Competências avaliadas

• Vulnerabilidade, ameaça e risco — diferença prática e por que confundir os três custa caro
• CVE, CVSS e NVD — o que cada um é e o que cada um não é
• Exploit e zero-day — como uma falha vira arma e o que muda no prazo de resposta
• Patch, workaround e mitigação — quando cada um resolve e quando não resolve
• Da descoberta ao patch disponível — as etapas que o time não controla e as que controla
• Remediação e validação — por que aplicar o patch não é o fim do processo
• SLA por criticidade — prazos, quem define e o que acontece quando vence
• Consequência do descumprimento — risco acumulado, auditoria e responsabilidade
• Vulnerabilidades web — OWASP Top 10 conceitual: o que são e onde aparecem
• Vulnerabilidades de rede e sistema operacional — exemplos e contexto de risco
• Vulnerabilidade de configuração — o erro que não precisa de bug para existir
• Vulnerabilidade de aplicação — lógica de negócio e dependências de terceiros
• Quem corrige o quê — TI, segurança e negócio: papéis e limites de cada um
• Patch vs. workaround — quando aceitar um e quando o outro vira risco
• Responsible disclosure — como reportar uma falha e o que esperar do fornecedor
• Bug bounty e PSIRT — o que são, para que servem e como interagir com eles
• O que reportar e a quem — dentro da organização e para fora
• IA acelerando exploits — o que mudou no tempo entre a falha e o ataque
• Geração de PoC por IA — o que isso significa para o prazo de remediação
• Alucinação de CVE — quando a IA inventa uma vulnerabilidade e como não ser enganado
• Validação obrigatória — por que a saída de IA sempre vai para a fonte oficial antes de virar ação
• IA como assistente de VM — o que ela agiliza e onde a decisão humana é inegociável