As avaliações do iSegTI são realizadas por meio da ferramenta TOP (Teste os Padrões), desenvolvida e mantida pelo Núcleo de Informação e Coordenação do Ponto BR (NIC.br), entidade responsável pelo registro de domínios ".br" e pela operação de infraestruturas críticas da internet brasileira. A ferramenta é pública e gratuita, e qualquer pessoa pode testar um domínio a qualquer momento em top.nic.br.

Os testes são não intrusivos e completamente externos, ou seja, executados sem qualquer acesso privilegiado ao ambiente da organização avaliada, a partir de consultas e conexões que qualquer usuário da internet poderia realizar. Baseiam-se em padrões técnicos definidos em documentos normativos amplamente reconhecidos, como as RFCs (Request for Comments — especificações técnicas da internet publicadas pela IETF, a Internet Engineering Task Force) [https://www.rfc-editor.org] e [https://www.ietf.org], as normas do NIST (National Institute of Standards and Technology — Instituto Nacional de Padrões e Tecnologia dos Estados Unidos) [https://csrc.nist.gov] e as diretrizes da OWASP (Open Worldwide Application Security Project — fundação sem fins lucrativos dedicada a melhorar a segurança de softwares) [https://owasp.org], entre outros.

Para cada controle avaliado, o resultado é objetivo: sucesso, quando o controle passou no teste automatizado e está bem configurado; ou falha, quando o controle pode estar ausente, mal configurado ou sem confirmação, merecendo atenção da equipe técnica.

Importante: os testes consistem em avaliações de conformidade com padrões técnicos e boas práticas de operação da internet, não se configurando como testes de intrusão nem como avaliações completas de segurança da informação. Os resultados não permitem concluir, isoladamente, que um serviço seja totalmente seguro ou inseguro, mas indicam o grau de aderência a controles técnicos mínimos recomendados, a partir do estado de configuração observado no momento da execução dos testes.