Setores

A mesma plataforma, pressões diferentes.

Banca responde à DORA, saúde ao peso dos dados de categoria especial, retalho ao PCI DSS. O que muda de setor para setor não é a tecnologia — é a pergunta a que se tem de responder, e a quem.

Cenários ilustrativos. Descrevem perfis típicos de cada setor e as obrigações que lhes são aplicáveis. Não descrevem clientes e não contêm métricas de resultado — quando houver casos reais com autorização, serão publicados como tal e identificados.

Banca & seguros

O setor onde testar deixou de ser boa prática e passou a ser obrigação.

Exposto à internet Alcançável por dentro, via sonda O que não se pode perder

Perfil

Instituição financeira com banca digital, aplicação móvel, portal de parceiros e integrações com prestadores de serviços de pagamento. Superfície externa que muda a cada release.

O que costuma escapar

O pentest anual fotografa um dia. Entre auditorias entram dezenas de alterações — um novo endpoint de API, um subdomínio de campanha, uma integração com um parceiro — e nenhuma delas é testada até ao ano seguinte.

A que responde

DORA — Regulamento (UE) 2022/2554: Gestão de risco de TIC e testes de resiliência operacional digital, com testes avançados baseados em ameaças para as entidades assim designadas pelas autoridades.
NIS2 — Diretiva (UE) 2022/2555: Medidas de gestão de risco proporcionais e responsabilização direta do órgão de administração.
RGPD, art. 32.º/1/d): Um processo de teste, apreciação e avaliação regulares da eficácia das medidas de segurança.

Fase 1 · Descobrir

Inventário contínuo do que está exposto, incluindo o que ninguém registou: ambientes de pré-produção acessíveis, subdomínios esquecidos de campanhas antigas, APIs publicadas sem passar pelo processo.

Fase 2 · Provar

Exploração controlada do que parece explorável, para separar o achado teórico do caminho real. Ações sensíveis param e esperam aprovação de quem responde pelo sistema.

O que fica documentado Registo contínuo e datado de cada teste e cada correção, mapeado para os enquadramentos aplicáveis — em vez de um relatório isolado do ano passado.

Ver o percurso completo neste setor

Saúde

Dados de categoria especial, equipamento que não pode parar.

Exposto à internet Alcançável por dentro, via sonda O que não se pode perder

Perfil

Unidade de saúde com portal do utente, marcação online, sistema de informação clínica e equipamento médico ligado à rede. Fornecedores externos com acesso remoto para manutenção.

O que costuma escapar

O teste externo cobre o portal. Não responde à pergunta que interessa num hospital: se alguém entrar pela rede interna — por um posto de trabalho, por um acesso de fornecedor — até onde chega antes de tocar no sistema clínico?

A que responde

NIS2 — Diretiva (UE) 2022/2555: A saúde consta dos setores de elevada criticidade, com obrigações reforçadas de gestão de risco e de notificação de incidentes.
RGPD, art. 9.º e art. 32.º: Dados de saúde são categoria especial: exigem medidas técnicas adequadas ao risco e avaliação regular da sua eficácia.

Fase 1 · Descobrir

Mapeamento das duas frentes: o que está exposto à internet e, através de sonda instalada, o que é alcançável a partir de dentro, incluindo segmentos onde vive equipamento que não se pode atualizar.

Fase 2 · Provar

Validação do caminho até aos dados críticos, com âmbito contratualizado e paragem obrigatória antes de qualquer ação que possa perturbar equipamento em serviço.

O que fica documentado Demonstração documentada de que a segmentação de rede faz o que se diz que faz — que é o que um regulador pergunta depois de um incidente.

Ver o percurso completo neste setor

Setor público

Escrutínio, contratação pública e serviços que não podem falhar.

Exposto à internet Alcançável por dentro, via sonda O que não se pode perder

Perfil

Organismo da administração pública com portais de serviços ao cidadão, autenticação federada e sistemas herdados de várias gerações tecnológicas.

O que costuma escapar

O património tecnológico acumula-se durante décadas e raramente há um inventário fiável. O que não está no inventário não entra no âmbito do pentest — e é precisamente aí que se entra.

A que responde

NIS2 — Diretiva (UE) 2022/2555: A administração pública está abrangida, com responsabilização da gestão de topo e prazos apertados de notificação.
RGPD, art. 32.º/1/d): Testes regulares e prova documentada da sua realização.

Fase 1 · Descobrir

Descoberta que não depende do inventário existente: parte do domínio e encontra o que está publicado, incluindo o que já ninguém sabia que estava no ar.

Fase 2 · Provar

Confirmação por exploração, dentro de um âmbito autorizado por escrito, com trilho de auditoria completo de cada ação — o registo que a tutela e o Tribunal de Contas podem pedir.

O que fica documentado Prova de diligência contínua, não de um exercício pontual, e um registo defensável de quem autorizou o quê e quando.

Ver o percurso completo neste setor

Retalho & comércio digital

Pagamentos, campanhas e uma superfície que cresce a cada época alta.

Exposto à internet Alcançável por dentro, via sonda O que não se pode perder

Perfil

Retalhista com loja online, aplicação móvel, integrações de pagamento e um conjunto de microsites de campanha criados ao ritmo do marketing.

O que costuma escapar

Os microsites de campanha nascem depressa, ficam no ar depois de a campanha acabar e nunca entram no âmbito de nada. São o ponto de entrada mais barato para quem procura.

A que responde

PCI DSS v4.0, requisito 11.4: Testes de intrusão internos e externos com periodicidade definida e após alterações significativas, com correção e reteste dos achados exploráveis.
RGPD, art. 32.º: Medidas adequadas ao risco do tratamento de dados de clientes e de pagamento.

Fase 1 · Descobrir

Varrimento contínuo do perímetro, que apanha o que foi publicado esta semana sem esperar pela janela de teste do próximo trimestre.

Fase 2 · Provar

Validação por exploração do que é realmente alcançável, para a equipa não gastar sprints a corrigir achados teóricos enquanto o caminho real continua aberto.

O que fica documentado Reteste automático depois da correção: a prova de que o problema fechou, que é o que o requisito de reteste pede.

Ver o percurso completo neste setor

Tecnologia & SaaS

A segurança do produto é argumento de venda — ou objeção.

Exposto à internet Alcançável por dentro, via sonda O que não se pode perder

Perfil

Empresa de software com plataforma multi-inquilino, entregas contínuas e clientes empresariais que enviam questionários de segurança antes de assinar.

O que costuma escapar

Com entregas semanais, um relatório de pentest fica desatualizado no mês seguinte. E é esse o relatório que se envia ao cliente que faz a diligência.

A que responde

ISO/IEC 27001:2022, controlos A.8.8 e A.8.29: Gestão de vulnerabilidades técnicas e testes de segurança no desenvolvimento e aceitação.
NIS2 — Diretiva (UE) 2022/2555: Prestadores de serviços digitais estão abrangidos, e os seus clientes passam a exigir prova ao longo da cadeia de fornecimento.

Fase 1 · Descobrir

Cobertura que acompanha o ritmo de entrega, em vez de um exercício que fotografa uma versão que já não está em produção.

Fase 2 · Provar

Confirmação por exploração de que o isolamento entre inquilinos aguenta — a pergunta que qualquer cliente empresarial faz numa plataforma partilhada.

O que fica documentado Evidência atualizada para responder a questionários de segurança e para sustentar o ciclo de certificação, sem parar a equipa a preencher folhas de cálculo.

Ver o percurso completo neste setor

Demonstração personalizada

Veja a DIANA em ação.

Uma operação ao vivo num âmbito de exemplo: da descoberta à exploração validada, com aprovação humana e o relatório de evidências gerado na sessão.

Agendar demonstração Falar com um especialista