Um relatório para liderança conquista confiança declarando os próprios limites: o que foi testado, o que foi observado, o que mudou desde a última execução e quais fronteiras impedem generalizar esses resultados para o sistema inteiro.
O molde são quatro movimentos — escopo, observação, delta, limite — e cada número viaja com o seu contexto.
O que levar para o relatório
- Use a pontuação de risco geral como resumo da execução, sempre acompanhada do alvo, dos cenários e da data. Uma nota 72 não significa que 72% do sistema real está vulnerável.
- Em uma execução elegível do Starter+, inclua o pacote de evidências e os controles relacionados, deixando claro que o mapeamento ajuda a organizar a revisão e não certifica conformidade.
- Compare execuções equivalentes para mostrar achados resolvidos, novos achados e mudanças de pontuação. Se o escopo mudou, destaque isso antes da tendência.
Mostre o risco geral ao lado do alvo, dos cenários e da data — uma nota 72 não diz nada sobre o sistema, apenas sobre aquela execução. Compare execuções equivalentes para mostrar achados resolvidos e novos, e declare mudanças de escopo antes de apresentar qualquer tendência.
Explique sem transformar hipótese em fato
- Traduza `attack_exposure` como exposição observada nos cenários testados. Não converta a pontuação em porcentagem de respostas, usuários ou incidentes reais.
- Descreva o ativo e a consequência plausível com linguagem condicional. Só quantifique dados ou receita em risco quando houver uma análise própria que sustente o número.
- Mostre a comparação antes e depois e diga exatamente quais casos foram repetidos. Isso permite comunicar progresso sem prometer que toda variação futura está coberta.
Traduza attack_exposure como exposição observada nos cenários testados — nunca como porcentagem de respostas ou projeção para produção. Descreva consequências condicionalmente, quantifique risco de negócio só com uma análise separada e nomeie os casos que foram reproduzidos.