O que você não
vê, não pode
Corrigir

São complementares, não substitutos. O Pentest é pontual: um time simula ataques reais para descobrir como um atacante comprometeria seu ambiente — foco em exploração e cadeia de ataque. A Gestão de Vulnerabilidades é contínua: escaneia sistematicamente toda a infraestrutura em busca de vulnerabilidades conhecidas (CVEs), prioriza por risco e rastreia a remediação ao longo do tempo. O Pentest responde "o que pode ser comprometido?"; o VM responde "o que está vulnerável e foi corrigido?". Empresas maduras fazem os dois.

A frequência ideal depende do nível de maturidade e da criticidade do ambiente. Para ativos críticos expostos à internet, recomendamos escaneamento contínuo ou semanal — novas CVEs são publicadas diariamente e janelas de exploração se abrem em horas. Para ambientes internos, quinzenal ou mensal pode ser suficiente como ponto de partida. O CIS Controls v8 recomenda escaneamento automatizado contínuo para organizações maduras. Na prática, iniciamos clientes com escaneamento semanal de ativos externos e quinzenal de internos, evoluindo para contínuo conforme o programa amadurece.

A regra de ouro: priorize pela combinação de criticidade do ativo + severidade da vulnerabilidade + probabilidade de exploração ativa. Uma CVE 9.8 em um servidor interno sem exposição externa é menos urgente que uma CVE 7.5 em um servidor web público com exploits conhecidos em circulação. Nossa metodologia usa CVSS como baseline, enriquecido com EPSS (probabilidade de exploração nos próximos 30 dias), dados de KEV (Known Exploited Vulnerabilities da CISA) e contexto de negócio para criar uma fila de remediação que faz sentido para o risco real, não apenas para os números.

CVSS (Common Vulnerability Scoring System) é o padrão da indústria para pontuar a gravidade técnica de uma vulnerabilidade em escala de 0 a 10. O problema é que o CVSS mede a severidade teórica, não o risco real. Estudos mostram que menos de 5% das CVEs publicadas são ativamente exploradas em ataques. Se você priorizar apenas pelo CVSS, estará gastando energia em vulnerabilidades que ninguém está explorando enquanto deixa passar as que já têm exploit em uso. Por isso usamos o CVSS combinado com o EPSS, que estima a probabilidade de uma CVE específica ser explorada nos próximos 30 dias, e com o KEV da CISA, que lista vulnerabilidades com exploração confirmada em ambientes reais.

A ISO 27001 exige, no Anexo A (Controle 8.8), a gestão de vulnerabilidades técnicas — identificação, avaliação e tratamento em tempo hábil. Um programa de VM documentado, com SLAs, relatórios e evidências de remediação é evidência direta para auditores de certificação. Para a LGPD, o Art. 46 exige que as empresas adotem medidas técnicas adequadas para proteger dados pessoais. Vulnerabilidades não corrigidas em sistemas que processam dados pessoais representam falha de segurança que pode resultar em sanções da ANPD — especialmente se um incidente decorrer de uma vulnerabilidade que já era conhecida. O programa VM fornece o histórico de tratamento necessário para demonstrar diligência regulatória.