Um teste de verdade vai tão fundo quanto um atacante iria — e o RoE assinado é o que torna essa profundidade segura. Doze cláusulas. Cada uma está aqui porque a ausência dela é o que transforma um teste de segurança numa discussão. Preencha as lacunas, apague o que não se aplica ao trabalho e mantenha a numeração — seu cliente vai se referir a ela pelo número.
Quem assina precisa ter poder para autorizar o teste em nome da organização. O técnico que opera o sistema geralmente não é essa pessoa.
Por que esta cláusula existe: A autorização é a única coisa que separa um teste de segurança de um incidente. Ela tem de vir de quem pode dar, e tem de ficar registrada com nome, e-mail e data.
Um por linha, escrito por inteiro. Sem abreviação e sem "e subdomínios".
A regra que governa o documento inteiro: o que não está nesta lista não está autorizado.
Por que esta cláusula existe: "E tudo mais que for do cliente" é onde moram os acidentes — um host de terceiro que só parece ser do cliente, um IP de hospedagem compartilhada com outras quatro empresas. A lista explícita é a sua defesa.
Por que esta cláusula existe: Um IP compartilhado é a armadilha clássica: o alvo resolve para um host que também serve empresas que nunca autorizaram nada. Nomear a exclusão é mais barato do que explicá-la depois.
Por que esta cláusula existe: Profundidade é a diferença entre "achamos uma porta" e "nós entramos". Aumentá-la depois é escopo novo, e escopo novo pede um RoE novo assinado — não uma edição neste.
Fora dessa janela, nada roda.
Por que esta cláusula existe: Combine a janela com quem opera o sistema, não só com quem assina. Quem assina raramente sabe que o fechamento mensal roda no terceiro dia útil.
Seja honesto sobre a identificação. Algumas etapas usam identificações variadas, inclusive deliberadamente parecidas com um navegador comum ou com uma ferramenta de varredura conhecida, porque parte do que se avalia é justamente como os controles reagem a cada uma. Serviços de rede — SMB, LDAP, SSH, bancos de dados — não têm campo equivalente.
O que separa este teste de um incidente real não é o rótulo no tráfego. É esta autorização e a janela acima.
Por que esta cláusula existe: Sem um teto de taxa combinado, um teste pode derrubar um serviço frágil, e a conversa seguinte é sobre prejuízo, não sobre segurança.
Descreva na linguagem do cliente, de acordo com o que você efetivamente contratou. Uma base que funciona:
Por que esta cláusula existe: Um cliente que não sabe o que foi feito não distingue um achado de uma opinião. Esta cláusula é o que sustenta o relatório depois.
Por que esta cláusula existe: Prometa apenas o que o trabalho de fato não faz. Uma lista fixa de exclusões nobres, impressa num trabalho que faz o contrário, é o tipo de contradição que o cliente assina sem perceber — e descobre no pior momento possível.
Teste ativo não é observação passiva. Diga isso com todas as letras:
Por que esta cláusula existe: Essa é a conversa que ninguém quer ter depois. Assinada antes, o incidente passa a ser algo que estava previsto.
Pare o teste imediatamente em qualquer destes casos: um serviço fica indisponível, há perda de dados, um achado crítico mostra exposição ativa, ou o cliente pede para parar.
Por que esta cláusula existe: Regra de parada que ninguém consegue executar é decoração. Os dois contatos têm de estar alcançáveis durante a janela — ou seja, um celular, não uma fila de tíquetes.
Se qualquer parte do processamento acontece em infraestrutura que não é sua — análise, comparação entre avaliações, qualquer coisa que saia dos seus próprios sistemas —, diga aqui, e diga onde. Não escreva "nenhum dado sai do nosso ambiente" se algum dado sai.
Por que esta cláusula existe: Promessa de sigilo que a sua operação não cumpre é a promessa que vai te pegar numa auditoria. A cláusula que te protege é a que descreve o que acontece de verdade, inclusive as partes que você preferiria não mencionar.
Por que esta cláusula existe: Editar um documento assinado destrói a única coisa para a qual ele servia. A assinatura prova o consentimento a um texto específico; mude o texto e você fica com uma assinatura de algo que ninguém aceitou.
Onze linhas para percorrer antes de mandar o documento para assinatura. Cada uma existe porque deixá-la passar é inofensivo até o dia em que não é.
Esses quatro são o que responde à pergunta "quem autorizou este teste?" meses depois, quando quem assinou já saiu da empresa e só resta o seu registro.
Por que esta cláusula existe: O quarto é o que todo mundo esquece. Uma assinatura presa a um escopo que foi editado depois não prova absolutamente nada.
Copie, preencha os campos entre colchetes, envie. É curto de propósito: os três pontos abaixo são exatamente aqueles sobre os quais os clientes voltam com dúvida.
[Nome],
Antes de qualquer teste, preciso da sua autorização por escrito. Em anexo (ou no link abaixo) estão as Regras de Engajamento: o que vai ser testado, quando, com que limites, o que não vai ser feito e qual o impacto possível.
Três pontos que eu gostaria que você lesse com atenção:
Se estiver de acordo, assine [no link / no documento] e me devolva. Nada começa antes disso.
Qualquer dúvida, me ligue em [telefone] — estou disponível durante toda a janela do teste.
[Assinatura]
Tudo acima funciona no papel, e é no papel que normalmente quebra: o escopo é editado depois da assinatura, a janela foi combinada numa conversa de chat, e seis meses depois ninguém consegue dizer o que exatamente foi autorizado. Esta parte descreve como as mesmas doze cláusulas se comportam quando uma plataforma as impõe. Ela é factual de propósito — este kit foi escrito para ser repassado ao seu próprio cliente, então não vende nada.
Por que esta cláusula existe: A cláusula 12 é a que uma plataforma consegue cumprir e um PDF não. Uma assinatura amarrada por hash a um escopo congelado não pode ser silenciosamente ampliada depois — que é exatamente a falha que este documento inteiro existe para prevenir.
Reproduzido como está hoje na página de assinatura, porque a cláusula 11 só vale o tanto que for honesta:
"Os achados ficam armazenados na plataforma Wardizon. Quem conduz o teste, a sua organização e, para suporte e auditoria, a Wardizon podem acessá-los. Para conduzir a avaliação, analisar os achados e compará-los entre avaliações, os dados desta avaliação — como alvos, tecnologias detectadas, evidências e achados — são processados na infraestrutura da Wardizon, no Brasil, e na de suboperadores, nos EUA. A lista de suboperadores está disponível sob pedido a quem conduz o teste. Os dados de cada organização são isolados dos das demais, e o acesso à plataforma é feito por conexão protegida (HTTPS)."
Note o que ele não diz. Ele não promete que nenhum dado sai, e não promete que nenhum achado é compartilhado — porque a análise e a comparação entre avaliações de fato processam dados em suboperadores. Uma versão anterior deste texto fazia essa promessa, e ela foi removida por ser mais larga que a verdade. É esse o padrão a que a cláusula 11 pede que você se submeta.
