e se vocês não acharem nada?
você recebe o relatório dizendo isso, com escopo e métodos documentados, que é exatamente o que um cliente ou uma seguradora pede pra ver. acontece, e é um bom resultado, não dinheiro jogado fora.
relatório limpo tem bastante coisa dentro. ele documenta o que estava no escopo, quais áreas foram testadas e como, o que quem testou tentou em cada uma, e a data. é um documento diferente de "rodamos um scanner e deu verde", e quem lê isso profissionalmente sabe distinguir um do outro.
o que você faz com ele
- preenche a linha do questionário. "data do último pentest" e "anexe o relatório" são as duas linhas que um questionário de segurança de cliente sempre tem. um relatório limpo, com o escopo documentado, responde as duas.
- responde a seguradora. seguradora faz a mesma pergunta, e um relatório com os métodos nomeados é o que ela está procurando.
- vira a linha de base. o teste do ano que vem, ou o que vier depois do seu próximo lançamento grande, passa a ter com o que comparar.
quando isso acontece
é mais provável num reteste, ou num sistema que já foi construído com a checklist de pré-lançamento aplicada, do que na primeira olhada em algo que ninguém nunca testou. quando acontece, o dinheiro que você gastou fazendo as coisas direito cumpriu o papel, e agora existe um documento que diz isso.
o que a gente não faz é encher o relatório de achado de severidade baixa pra fazer o valor parecer merecido. se a falha é que a versão do sistema aparece nos headers, ela entra como baixa, com a correção de dez minutos, e nada mais.