Contratar uma empresa de pentest sem os critérios certos é um dos erros mais caros que uma organização pode cometer em segurança digital, não pelo custo do serviço em si, mas pelo custo de confiar num diagnóstico que não revelou o que precisava revelar. Um pentest mal executado dá uma sensação de proteção que pode durar meses, até que um incidente real mostre o que o teste não encontrou.
O mercado de segurança ofensiva cresceu rapidamente nos últimos anos, e com ele a quantidade de fornecedores que oferecem “pentest” como serviço. Saber distinguir o que separa um teste técnico sério de uma varredura automatizada com relatório formatado é o que permite tomar essa decisão com base em critérios objetivos.
Por que o pentest exige avaliação cuidadosa
Ao contrário de outros serviços de TI, o resultado de um pentest não é imediatamente verificável por quem o contratou. A empresa recebe um relatório, mas não tem como saber, sem referências técnicas, se aquele documento reflete o que realmente foi testado ou se existem vetores que o profissional simplesmente não explorou.
Isso cria uma assimetria de informação que favorece fornecedores com menos rigor técnico, desde que o documento entregue pareça completo. Os sete critérios abaixo existem para reduzir essa assimetria e dar ao contratante parâmetros concretos para avaliar propostas.
Os 7 critérios técnicos para escolher uma empresa de pentest
Antes de avaliar qualquer proposta, vale entender o que esses critérios estão medindo: não são apenas questões de credencial ou reputação, mas indicadores de como o teste será conduzido e qual profundidade de análise será entregue.
1. Certificações dos profissionais que executarão o teste
Certificações como OSCP, CEH, eJPT e as da linha EC-Council indicam que o profissional passou por avaliações práticas de segurança ofensiva. O ponto de atenção aqui é perguntar especificamente quem vai executar o teste, não apenas quais certificações a empresa possui no portfólio geral. É comum que empresas listem certificações de sócios ou líderes enquanto os testes são executados por analistas sem a mesma qualificação.
2. Metodologia documentada e reconhecida
Uma empresa de pentest séria trabalha com metodologias reconhecidas internacionalmente, como OWASP para aplicações web, PTES (Penetration Testing Execution Standard) ou NIST para infraestrutura. Mais importante do que citar a metodologia é conseguir explicar, em termos concretos, quais fases o teste percorre e o que é avaliado em cada uma. Uma proposta vaga nesse ponto é sinal de que o teste pode não ter a estrutura necessária para cobrir os vetores de ataque mais relevantes para o ambiente da empresa.
3. Escopo definido com precisão antes do contrato
O escopo do pentest, quais sistemas, redes, aplicações e acessos estão incluídos, precisa estar detalhado antes da assinatura. Um escopo mal definido permite que o fornecedor entregue um teste superficial que tecnicamente não descumpriu o contrato, pois o que não foi testado simplesmente não estava previsto. As brechas mais graves costumam estar nos pontos que ninguém mapeou antes de um incidente revelar, e um escopo vago é o que garante que eles fiquem de fora.
4. Diferenciação entre pentest manual e varredura automatizada
Ferramentas automatizadas de varredura identificam vulnerabilidades conhecidas e catalogadas. Um pentest de qualidade vai além: envolve profissionais que encadeiam vetores de ataque, exploram combinações que nenhuma ferramenta automatizada percorre sozinha e testam a lógica do sistema, não apenas a presença de CVEs conhecidos. Pergunte ao fornecedor qual percentual do teste é conduzido manualmente e peça exemplos de vulnerabilidades encontradas em testes anteriores que não teriam sido identificadas por varredura automatizada.
5. Relatório com rastreabilidade e orientação de correção
O relatório final é o produto concreto do pentest. Ele precisa documentar cada vulnerabilidade encontrada com o vetor de exploração utilizado, a evidência técnica que comprova o achado, a classificação de criticidade com base em métricas reconhecidas como o CVSS, e a orientação específica de correção para cada item. Um relatório que lista vulnerabilidades sem mostrar como foram exploradas ou sem indicar o caminho de correção tem valor técnico limitado. Um relatório estruturado para ser compreendido pelo time técnico e pela diretoria é o que transforma o diagnóstico em decisões concretas de segurança.
6. Experiência com o tipo de ambiente a ser testado
Pentest em infraestrutura de rede é diferente de pentest em aplicação web, que por sua vez é diferente de pentest em ambiente cloud ou em APIs. Uma empresa com histórico concentrado em infraestrutura pode não ter a mesma profundidade técnica para testar uma aplicação SaaS complexa. Peça ao fornecedor referências ou exemplos de testes realizados em ambientes similares ao seu, e avalie se a equipe tem familiaridade com as tecnologias que compõem o ambiente.
7. Postura ética e acordo de confidencialidade
Durante o pentest, os profissionais têm acesso a dados, sistemas e informações sensíveis da empresa. Antes de autorizar qualquer teste, é preciso ter um contrato que defina com precisão o que pode ser acessado, o que não pode, como os dados descobertos serão tratados e quais são as obrigações de confidencialidade após o encerramento do trabalho. Empresas que resistem a formalizar esses termos ou que propõem contratos vagos nesse ponto merecem atenção redobrada antes de receberem acesso ao ambiente.
Como avaliar a proposta antes de decidir
Com esses critérios em mãos, é possível fazer perguntas objetivas a qualquer fornecedor e comparar respostas de forma estruturada. Quem são os profissionais que vão executar o teste? Qual metodologia será seguida? O que está e o que não está no escopo? Como será documentado o que foi encontrado?
As respostas a essas perguntas revelam mais sobre a qualidade do serviço do que qualquer apresentação comercial. Uma empresa de pentest com rigor técnico responde a cada uma com precisão. Uma que depende de aparência desvia para generalidades.
A decisão de contratar um pentest já representa um passo importante na maturidade de segurança de qualquer organização. Vale garantir que o teste entregue, de fato, o diagnóstico que a empresa precisa para tomar decisões técnicas fundamentadas, e não apenas um documento que dá a sensação de que o trabalho foi feito.
A STWBrasil conduz pentests anuais com profissionais certificados internacionalmente, utilizando metodologias reconhecidas e entregando relatórios com rastreabilidade completa para times técnicos e diretoria. Converse com nossa equipe para entender como o teste se adapta ao ambiente da sua empresa.
