NORMAS

Medido segundo normas publicadas.

Não uma metodologia própria com pontuação própria. Cada constatação que reportamos traz uma técnica, uma classe de fraqueza, uma função de framework e uma pontuação que qualquer um pode recalcular.

OWASP WSTG

Web Security Testing Guide

A metodologia de referência para testar aplicações web. Define a ordem do trabalho num pentest web, por isso a cobertura é uma checklist e não uma questão de quem o executou.

OWASP MASTG

Mobile Application Security Testing Guide

O equivalente para aplicações móveis — armazenamento, interação com a plataforma, criptografia e as verificações de qualidade de código de que um build móvel precisa.

PTES

Penetration Testing Execution Standard

A forma de ponta a ponta de um projeto: delimitação prévia, recolha de informações, modelação de ameaças, exploração e reporte.

MITRE ATT&CK

Táticas e técnicas adversariais

Cada constatação que reportamos traz uma técnica ATT&CK. É obrigatória no nosso esquema, por isso podes mapear o que encontrámos com o que a tua deteção já cobre.

CWE

Common Weakness Enumeration

A classe da fraqueza subjacente, não apenas o seu sintoma — para que os teus programadores reconheçam o mesmo erro noutras partes do código.

NIST CSF 2.0

Cybersecurity Framework 2.0

Não estamos certificados nele — não existe um certificado NIST CSF. As nossas avaliações estão alinhadas com o NIST CSF 2.0: avaliamos a tua organização face às suas seis funções e mostramos-te, função a função, onde já cumpres o framework e onde ficas aquém. Govern está no centro do CSF 2.0 — política, supervisão e risco da cadeia de fornecimento, exatamente o terreno que a maioria dos questionários de segurança cobre.

GV
GovernNo centro
Contexto organizacional, estratégia de risco, papéis e responsabilidades, política, supervisão e gestão do risco da cadeia de fornecimento.
ID
Identify
Inventário de ativos, avaliação de riscos e identificação de vulnerabilidades.
PR
Protect
Controlo de acesso, formação de sensibilização, segurança de dados e manutenção.
DE
Detect
Monitorização contínua e análise de eventos de segurança.
RS
Respond
Gestão de incidentes, comunicação, análise e mitigação.
RC
Recover
Restauro, planeamento de continuidade e comunicação pós-incidente.

CVSS v3.1

Common Vulnerability Scoring System

Uma pontuação que qualquer um pode recalcular a partir do vetor, em vez de uma severidade atribuída a olho. Circula entre fornecedores sem tradução.

ISO/IEC 27001

Anexo A — 93 controlos

Não somos um organismo de certificação acreditado e não emitimos o certificado ISO 27001. Avaliamos a tua organização face aos 93 controlos do Anexo A, ponto por ponto, e entregamos-te provas de onde estás — para que entres na auditoria formal sabendo exatamente o que falta fechar.

CERTIFICAÇÕES