Achados, severidade, disposição, reteste

Um achado é um problema que você encontrou e está documentando. Ele carrega um título, um resumo executivo, uma descrição técnica, uma recomendação, evidências, e vínculos com as técnicas que o cobrem. Quatro dos seus conceitos valem ser entendidos à parte, porque são estado, não só campos.

Severidade e classe

Severidade é a classificação do achado (de crítico a informativo), mostrada com cor e rótulo, então nunca depende só da cor. Classe separa uma vulnerabilidade de uma observação ou um defeito, para o relatório tratá-los de forma diferente.

Disposição

Disposição é uma decisão declarada sobre o achado (o tratamento dele), registrada com quem definiu e quando, e um motivo quando é qualquer coisa diferente do padrão. É o julgamento humano sobre o que fazer com o achado, separado de se ele foi corrigido.

Verificação, derivada dos retestes

O estado de verificação não é algo que você define; é derivado dos retestes do achado. Partindo de open, um reteste efetivo o move para fixed, um parcial para partially_fixed, e um reteste inefetivo sobre um achado corrigido ou parcial o reabre. A regra roda sobre os retestes ordenados por data, então o status atual é sempre consequência do que de fato aconteceu, não um campo que alguém possa contradizer.

Publicação

Publicação é um estado de dois eixos, não um sinalizador único. Um achado tem uma cópia de trabalho que você edita, e uma revisão publicada que o cliente vê. Desses dois, o PEART deriva se o achado é rascunho, publicado, ou publicado com edição pendente. Publicar valida que os campos obrigatórios estão presentes (título, resumo executivo, descrição técnica, recomendação) e cria uma revisão imutável; o portal só lê a revisão publicada, nunca a sua cópia de trabalho. Uma vez publicado, o achado não pode mais ser excluído, só substituído por uma nova revisão.