De vez em quando ouvimos que a Metodologia para Pesquisa de Segurança da Informação com Valor de Auditoria (MIAUW) tornaria os testes de penetração (pentestes) mais caros. Mas será que esse é realmente o caso? Gostaria de explicar porque o MIAUW contribui para a transparência, a qualidade e, em muitos casos, até resulta em redução de custos.
O que é MIAUW?
MIAUW é uma metodologia estruturada para realização de testes de penetração (pesquisa técnica de segurança). Onde o cliente muitas vezes não sabe o que perguntar e como obter orientação real, o MIAUW auxilia nos requisitos de compra e de pesquisa, com ênfase na transparência, reprodutibilidade e valor de auditoria. Ele fornece às organizações uma estrutura clara para planejar, conduzir e avaliar testes de invasão e garante que todos os aspectos principais de uma investigação de segurança sejam documentados. Isto é essencial para cumprir legislações como o GDPR, a Diretiva NIS2 e a próxima Lei de Resiliência Cibernética (CRA). Esta legislação exige que os responsáveis da organização (o diretor) demonstrem que você cumpre a legislação.
MIAUW não torna as investigações de segurança mais caras
O MIAUW não encarece as investigações de segurança, mas ajuda a garantir a conformidade
Ocasionalmente, línguas iradas afirmam que isso aumentaria o custo do pen test. Mas de onde vem essa ideia? Este argumento baseia-se numa série de mal-entendidos. É por isso que gostaria de explicar os aspectos de custo do MIAUW:
- Mais obrigações nem sempre significam custos mais elevados. O MIAUW exige testes de padrões básicos de segurança. Se isso torna mais caro, o que foi testado antes? Menos? Não é o básico? Um pen test sem essas verificações básicas é simplesmente incompleto. Infelizmente, existem vários exemplos conhecidos de investigações técnicas de segurança realizadas pouco antes da ocorrência de um incidente. O ataque não foi grandioso e convincente, mas simplesmente baseado no básico, que não havia sido controlado.
- A reutilização não o torna mais caro, mas economiza custos. MIAUW fornece testes de caneta reutilizáveis. Ao utilizar um relatório de auditor, uma organização pode demonstrar que um teste anterior é confiável. Isso evita que o mesmo software tenha que ser testado repetidamente.
- O trabalho estruturado é um trabalho eficiente. Uma abordagem estruturada como a MIAUW garante que nada seja esquecido. Isso leva a um trabalho mais eficiente e a menos chances de erros, o que, em última análise, economiza custos. Testes não estruturados levam a mais esforço para conseguir o mesmo ou pior ainda: não fazer pesquisas importantes.
- Os custos de um relatório de auditoria são limitados, mas o valor é grande. O relatório de um auditor custa um pouco mais, mas oferece muito valor. Fornece informações claras e confiáveis no nível administrativo e evita discussões demoradas.
- Modelos e documentos gratuitos. Todos os modelos e documentação do MIAUW estão disponíveis gratuitamente. Está disponível em código aberto. Isto reduz a barreira de entrada para organizações que desejam aplicar a metodologia. Você também não precisa pagar por pentest ao usá-lo. Como cliente, você (espero) não precisa pagar custos que seu fornecedor não incorre.
- Ferramentas para agilizar a geração de relatórios. São disponibilizadas ferramentas que simplificam a elaboração de um relatório. Isto economiza tempo e minimiza a carga administrativa. Por exemplo, ouvimos recentemente que criar uma visão geral dos arquivos disponíveis com uma soma de verificação (número de controle) aumentaria o preço. São justamente coisas muito fáceis de automatizar e que, portanto, não economizam tempo. Para ajudar os fornecedores que acham isso complicado, disponibilizamos um script para tirar essa complexidade.
Por que o MIAUW realmente economiza custos
O núcleo do MIAUW é fornecer clareza e transparência. Isto evita a duplicação de trabalho e garante que as organizações saibam exatamente o que foi testado, como foi testado e quais resultados foram registados. Isto torna possível tomar decisões mais informadas e evita mal-entendidos dispendiosos.
A ideia de que o MIAUW torna os testes de penetração mais caros é baseada em um mal-entendido. Na realidade, o MIAUW oferece testes de penetração estruturados e transparentes, que aumentam a confiabilidade e economizam custos no longo prazo. As empresas que aplicam o MIAUW obtêm insights, controlam e reduzem seus riscos, levando, em última análise, a uma segurança mais eficiente e eficaz.