O que é pentest e quando sua empresa precisa

Pentest — teste de invasão — é a simulação controlada de um ataque real ao seu sistema, feita por alguém contratado para encontrar o que um invasor encontraria. A diferença entre um pentest e o relatório de um scanner automático é a mesma que existe entre uma auditoria e um checklist: o scanner lista o que reconhece, o pentest encadeia falhas pequenas até chegar onde dói.

Black, grey e white box

Os três nomes descrevem quanto o testador sabe antes de começar.

Black box — nenhuma informação além do alvo. Simula o atacante externo que só tem seu domínio. É o cenário mais realista e o que menos cobre: em tempo limitado, o testador gasta boa parte do prazo mapeando o que você já sabia.

Grey box — credenciais de usuário comum e alguma documentação. É o melhor custo-benefício para a maioria das empresas, porque testa o cenário que mais acontece na prática: alguém com acesso legítimo tentando ir além do que deveria.

White box — acesso ao código e à arquitetura. Cobertura máxima por hora contratada. Indicado antes de um lançamento grande ou quando há requisito regulatório.

O que um relatório sério precisa ter

Relatório de pentest que serve para alguma coisa tem quatro partes:

1. Sumário executivo em linguagem de negócio. Qual dado está exposto, para quem, e qual o impacto se vazar. Sem jargão.
2. Prova de conceito reproduzível. Não basta dizer "há SQL injection no login" — o relatório mostra a requisição, a resposta e o que foi obtido.
3. Classificação por risco de negócio, não só por CVSS. Uma falha crítica num sistema interno de dez usuários pode ser menos urgente que uma média no checkout.
4. Plano de correção priorizado e um reteste incluído. Sem reteste, você não sabe se a correção funcionou.

O que não conta: PDF de 200 páginas gerado por ferramenta, sem triagem de falso positivo. Isso é varredura, não pentest — e existe diferença de preço porque existe diferença de trabalho.

Quando contratar

Há quatro momentos em que o pentest deixa de ser opcional:

• Antes de um lançamento que expõe dado sensível ou meio de pagamento.
• Depois de uma mudança grande de arquitetura — migração de nuvem, troca de autenticação, abertura de API pública.
• Quando um cliente ou contrato exige. Cada vez mais empresas grandes pedem laudo de segurança dos fornecedores antes de assinar.
• Periodicamente, se você trata dado pessoal em volume. A LGPD fala em "medidas de segurança aptas a proteger os dados" (art. 46); demonstrar teste periódico é parte de sustentar isso.

Pentest e LGPD

A LGPD não usa a palavra pentest e não obriga ninguém a contratar um. O que ela exige é que você adote medidas técnicas adequadas ao risco — e, se houver incidente, que consiga demonstrar o que fez para preveni-lo.

Na prática, ter um teste periódico documentado, com plano de correção executado, é uma das formas mais diretas de sustentar essa demonstração. É a diferença entre dizer "nós nos preocupamos com segurança" e mostrar um histórico.

Antes do pentest, o básico

Contratar pentest com o básico em aberto é desperdiçar horas caras. Se você ainda não tem MFA em contas administrativas, backup testado (backup não restaurado não é backup), inventário do que está exposto na internet e atualização de dependências em rotina — comece por aí. O pentest encontra o que sobra depois do básico feito, e o básico custa uma fração.

Quer entender qual escopo faz sentido para o seu caso? Fale com a gente ou veja a página de pentest.