dos seus clientes, é
essencial garantir a idoneidade dos
intervenientes, nomeadamente através de
background checks, validando o histórico
profissional e registo criminal, por exemplo. É
ainda essencial garantir a existência de
acordos de confidencialidade que assegurem
que a informação não poderá ser divulgada a
terceiros.
No caso de ser um fornecedor externo,
importa ainda avaliar de que forma é tratada
toda a informação referente aos testes, de que
forma é armazenada, quem a ela tem acesso,
como é transmitida e, finalmente, como é
destruída no final da atividade.