A monitorização contínua dos controlos e um teste de penetração pontual, realizado uma vez por ano, não são compatíveis. Um teste manual implica definir o âmbito, aguardar uma vaga e atrasar o prazo de auditoria para a elaboração do relatório.
As equipas escolhem a Drata para se prepararem rapidamente para auditorias: os controlos são monitorizados continuamente e as provas são recolhidas automaticamente. O teste de penetração é a parte que não acompanha esse ritmo. E continua a ser apenas um instantâneo: no nosso relatório «State of AI in Pentesting», 76 % dos líderes inquiridos afirmaram que implementam alterações significativas em produção semanalmente ou com maior frequência, mas apenas 21 % validam a segurança em cada lançamento.
A Drata e a Aikido estão a colmatar essa lacuna. Os novos clientes da Drata podem agora solicitar um teste de penetração com IA da Aikido , que inclui conclusões verificadas, um relatório pronto para apresentação a auditores e resultados que são sincronizados diretamente com a Drata.
O que a Drata e a Aikido fazem agora em conjunto
Aikido executa as verificações e gera as provas subjacentes aos controlos técnicos da Drata, incluindo SOC 2, ISO 27001, PCI DSS (Norma de Segurança de Dados da Indústria de Cartões de Pagamento), DORA (Lei da Resiliência Operacional Digital da UE) e HIPAA. Os resultados, bem como as evidências subjacentes, são sincronizados com a Drata sem que seja necessário exportar qualquer folha de cálculo. Basta corrigir algo no « Aikido » para que o sistema da Drata seja atualizado em simultâneo, pelo que a preparação para a auditoria deixa de depender de alguém se lembrar de o fazer na semana anterior à auditoria.
Isso abrange agora, especificamente, os testes de penetração. Cada nível do Drata (Foundation, Advanced e Enterprise) inclui um teste de penetração com IA « Aikido » no valor de até 4 000 dólares (consulte «Como o reclamar» para obter mais informações).
Isso estende-se agora aos testes de penetração. Os novos clientes da Drata, em qualquer nível (Foundation, Advanced ou Enterprise), recebem até 4 000 dólares em créditos gratuitos para testes de penetração com IA « Aikido », o que normalmente é suficiente para um teste de penetração padrão de uma aplicação de menor dimensão. As aplicações de maior dimensão continuam a obter resultados significativos e podem adicionar créditos para uma cobertura completa. A configuração demora menos de 20 minutos e, cerca de um dia útil depois, recebe um relatório pronto para ser apresentado ao auditor. Aqui está um exemplo de relatório para que possa ver exatamente o que entregaria ao seu auditor.
Por que é que o relatório é válido perante um auditor
Um teste de penetração só é útil se um auditor o aceitar efetivamente. Os agentes da Aikido testam a aplicação, as suas APIs e a infraestrutura subjacente da mesma forma que um pentester humano o faria. A diferença reside no que acontece depois de ser detetada uma falha: um agente distinto volta a explorá-la antes de ser comunicada, pelo que o que acaba por constar no relatório final é uma prova de conceito funcional, em vez de uma suposição probabilística.
No mesmo relatório acima referido, 40% dos líderes afirmaram que se sentiriam mais confiantes a defender provas reprodutíveis do sistema numa auditoria do que a reputação de uma empresa de testes de penetração (26%), enquanto outros 34% consideravam ambos os aspetos igualmente importantes. Os auditores pretendem, cada vez mais, ver o trabalho em si, em vez de se basearem apenas na palavra de alguém.
(Para contextualizar, um teste de desempenho independente realizado pela Doyensec revelou que o Aikido identificou mais 58% de vulnerabilidades verificadas do que o XBOW , na mesma gama de preços. É importante saber isto se estiver a comparar diretamente ferramentas de testes de penetração, embora se trate de uma comparação de produtos e não de uma avaliação de aceitabilidade para auditorias.)
A correção também precisa de provas
Um auditor não quer apenas verificar que foi detetada uma falha. Quer provas de que esta foi corrigida. É aí que a maioria dos testes de penetração falha discretamente: apenas 40% dos responsáveis afirmam que voltam a realizar os testes imediatamente após a correção, e 42% adiam-nos devido a custos ou questões de agendamento, muitas vezes ultrapassando o prazo da auditoria.
Todos os testes de penetração com IA da Aikido , no âmbito desta oferta, incluem 6 meses de retestes ilimitados, para que a correção possa ser verificada na mesma semana em que é implementada, em vez de ter de se aguardar pela próxima intervenção agendada.
Como o solicitar
Os novos clientes da Drata com um plano Foundation, Advanced ou Enterprise podem solicitar aqui um teste de penetração com IA « Aikido ». Resgatável nos primeiros 3 meses a contar da data de início do seu plano Drata ou para negócios da Drata atualmente em curso. Os clientes existentes do « Aikido » não são elegíveis. Ainda não é cliente da Drata? Comece com uma demonstração para saber mais.
Vamos começar
As evidências de conformidade e os testes de segurança acabam por ser realizados no mesmo período, em vez de em dois períodos distintos. Se quiser ter uma visão mais completa do que está por trás destes números, o nosso relatório «O Estado da IA nos Testes de Penetração » contém o resto dos dados.
