01
O que levar para o relatório
- Use a pontuação de risco geral como resumo da execução, sempre acompanhada do alvo, dos cenários e da data. Uma nota 72 não significa que 72% do sistema real está vulnerável.
- Em uma execução elegível do Starter+, inclua o pacote de evidências e os controles relacionados, deixando claro que o mapeamento ajuda a organizar a revisão e não certifica conformidade.
- Compare execuções equivalentes para mostrar achados resolvidos, novos achados e mudanças de pontuação. Se o escopo mudou, destaque isso antes da tendência.
02
Explique sem transformar hipótese em fato
- Traduza `attack_exposure` como exposição observada nos cenários testados. Não converta a pontuação em porcentagem de respostas, usuários ou incidentes reais.
- Descreva o ativo e a consequência plausível com linguagem condicional. Só quantifique dados ou receita em risco quando houver uma análise própria que sustente o número.
- Mostre a comparação antes e depois e diga exatamente quais casos foram repetidos. Isso permite comunicar progresso sem prometer que toda variação futura está coberta.