Relatório executivo de segurança
Um PDF para gestores e diretores que mostra como estava a segurança no período anterior, o que melhorou e quais riscos ainda pedem atenção, gerado na hora ou enviado por e-mail todo mês ou trimestre.
O Executive Security Report (relatório executivo de segurança) é um PDF escrito para gestores, diretores e CISOs. Ele responde três perguntas sobre um período: como estava a segurança antes, o que de fato melhorou e quais riscos ainda pedem atenção ou uma decisão. Ele cobre só os módulos que a sua organização tem ativos e é escrito em texto corrido, com os números que sustentam cada frase.
Você encontra o relatório em Reports, no menu lateral do portal, logo abaixo de Dashboard.
O que o relatório traz
| Seção | O que mostra |
|---|---|
| Capa | Problemas encontrados e corrigidos no período, problemas abertos no fim dele, quantos desses já passaram do prazo de correção e uma barra por gravidade. |
| Resumo | Três parágrafos curtos e cinco indicadores: problemas encontrados, problemas corrigidos, tempo típico para corrigir, parcela das correções feitas no prazo e abertos com prazo vencido. |
| Comparação | O período frente ao anterior, indicador por indicador, com a variação marcada como melhor, pior ou estável. |
| Ano até aqui | Nas edições trimestrais, cada trimestre do ano lado a lado. |
| Por área | Cada área de segurança monitorada (aplicações web, código-fonte, bibliotecas e segredos dos repositórios, cadeia de suprimentos, aplicativos mobile, servidores, nuvem, credenciais vazadas), com a situação do monitoramento e da comparação. |
| Por gravidade | Encontrados, corrigidos, abertos e com prazo vencido para crítico, alto, médio e baixo. |
| Problemas abertos | O que estava aberto no último dia do período, por área e gravidade. |
| Tipos de problema | Os tipos de problema encontrados em cada área. |
| Próximos passos | Até seis ações tiradas dos dados, como trocar senhas vazadas ou corrigir primeiro os problemas de injeção. |
| Método | Como cada número foi calculado e o que foi monitorado. |
O relatório traz só contagens, percentuais e tempos. Ele nunca inclui URL, nome de servidor, nome de repositório, pessoa ou segredo, então uma cópia encaminhada revela a postura geral da organização e nada que um atacante possa usar.
Gerar um relatório
- Abra Reports.
- Escolha o Period: último trimestre, trimestre até hoje, último mês, mês até hoje, ano até hoje ou um intervalo personalizado de até 366 dias.
- Clique em Generate report. A página acompanha a geração e atualiza quando o PDF fica pronto, em geral em menos de um minuto.
- Baixe o PDF em History.
Cada período é comparado com o período anterior de mesmo tamanho. Um período ainda em andamento, como o trimestre até hoje, é comparado com o mesmo número de dias do início do trimestre anterior, para que um período parcial nunca seja comparado com um completo. O ano até hoje não tem comparação.
A organização gera um relatório por vez, e cada pessoa pode gerar até 20 relatórios por dia.
Idioma
O relatório sai no idioma definido para Reports em Settings > AI & Language: inglês, português do Brasil ou português de Portugal. A edição em português de Portugal tem texto próprio, não uma conversão da brasileira. Outros idiomas escolhidos nessa tab geram o relatório em inglês. As telas do portal continuam em inglês.
Histórico
Cada edição fica guardada exatamente como foi gerada, então o relatório de agosto continua sendo o relatório de agosto mesmo depois que os achados mudam. O histórico mostra o período, o tipo, o idioma, quem gerou e a situação. As edições ficam guardadas por 13 meses.
Nome da organização e fuso horário
O relatório imprime o nome da sua organização na capa e no cabeçalho das páginas. Cada período e cada envio programado seguem o fuso horário do primeiro Admin da organização, definido em Settings > System settings: esse é o fuso do relatório. A página Reports mostra o fuso em uso e de qual Admin ele vem.
Envio programado
O relatório pode chegar à liderança por e-mail sem ninguém abrir o portal.
| Envio | Quando sai | O que cobre |
|---|---|---|
| Mensal | Primeiro dia útil de cada mês, às 8h no fuso do relatório | O mês que acabou de fechar |
| Trimestral | Primeiro dia útil depois do fechamento de cada trimestre, às 8h no fuso do relatório | O trimestre que acabou de fechar |
Para cada envio, um Admin escolhe:
- Recipients: até 20 membros da organização. Só aparecem na lista os membros que podem ver relatórios, e cada um é conferido de novo a cada envio: quem saiu da organização, foi desativado ou perdeu o acesso a relatórios fica de fora.
- Format: o PDF anexado ao e-mail ou só o link. Com o link, o destinatário entra no portal para baixar o relatório.
- Send automatically: liga ou desliga o envio.
Send now gera o último período fechado e envia na hora, no máximo uma vez por hora. Ele funciona também com o envio desligado, para você conferir o e-mail antes de ligar.
Organizações novas começam com o envio mensal desligado e os Admins já marcados. O dashboard da organização mostra Activate your monthly executive report aos Admins até alguém ligar o envio. Nada é enviado antes de um Admin ativar um envio.
Quem não quiser mais receber o e-mail pode abrir Reports e escolher Stop sending to me.
Quem pode fazer o quê
| Ação | Admin | Manager | Analyst | ReadOnly |
|---|---|---|---|---|
| Abrir Reports, ver o histórico e baixar edições | Sim | Sim | Sim | Sim |
| Gerar um relatório | Sim | Sim | Sim | Não |
| Mudar os envios programados e usar Send now | Sim | Não | Não | Não |
| Deixar de receber um relatório programado | Sim | Sim | Sim | Sim |
Um parceiro que opera o seu ambiente pode gerar e baixar relatórios, mas não pode mudar os envios programados. Uma conta ReadOnly é a forma recomendada de dar acesso aos relatórios a um diretor sem permissões operacionais.
Como ler os números
As comparações respeitam a cobertura. Uma área entra na comparação só quando foi monitorada nos dois períodos e a cobertura mudou menos de 25%: alvos escaneados nas aplicações web, repositórios analisados em código e bibliotecas, aplicativos avaliados em mobile, servidores reportando na infraestrutura, contas de nuvem sincronizadas na nuvem e domínios verificados nas credenciais vazadas. Uma área cujo monitoramento começou ou cresceu no período mostra os próprios números e o motivo de ficar fora da comparação, para que mais ativos ou mais scans nunca sejam lidos como segurança melhor ou pior.
Detecção nova não é lida como mudança. Quando a WASViking amplia o que detecta em uma área durante os períodos comparados, por exemplo com novas fontes de dados, essa área fica fora da comparação e o relatório avisa, para que problemas recém-encontrados não sejam lidos como segurança pior. Quando só parte das áreas pode ser comparada, o relatório diz quais. Uma variação a partir de um valor anterior menor que 10 aparece como diferença, por exemplo +363, e não como percentual.
Indisponível nunca é zero. Quando um número não pode ser calculado ou comparado, o relatório mostra indisp. e explica o motivo na seção de método. Os motivos mais comuns: nada foi corrigido no período, não há dados do período anterior ou a área ainda não tem números de correção verificados.
Corrigido quer dizer confirmado. Na maioria das áreas, um problema conta como corrigido quando um novo teste deixa de encontrá-lo. Os problemas fechados por uma pessoa, no portal ou ao fechar o ticket vinculado na sua ferramenta de chamados, contam como fechados pelo time. O risco aceito é sempre informado separado dos problemas corrigidos.
Alguns números de correção aguardam verificação. Quando a WASViking ainda não consegue confirmar as correções de uma área com um novo teste, os números de correção e o tempo para corrigir dessa área aparecem como indisp., e o relatório avisa. Encontrados, abertos e com prazo vencido continuam aparecendo para essa área.
Prazos. Cada problema recebe um prazo de correção pela gravidade, conforme a política de SLA da organização (por padrão, 7 dias para crítico, 30 para alto, 60 para médio e 90 para baixo). Itens informativos e vulnerabilidades de servidor sem classificação oficial não têm prazo.
Tempo típico para corrigir é a mediana: metade dos problemas foi corrigida mais rápido que isso. O relatório também mostra a média e o tempo em que 90% dos problemas foram corrigidos.
Percentuais perto dos extremos. Uma parcela só aparece como 100% quando todos os itens cumpriram o critério, e como 0% quando nenhum cumpriu; 99,5% continua 99,5%.
Bibliotecas com versão não identificada aparecem como um tipo próprio. A WASViking não conseguiu saber qual versão está em uso e, por isso, não pôde conferir a biblioteca contra vulnerabilidades conhecidas. São informativas e não têm prazo. Incluir no repositório um arquivo de lock, ou uma lista de componentes gerada pelo build, costuma permitir identificar a versão.
Perguntas frequentes
Por que a comparação diz que o período aparece sozinho? Nenhuma área foi monitorada de forma comparável nos dois períodos, por exemplo porque vários módulos foram ativados durante o período. A próxima edição compara normalmente quando a cobertura estiver estável.
Por que os números são diferentes da página Findings? A página Findings mostra a situação atual de cada achado. O relatório conta o que aconteceu dentro do período e o que estava aberto no último dia dele.
Posso mudar o idioma de um relatório só? O idioma segue Settings > AI & Language. Mude lá antes de gerar o relatório e volte depois, se precisar.