atos preparatorios nao sao puniveis e o agente nao chegou a dar inicio a invasao (ato executorio).Deste modo, quem encontra vulnerabilidade em sistema alheio, mesmo sem autorizacao para pesquisa, e comunica o administrador, esta realizando a revelacao responsavel, nao podendo incidir nas penas o art. 154-A, agora previsto no Codigo Penal. Ja a prova de conceito, desenvolvida por quem descobre falha em ativo, sem autorizacao do titular, dependera da apreciacao pericial para se verificar como afetava o dispositivo atingido e qual foi a extensao decorrente da PoC.E possivel tambem se pensar na invasao tentada, onde o agente chega a executar a invasao, mas e impedido pelo time de resposta a incidentes, equipe de forense, ou IDS (Intrusion Detection System) que detecta o evento em tempo de execucao. Cabera ao perito digital avaliar se os codigos executados tinham aptidao tecnica para que o agente pudesse ter acesso as informacoes, manipula-las ou para instalar vulnerabilidades(sic).O agente que invade sistema, sem autorizacao, para tao somente demonstrar a inseguranca e cooperar para o aprimoramento dos controles, em tese nao responde pelo crime. Tal intencao podera ser demonstrada pelas fases da sua conduta (sempre menos ofensiva a empresa ou titular do dispositivo) ou mesmo pela atuacao pericial ou depoimentos, no decorrer de eventual inquerito policial ou acao penal.Outras formas de acesso indevido, onde nao ocorre a invasao, que e conduta comissiva/ativa, podem nao se enquadrar no tipo penal. Assim, na engenharia social que faz com que a vitima forneca credenciais de acesso ou mesmo acesse voluntariamente determinado programa que libera o acesso a seu dispositivo, fica eliminada, em tese, a incidencia do delito em comento, podendo o agente, diante do caso concreto, responder por outros delitos do Codigo Penal, de acordo com a extensao do dano.Do mesmo modo, o acesso indevido feito por um agente atraves de protocolo RDP (Remote Desktop Protocol) ou tecnologias como Terminal Service, VNC, PCAnywhere, Logmein, dentre outras, nao caracterizam invasao se o servico de assistencia remota foi habilitado pelo titular do dispositivo sem qualquer mecanismo de autenticacao, o que equivaleria a uma autorizacao tacita do titular do dispositivo para acessos.No que diz respeito a empresas de pesquisa e seguranca da informacao, a Lei tenta imitar os principios da convencao de Budapeste, tambem punindo aquele que produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a pratica da invasao. Temos que entender ou ler, no intuito de permitir a pratica da invasao com fins ilicitos, tal como previsto no artigo 154-A (A Convencao do Cibercrime de Budapeste recomenda ate mesmo a punicao de quem disponibiliza senhas para acesso a ativos de terceiros).Assim, distribuicoes Linux como Backtrack, programas para invasao como sqlmap, havij, e frameworks como Metasploit, sao amplamente utilizados por profissionais de seguranca e empresas na consecucao dos seus trabalhos, e nao poderao ser confundidos, por autoridades, como, por exemplo, codigos para coleta de dados de cartao de credito, Keyloggers bancarios desenvolvidos especificamente para lesar correntistas, dentre outros codigos que por sua natureza e diante do contexto do caso concreto, avaliada por perito digital, restar claro