Por que o relatório importa tanto
O relatório é o que fica depois do teste. É ele que o time usa para corrigir, que a diretoria usa para decidir e que o cliente ou o auditor recebe como prova. Um teste bom com um relatório ruim vale pouco.
As partes de um bom relatório
- 01Sumário executivo: em 1 ou 2 páginas, o nível de risco, os achados que mais importam para o negócio e o que corrigir primeiro, sem jargão.
- 02Escopo e período: o que foi testado, o que ficou fora, datas e tipo de teste (black, gray ou white box).
- 03Metodologia: a referência seguida (por exemplo, o guia de testes da OWASP) e as limitações do teste.
- 04Tabela de achados: cada falha com severidade, alvo e status.
- 05Achado detalhado: descrição, impacto no negócio, evidência, passos para reproduzir e correção recomendada.
- 06Severidade justificada: normalmente com CVSS, mais o contexto do negócio.
- 07Reteste: a versão final mostra o que foi corrigido e validado.
Sinais de um laudo fraco
- Centenas de itens copiados de uma ferramenta automática, sem prova de impacto.
- Achados sem passo a passo para reproduzir: o time não consegue corrigir nem confirmar.
- Nenhuma falha de controle de acesso ou de lógica testada, só configuração.
- Sem sumário executivo: a diretoria não entende o risco.
- Sem reteste: não mostra que algo foi corrigido.
- Dados pessoais ou senhas reais expostos nas evidências, sem mascaramento.
O que pedir antes de contratar
Peça um modelo de relatório anonimizado. Ele mostra, melhor do que qualquer apresentação, a profundidade do teste e a clareza de quem vai entregar. Pergunte também se o reteste está incluso e se haverá uma reunião para explicar os resultados.
Na Sovereign Tech, todo projeto entrega relatório técnico, sumário executivo, reunião de leitura e reteste das correções.