Como a Plum passou de um pentest anual para uma Validação Híbrida Contínua.

Contexto e desafios

Antes de trabalhar com a Strike, a Plum não tinha nenhum serviço de pentesting próprio. Certos requisitos de TI e de segurança exigiam, no mínimo, um testing anual, então saíram ao mercado em busca de uma solução. Na época, o time só conhecia o modelo convencional: contratar uma empresa uma vez por ano, entregar todo o escopo (interno, externo, DDoS) e esperar um relatório.

O problema de fundo não era só encontrar um fornecedor: era que, como fintech regulada, a Plum passa constantemente por auditorias de TI e processos de due diligence nos quais pedem documentação de pentesting, relatórios e evidências do processo. Cada um desses processos é uma chance de ficar exposta se a validação de segurança não estiver à altura.

A NECESSIDADE ERA CLARA:

A Plum precisava deixar de não ter nenhum processo de pentesting próprio para poder comprovar, em qualquer auditoria ou due diligence, uma prática de segurança contínua e documentada.

‍

Trabalhando com a Strike

A Strike apresentou à Plum um modelo que eles não conheciam: testes configuráveis e programáveis, comunicação constante por um canal de Slack dedicado, e testers ("strikers") alocados de acordo com o expertise necessário para a indústria e o produto.

Mais adiante, quando o time da Plum começou a perceber que seus próprios sistemas não podiam mais ser atacados só de forma manual, mas também por IA, a conversa com a Strike avançou mais um passo: adotar testing com IA como parte do mesmo modelo contínuo, sem perder a revisão manual de um especialista no meio do caminho.

‍

[01] Uma plataforma que não te faz perder tempo

A migração para a nova plataforma da Strike foi, nas palavras do próprio time da Plum, praticamente sem atrito. Eles conseguiram adicionar e remover usuários, e toda vez que houve um problema pontual de login, o time da Strike resolveu na hora. O que mais valorizaram foi a simplicidade em comparação com outras ferramentas de segurança que usam no dia a dia.

"A interface é muito limpa. Com outras soluções eu vejo cem coisas diferentes, botões. Eu entro na Strike, vejo duas coisas: os targets, começar ou configurar. Bem fácil."
OZAN OZGUR OZYUKSEL Chief Information Security Officer (CISO) & DPO na Plum

Carregar um novo target se resume a poucos passos. Descrição, importância, criticidade, notas, e depois acesso. Nada de formulários extensos nem configurações que fazem você se perder entre telas, algo que a Plum apontou como um problema recorrente com outras soluções de segurança que utiliza.

Essa simplicidade se mantém depois que o target é cadastrado: o Vulnerability Manager da Strike consolida em uma única plataforma a visualização, a gestão e o retesting de cada vulnerabilidade, assim o time da Plum não precisa pular entre ferramentas para ver em que estado está cada finding.

‍

[02] Testar como os atacantes fazem hoje

Para a Plum, incorporar IA à validação de segurança não foi uma decisão de eficiência, mas uma resposta direta a como os ataques que recebem mudaram. No modelo de Validação Híbrida Contínua da Strike, agentes de IA executam as emulações de ameaças de forma autônoma, mas cada finding passa pela validação de um especialista humano antes de chegar ao cliente, algo que deu à Plum a confiança para dar o salto.

Esse formato também mudou a forma como testam mudanças pequenas: em vez de rodar todo o teste para validar uma atualização pontual, agora podem pedir um teste sem esperar um ciclo completo. Isso se apoia no retesting sob demanda impulsionado por IA da Strike, que valida um fix assim que ele está pronto, em vez de esperar o próximo ciclo completo de testing.

Além disso, encontraram valor em algo que não esperavam: o trace passo a passo do que a IA tenta durante cada execução

"Quando vejo que a IA testa coisas, dando mais foco a um endpoint específico, isso meio que me lembra: ok, talvez eu precise de mais controles ao redor desse endpoint, porque a IA acha que ele é crítico."
OZAN OZGUR OZYUKSEL Chief Information Security Officer (CISO) & DPO na Plum

Esse trace não funciona só como um log de auditoria para o time de segurança interno da Plum: dá a eles ideias concretas de hardening próprio, como reforçar o rate limiting nos pontos em que a IA insiste mais.

Na primeira vez que rodaram um teste com IA, o time da Plum teve dúvidas se algo poderia quebrar em produção. A Strike os acompanhou nesse momento com comunicação direta e a possibilidade de pausar ou reverter o teste caso algo desse errado, o que deu a eles a tranquilidade para seguir em frente.

‍

[03] Um account manager dedicado que conhece seu scope

Com dezenas de coisas urgentes ao mesmo tempo, ter uma pessoa dedicada em um canal de Slack direto com a Strike (e hoje também visibilidade sobre o que a IA está fazendo) foi essencial para a Plum não ficar travada esperando uma ligação ou um e-mail.

"Você me deu um bom exemplo, uma boa sugestão sobre o testing periódico no meu back office, algo em que eu não tinha pensado. Eu estava fazendo isso manualmente."
OZAN OZGUR OZYUKSEL Chief Information Security Officer (CISO) & DPO na Plum

Esse nível de acompanhamento, conhecer o scope da Plum, lembrar do histórico de testing e propor melhorias antes mesmo de o cliente pedir, é, segundo o próprio time da Plum, o maior ponto forte de trabalhar com a Strike.

Essa recomendação pontual não é um caso isolado, é parte de como funciona o time de Customer Success da Strike. Cada conta tem um account manager dedicado, que não só coordena a logística de cada teste, mas também acompanha de perto o histórico e a superfície de cada cliente para poder propor melhorias e responder quando algo dá errado. Para a Plum, esse olhar de longo prazo foi o que transformou uma sugestão pontual ("testar o back office periodicamente") em parte da rotina de segurança deles.

‍

‍

Para a Plum, passar de um pentest anual para uma Validação Híbrida Contínua não foi só uma troca de fornecedor, foi deixar de se auditar uma vez por ano para passar a se validar o tempo todo, com o mesmo tipo de tecnologia que os atacantes usam hoje. O resultado é um time de segurança que chega a cada auditoria e due diligence com evidências claras e sem sustos, e que também usa essa abordagem como um cartão de visita diante de partners e auditores.

"A ferramenta em si, ou as capacidades técnicas, são ótimas. Vocês são pioneiros nesse mundo da IA, nos novos desenvolvimentos."

‍

‍