O mercado de pentest no Brasil cresceu rapidamente, e com ele a quantidade de fornecedores que oferecem o serviço com propostas e preços muito distintos.
Contratar uma empresa de pentest sem critérios claros é tão arriscado quanto não contratar: o teste pode ser superficial, o relatório pode não gerar nenhuma ação concreta e a empresa segue exposta sem perceber.
Este artigo não é uma lista de fornecedores. É um guia para quem precisa entender o que avaliar antes de assinar qualquer contrato.
O que é pentest e para que serve
Pentest, ou teste de intrusão, é uma simulação controlada de ataque cibernético realizada com autorização formal da empresa contratante. O objetivo é identificar vulnerabilidades técnicas antes que agentes maliciosos as explorem.
Uma empresa de pentest qualificada não apenas encontra as brechas. Ela as documenta, classifica por criticidade e indica o caminho para correção. O valor do serviço está menos no teste em si e mais no que a organização consegue fazer com o que foi encontrado.
Pentest não é auditoria de segurança
Essa distinção é frequentemente ignorada e vale deixar clara antes de qualquer contratação. O pentest simula o atacante: tenta comprometer o ambiente por caminhos reais para descobrir o que pode ser explorado agora. Já a auditoria de segurança avalia o estado dos controles, processos e conformidade da organização.
Os dois serviços se complementam, mas respondem a perguntas diferentes. O pentest diz o que um atacante conseguiria fazer hoje. A auditoria diz por que o ambiente chegou ao estado em que está.
Os tipos de pentest e quando usar cada um
A escolha do formato depende do que a empresa quer descobrir. Os três modelos principais se diferenciam pelo nível de informação que o testador recebe antes de começar.
- Black Box: o testador não recebe nenhuma informação prévia sobre o ambiente, simulando um atacante externo sem acesso privilegiado. Indica a exposição real do perímetro, mas pode deixar vulnerabilidades internas fora do alcance
- Gray Box: o testador recebe informações parciais, como credenciais de um usuário comum. É o formato mais contratado pelas empresas atualmente por combinar perspectiva externa e interna num único engajamento
- White Box: o testador tem acesso completo à arquitetura e ao código-fonte. É o modelo mais abrangente, recomendado pela OWASP para identificar falhas complexas que não aparecem em testes externos
Além da modalidade, o escopo define o alvo: aplicações web, infraestrutura de rede, APIs, ambientes cloud, aplicativos móveis ou acessos de fornecedores terceiros.
O que avaliar numa empresa de pentest antes de contratar
Essa é a etapa que a maioria das empresas pula ao ir direto para a comparação de preços. Os pontos abaixo fazem diferença na qualidade do que será entregue.
- Certificações dos profissionais que executarão o teste, como OSCP, CEH, GPEN e GWAPT, que indicam formação técnica verificável
- Metodologia utilizada e se está alinhada a frameworks reconhecidos no mercado, como OWASP Testing Guide, PTES ou NIST SP 800-115
- Track record comprovável: experiência no seu setor, cases verificáveis e referências disponíveis
- Se o relatório entregue inclui versão executiva separada da versão técnica
- Se há re-teste incluso para validar as correções dentro de uma janela contratada, prática que em 2026 já é considerada padrão no mercado
- Se a empresa tem CNPJ ativo e emite nota fiscal, requisito básico para compliance interno
- Se o contrato inclui NDA formal cobrindo o acesso ao ambiente e as vulnerabilidades encontradas durante o teste
O que o contrato precisa prever
Antes de assinar com qualquer empresa de pentest, o contrato precisa definir com precisão o escopo dos ativos que serão testados e a janela de execução com datas definidas. Fornecedores que resistem a formalizar esses pontos merecem atenção redobrada.
Além disso, o documento deve cobrir o formato e prazo de entrega do relatório, a política de re-teste e as responsabilidades em caso de incidente durante a execução do teste. Um pentest mal delimitado pode gerar interrupção de serviços ou exposição de dados não prevista.
O que o relatório precisa conter
Um relatório de qualidade tem duas camadas. A executiva é voltada para a liderança, com visão de risco em linguagem de negócio e priorização clara do que precisa ser tratado primeiro. A técnica detalha cada vulnerabilidade encontrada, sua classificação de criticidade, as evidências coletadas e o caminho de remediação.
Relatório que não é acionável não serve. Empresas que recebem o documento, arquivam e seguem operando da mesma forma anulam completamente o valor do investimento. O pentest é o diagnóstico. O tratamento são as ações de remediação, e elas precisam de prazo e responsável, como qualquer outro risco que precisa de dono.
Quando e com que frequência contratar
O recomendado pelo mercado é realizar pentest pelo menos uma vez por ano, ou após mudanças significativas na infraestrutura e lançamento de novos sistemas. Incidentes de segurança também são um gatilho óbvio, mas o ideal é não esperar por eles.
A LGPD não exige pentest de forma explícita, mas o relatório de um teste recente com vulnerabilidades corrigidas documentadas funciona como evidência de diligência perante a ANPD em caso de incidente. Setores com regulação mais específica têm exigências concretas: o Banco Central, pelas Resoluções BCB 538/2025 e CMN 5.274/2025, exige pentest anual por profissional independente para instituições financeiras. O PCI DSS 4.0 exige testes externos e internos para empresas que processam dados de cartão.
Vale lembrar que o escopo do teste deve incluir os acessos de fornecedores e integrações com terceiros, que são vetores frequentemente ignorados e representam superfície de ataque relevante.
Quem deve conduzir essa contratação dentro da empresa
A contratação de uma empresa de pentest exige envolvimento de quem entende o ambiente técnico e consegue definir o escopo com precisão. Também precisa de quem tem autoridade para aprovar o acesso de um terceiro ao ambiente e de quem vai transformar o relatório em decisões com prazo e responsável.
Nas empresas sem CISO interno, esse papel costuma ser preenchido por um CISO as a Service ou por consultoria especializada. Delegar essa contratação para a TI operacional sem suporte estratégico aumenta o risco de o escopo ficar incompleto e o relatório ficar sem encaminhamento.
O pentest vale o quanto custa
O serviço é tão bom quanto a empresa que o conduz e o processo que a organização tem para aproveitar o que foi encontrado. Escolher um fornecedor pelo menor preço sem avaliar metodologia, certificações e formato de relatório é uma forma de investir em segurança sem obter segurança de fato.
A pergunta que vale fazer antes de contratar não é quanto custa o pentest. É o que a empresa está aceitando como risco ao não conhecer suas próprias vulnerabilidades.
Como a STWBrasil pode ajudar
A STWBrasil realiza pentest com equipe certificada, metodologia estruturada e relatório em formato executivo e técnico, com re-teste incluso.
Se a sua empresa precisa avaliar sua postura de segurança ou atender a exigências regulatórias, entre em contato com a STWBrasil para entender o escopo adequado para o seu ambiente.
