Como interpretar um relatório de segurança: guia prático

A primeira reação de quem recebe um relatório de varredura de segurança com 100, 150 itens costuma ser a mesma: pânico, seguido de "por onde eu começo?". A boa notícia é que a maioria desses itens não exige ação nenhuma — são controles que já passaram, ou observações informativas. O trabalho real é separar sinal de ruído.

O que cada campo do relatório realmente significa

Score. É uma nota agregada — geralmente de 0 a 100 — calculada a partir de quantos controles passaram, falharam, e o peso de cada um pela severidade. Um score de 75 não significa "75% seguro" de forma literal; significa que, na ponderação daquele scanner, ainda existem lacunas relevantes, mas nada crítico em aberto (senão o score cairia muito mais).

Severidade. Normalmente numa escala como Crítico → Alto → Médio → Baixo → Informativo. É a dimensão mais importante para decidir ordem de correção — não o número de itens.

• Crítico: exploração ativa e imediata é plausível (ex.: segredo exposto, banco de dados acessível publicamente). Corrige primeiro, sempre.
• Alto: vulnerabilidade real, mas exige mais passos pra ser explorada (ex.: ausência de CSP).
• Médio/Baixo: enfraquece a postura de segurança, mas isoladamente raramente é o vetor de um ataque bem-sucedido.
• Informativo: não é falha — é um dado coletado (tecnologia detectada, certificado válido) que ajuda no diagnóstico geral.

Status. Aprovado, Falha, Observado, Não conclusivo. "Observado" e "Não conclusivo" não são falhas — geralmente significam que o teste não encontrou uma condição de risco confirmada, ou que precisa de mais contexto (acesso autenticado, por exemplo) para concluir. Tratar isso como vulnerabilidade real é um erro comum que faz gestor de TI perder tempo corrigindo o que não precisa.

Evidência. O trecho concreto que sustenta o achado — o header que estava ausente, o valor exato encontrado. Sempre vale reproduzir a evidência antes de aplicar qualquer correção: relatórios refletem o momento da varredura, e algo pode já ter mudado desde então.

A ordem certa de correção

1. Crítico primeiro, sem exceção — mesmo que sejam só 1 ou 2 itens.
2. Alto, priorizando o que tem menor risco de quebrar alguma coisa ao corrigir (ex.: adicionar um header de segurança costuma ser mais seguro de aplicar do que mudar configuração de autenticação).
3. Médio, agrupando por categoria — corrigir todos os headers de segurança de uma vez costuma ser mais eficiente do que ir item por item em ordem aleatória.
4. Baixo e Informativo, quando sobrar tempo — importam para o score, mas não para o risco real do dia a dia.

Erros comuns na hora de agir sobre um relatório

• Corrigir pela quantidade, não pela severidade. Fechar 10 itens de baixo risco dá uma sensação de progresso maior do que resolver 1 item crítico — mas o risco real fica praticamente inalterado.
• Tratar "falha dependente" como item isolado. Alguns achados só se resolvem depois de outro (ex.: a qualidade de uma CSP depende da CSP existir primeiro). Corrigir na ordem errada faz parecer que a correção "não funcionou".
• Não reexecutar a varredura depois de corrigir. Sem verificação pós-correção, você tem uma crença, não uma confirmação — e cabeçalhos e configurações têm um jeito surpreendente de "voltar" depois de um deploy futuro.
• Aplicar tudo de uma vez em produção. Correções de segurança também podem quebrar funcionalidade (uma CSP mal ajustada, por exemplo). Vale aplicar aos poucos, testando cada mudança.

Score não é o objetivo — é o termômetro

O ponto de um relatório de segurança não é "chegar a 100". É ter visibilidade real de onde estão as lacunas, decidir com informação o que vale corrigir agora e o que pode esperar, e acompanhar a evolução ao longo do tempo. Um site que sobe de 60 para 85 ao longo de algumas semanas, corrigindo na ordem certa, está numa posição muito melhor do que um que tenta forçar 100 de score corrigindo tudo de uma vez sem entender o que cada item realmente significa.

Se ainda não tiver um ponto de partida, o checklist de segurança para sites institucionais cobre os itens que mais aparecem nesse tipo de relatório antes mesmo de rodar a primeira varredura.