Como a Strike mede os resultados de segurança ofensiva
A Strike mede a segurança ofensiva com validação híbrida contínua: agentes com IA executam ataques assim que a sua superfície de exposição muda, e pentesters humanos certificados validam cada achado. Esta página define cada número que publicamos — como é calculado, o período e o escopo que cobre, e quando foi atualizado pela última vez — para que os resultados sejam verificáveis, não marketing.
Nossos números, definidos
Publicamos três números principais. Aqui está exatamente o que cada um mede, como chegamos a ele e o escopo que cobre — para que você avalie a evidência, não apenas a afirmação.
De um achado a um número defensável em dólares
A Strike não para em um rótulo de severidade. Cada achado validado é quantificado com o modelo FAIR/ALE — um padrão da indústria para quantificar risco — ancorado em benchmarks públicos de custo de brecha como o Cost of a Data Breach da IBM, não em números arbitrários. Sem caixas-pretas.
As cadeias de ataque correlacionadas que terminam no mesmo dado ou sistema são consolidadas — de-correlacionadas — para que a exposição nunca seja contada duas vezes. Cada número é reportado como uma faixa (conservador / base / agressivo) e lideramos com o caso base, não com o teto: um número defensável vale mais que um inflado. Os valores monetários são estimativas modeladas sobre benchmarks públicos e o escopo avaliado — não constituem garantia, avaliação contábil nem assessoria jurídica.
Validação híbrida contínua, passo a passo
A Strike roda um ciclo sempre ativo em vez de um projeto uma vez por ano. Os agentes com IA trabalham em velocidade de máquina; os pentesters humanos certificados trazem julgamento, profundidade em lógica de negócio e prova de explorabilidade. Cada resultado é evidência que você pode levar a um auditor.
O teste da Strike se alinha a frameworks reconhecidos da indústria — incluindo o OWASP Testing Guide e o MASVS, PTES, a metodologia NIST SP 800-115 e o MITRE ATT&CK — usados como padrões de referência. A mesma evidência apoia programas de SOC 2, ISO 27001 e PCI DSS: a Strike apoia esses requisitos de pentest e nunca certifica nem garante conformidade.
Perguntas sobre como medimos os resultados
O que significa “risco mitigado”?
É a perda esperada anual agregada das vulnerabilidades que a Strike encontrou e ajudou a remediar — quantificada com o modelo FAIR/ALE e ancorada em benchmarks públicos de custo de brecha, depois consolidada para que as cadeias correlacionadas não sejam contadas duas vezes. A Strike reporta como um piso conservador: US$4.5B+.
Como o 97% de precisão é calculado?
A precisão é a proporção de achados reportados que são confirmados como reais após a validação humana certificada. Como um humano reproduz cada problema antes de chegar até você, a Strike mantém os falsos positivos abaixo de 3%.
O que conta como uma vulnerabilidade “crítica”?
O nível de maior impacto — tipicamente CVSS 9.0–10.0 — como execução remota de código, bypass de autenticação ou exposição de dados sensíveis. A Strike reportou mais de 6.000 delas em engagements até a data.
A IA substitui o pentester humano?
Não. Os agentes com IA trazem velocidade e amplitude; os pentesters certificados trazem julgamento, profundidade em lógica de negócio e prova de explorabilidade. Essa combinação é o que mantém a precisão alta.
Esses resultados servem para uma auditoria de SOC 2, ISO 27001 ou PCI DSS?
Sim. A Strike entrega evidência contínua e pronta para auditoria que apoia esses programas. A Strike apoia os requisitos de pentest; não certifica nem garante conformidade — isso é concedido por terceiros acreditados.
Escolhida pelas equipes de segurança que lideram o setor.
Experiência humana. Poder da IA. Segurança superior.
Quer você esteja crescendo rapidamente, fechando contratos corporativos ou apenas cansado de relatórios barulhentos, ajudaremos você a construir uma pilha de segurança que se mova mais rápido do que suas ameaças.
