Pentest e SOC no mesmo fornecedor em destaque no mais recente episódio do IT Security Watch

O décimo sexto episódio do IT Security Watch, o podcast da IT Security, é dedicado a um debate crítico: contratar pentest e SOC ao mesmo fornecedor representa uma sinergia de defesas ou um conflito de interesses? O convidado é Artur Martins, CISO e Cybersecurity Strategy Executive Advisor da Logicalis, que defende uma abordagem pragmática baseada em contratualização inteligente.

“Se estou na expectativa de que o fornecedor se audite a si próprio, então é bom que eu peça tipos de medidas, KPI e indicadores acerca do número de vulnerabilidades que ele encontra, ou seja, focando na eficácia da auditoria e não na questão da remediação”, explica Artur Martins. A chave está em desenhar contratos que eliminem incentivos perversos através de métricas de qualidade.

O especialista contesta a visão simplista de que a separação de equipas resolve o problema, alertando para confusões conceptuais no mercado: “muitas vezes o problema está na definição do que é uma auditoria, na definição do que é um auditor”. Artur Martins distingue entre auditores de compliance, que certificam conformidade com frameworks, e pentests de vulnerabilidades, duas funções frequentemente confundidas.

Sobre validação de qualidade, o CISO aponta um paradoxo: “é muito fácil entregar um bom relatório a um cliente quando eu tenho muitos findings (...). O ponto interessante é demonstrar que fizemos um bom trabalho, mesmo que eu não tenha findings”. A metodologia detalhada, incluindo testes que não geraram resultados, é o verdadeiro indicador de qualidade.

Face às exigências regulatórias da NIS 2 e DORA, Artur Martins prevê uma evolução do mercado para modelos híbridos semelhantes às práticas de certificação ISO: auditorias internas extensas preparatórias, seguidas de validação externa curta e certificada. “Um não vive sem o outro (...). Eu não vou deixar de fazer pentest com a minha equipa interna só porque ela também faz o SOC”, conclui.

Todos os episódios do podcast e videocast estão disponíveis no site da IT Security, no YouTube e, também, no Spotify.