Pix: transforme requisitos em evidências de operação
Um calendário de adequação só se torna executável quando cada entrega tem responsável e prova de funcionamento. Veja como estruturar uma avaliação que conecte decisões técnicas, fornecedores e operação.
Read in EnglishPor Pentesty
O calendário confirmado e a decisão de escopo
O Volume II 6.01 do BCB, de 9/11/2026, fixa 7/2/2027 para os itens a, b, e, f e g da seção 1.1 e 8/3/2027 para c e d. A seção 5.5 indica o SPB-Web para desativar certificados a partir de 16/11/2026. São requisitos dirigidos aos participantes do arranjo Pix.
A análise abaixo é uma proposta operacional da Pentesty. Antes de usá-la, a instituição deve determinar quais serviços, entidades e responsabilidades entram em sua avaliação. Registre quem aprova essa delimitação, quais interpretações exigem confirmação e qual documento sustenta cada decisão. Um roteiro de testes não substitui essa definição de aplicabilidade.
Comece pela decisão que a evidência precisa sustentar
Escolha um fluxo representativo, como uma mudança autorizada em uma integração de laboratório. Descreva o resultado esperado antes de olhar a ferramenta disponível. Quem pode solicitar a mudança? Quem pode autorizá-la? Qual informação permite ao operador interromper a execução? Uma planilha com respostas verificáveis ajuda a revelar dependências que um inventário de produtos pode esconder.
Para cada decisão, associe um responsável e um artefato verificável. Pode ser uma configuração exportada, uma autorização registrada ou o resultado de uma tentativa controlada. Guarde horário, ambiente, versão e limitações. Não reúna segredos no pacote de avaliação: um identificador de chave ou uma referência ao cofre costuma ser mais útil para revisão do que uma credencial reproduzida no relatório.
Defina o resultado antes de executar o teste
Prepare um caso permitido e um caso que deve ser recusado. Use contas e dados sintéticos, com autorização escrita e uma condição de parada. Se o operador precisa de uma exceção para concluir o teste, registre a exceção e sua validade. O resultado deve mostrar o comportamento observado, inclusive quando divergir do desenho aprovado.
Um teste isolado responde a uma pergunta limitada. Para reduzir conclusões amplas demais, descreva o caminho efetivamente percorrido: identidade, aplicação, dependência e destino. Repita o caso depois de uma alteração relevante e compare os resultados. A evidência de recusa deve permitir distinguir uma política funcionando de um erro de conexão que apenas impediu o teste.
Inclua fornecedor e operação no mesmo ensaio
Escolha uma passagem de responsabilidade e simule a entrega de um alerta ou pedido de intervenção. Confirme quem recebe, como reconhece o caso e quem pode decidir o próximo passo. Um contrato assinado não demonstra que a pessoa de plantão consegue localizar o procedimento ou acionar uma autoridade ausente.
Use a discussão sobre cobertura do SOC para formular perguntas sobre o que realmente foi observado. Combine o ensaio com a avaliação de continuidade da equipe técnica, verificando se outro operador consegue reproduzir a decisão com o material disponível. Esses testes complementam a documentação escolhida para o escopo; não certificam uma instituição inteira.
Feche o ciclo com pendências explícitas
Organize o resultado em entregas aceitas, falhas reproduzidas e perguntas ainda abertas. Cada falha precisa de responsável, próxima ação e condição de novo teste. Para uma questão de interpretação, registre a pergunta e a origem da resposta esperada. Evite transformar uma conversa informal em requisito técnico definitivo.
A direção deve conseguir entender o que foi demonstrado e o que permanece sem prova. Um pacote pequeno, com rastreabilidade entre decisão e evidência, ajuda mais do que uma coleção de capturas sem contexto. Preserve também resultados negativos: eles explicam por que uma entrega ainda não deve receber aceite.
Perguntas frequentes
O roteiro vale automaticamente para qualquer empresa?
Não. A organização deve definir a aplicabilidade ao próprio papel antes de usar este roteiro operacional. A avaliação proposta trabalha com um escopo aprovado e limites documentados.
Uma captura de tela é uma evidência suficiente?
Ela pode ajudar, mas precisa de contexto: origem, horário, ambiente, resultado esperado e responsável. Acrescente informação que permita repetir a verificação sem expor credenciais.
Como tratar uma interpretação ainda aberta?
Registre a pergunta, quem precisa respondê-la e a decisão que depende dela. Mantenha essa pendência visível até obter fundamento verificável para encerrar o ponto.
Quando repetir o ensaio?
Defina os gatilhos com o responsável pelo serviço. Mudanças que alterem o caminho avaliado ou a autoridade dos operadores justificam revisar os casos e executar novamente os testes relevantes.
Fontes e referências
Análise original da Pentesty, publicada em 13 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.