Teste de invasão: o guia prático para gestores

Você precisa contratar um teste de invasão, mas não é especialista em segurança ofensiva. Recebeu três propostas com valores muito diferentes, não sabe avaliar qual entrega mais, e ainda vai precisar justificar o gasto para a diretoria.

Este guia trata exatamente disso: como contratar, o que exigir do fornecedor, como interpretar o relatório que chegar e como transformar o resultado em decisão. É um guia de gestão, não um manual técnico.

Antes de seguir, uma equivalência que evita confusão: teste de invasão, pentest e teste de penetração são o mesmo serviço. Documentos regulatórios brasileiros costumam usar teste de invasão. O mercado técnico usa pentest.

Por que a diretoria deveria se importar

O argumento que funciona em conselho não é técnico, é de continuidade e responsabilidade. E há dados públicos que sustentam a conversa.

Segundo levantamento da Check Point Research, em junho de 2026 cada organização brasileira sofreu em média 4.001 tentativas de ciberataque por semana, número 44% superior ao mesmo mês do ano anterior e acima da média global. O relatório da Fortinet aponta que o Brasil registrou 753,8 bilhões de tentativas de ataque ao longo de 2025.

Mais relevante que o volume é a velocidade. O tempo médio entre a divulgação pública de uma vulnerabilidade e sua exploração caiu de mais de quatro dias para uma janela de 24 a 48 horas. Isso encurta drasticamente o prazo entre saber de um problema e ser afetado por ele.

Traduzindo para linguagem de negócio, um incidente de segurança costuma se materializar em quatro frentes:

• Interrupção da operação. Sistemas indisponíveis significam receita parada, contratos em risco e equipes ociosas.
• Exposição de dados. Vazamento de informações de clientes aciona obrigações legais de comunicação e abre exposição a responsabilização.
• Custo de resposta. Investigação, contenção, recuperação, assessoria jurídica e comunicação consomem recursos não previstos em orçamento.
• Reputação e contratos. Cada vez mais empresas exigem comprovação de segurança dos seus fornecedores. Um incidente público pode custar renovações.

Há também o vetor regulatório. A Lei Geral de Proteção de Dados, no artigo 46, exige medidas técnicas de proteção de dados pessoais. Testar periodicamente a eficácia dessas medidas é uma forma concreta de demonstrar diligência, e normas como ISO 27001 e PCI-DSS pedem esses testes de maneira explícita.

Como contratar um teste de invasão

O processo se divide em duas etapas: o que você prepara antes de pedir proposta, e o que exige de quem vai executar.

O que definir antes de pedir proposta

Chegar despreparado à conversa com fornecedores produz orçamentos que não se comparam. Três definições resolvem a maior parte disso:

1. Qual o pior cenário para o seu negócio. Vazamento de dados de clientes, parada de operação, fraude financeira. A resposta indica quais sistemas precisam estar no escopo.
2. Onde esses dados e sistemas estão. Quais aplicações, ambientes e redes concentram o que importa. Testar o site institucional não protege o ERP.
3. O que não pode ser testado. Sistemas de terceiros, ambientes que não toleram indisponibilidade, janelas críticas de operação. Definir limites é parte do escopo.

O que exigir do fornecedor

Esta é a parte que mais protege o seu investimento. Seis pontos que devem constar da proposta:

• Certificações da equipe. Credenciais como OSCP, CEH e CISSP indicam formação verificável. Não garantem qualidade sozinhas, mas a ausência total delas é um sinal de alerta.
• Metodologia declarada. PTES, OWASP ou NIST SP 800-115. Um teste sem método declarado é impossível de auditar e de comparar com propostas concorrentes.
• Modelo de relatório. Peça um exemplo, mesmo que anonimizado. O relatório precisa ter camada executiva, para a liderança decidir, e camada técnica, para o time corrigir.
• Reteste incluso ou à parte. Esta é a pergunta que mais diferencia propostas aparentemente equivalentes. Sem reteste, você não confirma que a correção funcionou.
• Tratamento de dados sensíveis. Durante o teste, o fornecedor pode acessar informação real da sua empresa. Como esses dados são armazenados, por quanto tempo e como são destruídos ao final?
• Experiência no seu contexto. Peça referências de trabalhos em ambientes semelhantes ao seu, em porte e em setor.

 

PERGUNTA QUE REVELA MUITO “Quantas horas de teste manual estão previstas nesta proposta?” Um pentest majoritariamente automatizado custa pouco e entrega pouco: é essencialmente uma varredura com relatório bonito. A resposta a essa pergunta costuma explicar diferenças grandes de preço entre propostas que, no papel, parecem descrever o mesmo serviço.

 

Quanto custa e o que influencia o preço

Não existe tabela de preço para teste de invasão, porque o esforço varia conforme o que será testado. Os fatores de maior peso são:

• Escopo: quantidade de aplicações, sistemas e faixas de rede incluídas
• Profundidade: proporção entre automação e análise manual conduzida por especialista
• Tipo de ambiente: aplicação web, infraestrutura, nuvem, mobile ou uma combinação
• Abordagem: black box, grey box ou white box, que alteram o tempo dedicado a reconhecimento
• Reteste: incluso no valor ou cobrado adicionalmente

Ao comparar orçamentos, evite o erro de olhar apenas o número final. Duas propostas com diferença relevante de preço frequentemente descrevem trabalhos diferentes: uma com quarenta horas de análise manual e outra com oito. O trabalho de comparação é normalizar o que está sendo entregue antes de comparar valores.

Como ler o relatório de um teste de invasão

Poucas semanas depois, chega um documento extenso, cheio de termos técnicos e uma lista de vulnerabilidades classificadas por severidade. É nesse momento que muitos projetos travam.

Comece pelo sumário executivo

Um bom relatório abre com uma seção de duas a quatro páginas escrita para quem decide, não para quem corrige. Ela deve responder três coisas: qual o estado geral da segurança avaliada, quais são os riscos mais críticos e o que precisa de decisão imediata.

Se o relatório não tem essa camada, ou se ela está escrita em linguagem técnica, isso já é um problema de qualidade do fornecedor.

Entenda que severidade não é prioridade

As vulnerabilidades chegam classificadas por severidade técnica, normalmente em uma escala de crítica a baixa. Essa classificação é útil, mas não é uma ordem de correção.

A severidade mede o potencial técnico da falha. A prioridade precisa considerar o contexto do seu negócio. Uma vulnerabilidade de severidade média em um sistema que processa pagamentos de clientes pode ser muito mais urgente que uma severidade alta em um ambiente interno de testes, sem dados reais e sem exposição externa.

Três perguntas ajudam a converter severidade em prioridade: esse sistema está exposto à internet? Ele trata dados pessoais ou financeiros? Se essa falha fosse explorada hoje, a operação para?

Valide os falsos positivos

Ferramentas automatizadas geram apontamentos que, no seu ambiente específico, podem não ser exploráveis. Um bom pentest já filtra isso, porque a fase de exploração serve justamente para confirmar o que é real. Se o relatório traz muitos itens marcados como potenciais ou não confirmados, provavelmente houve pouca validação manual.

Cobre recomendações acionáveis

Cada achado deve vir com orientação de correção específica ao seu contexto, não com um texto genérico copiado da descrição da vulnerabilidade. A diferença entre um relatório útil e um relatório decorativo está aqui.

O erro mais comum: parar no relatório

Existe um padrão que se repete em muitas organizações. O teste é contratado, executado e entregue. O relatório circula por e-mail, gera reuniões, e depois é arquivado. Seis meses depois, na próxima auditoria, ninguém sabe dizer quantas das falhas apontadas foram efetivamente corrigidas.

Nesse cenário, a empresa pagou para produzir um documento que descreve por escrito exatamente onde ela está vulnerável, sem reduzir risco algum. É o pior resultado possível, porque combina custo com exposição documentada.

O ciclo completo tem quatro etapas, e as três últimas dependem da gestão, não do fornecedor:

1. Testar. Executar o pentest com escopo adequado.
2. Priorizar e corrigir. Definir responsáveis e prazos por criticidade, considerando risco de negócio e não só severidade técnica.
3. Validar. Confirmar por reteste que as correções funcionaram e não introduziram problemas novos.
4. Monitorar. Como o ambiente muda continuamente e novas vulnerabilidades surgem toda semana, a detecção precisa ser permanente. É o papel de um [SOC gerenciado], que acompanha o ambiente 24 horas por dia.

O pentest fotografa um momento. O monitoramento contínuo cobre o intervalo entre uma fotografia e a próxima.

Como transformar o relatório em plano de ação

Sair do documento e chegar à correção exige um instrumento simples de gestão. Na prática, funciona bem transformar os achados em uma planilha de acompanhamento com cinco colunas:

• Vulnerabilidade. Descrição curta, em linguagem que quem não é da segurança entenda.
• Sistema afetado. Qual aplicação ou ambiente, e se ele está exposto à internet.
• Prioridade de negócio. A classificação que você definiu, considerando exposição e criticidade, não apenas a severidade técnica do relatório.
• Responsável. Uma pessoa nomeada, não uma área. Achado sem dono não é corrigido.
• Prazo e status. Data acordada e situação atual, revisada em reunião periódica.

Vale definir também um caminho formal de exceção. Sempre haverá achados que não podem ser corrigidos no prazo, seja por dependência de fornecedor, limitação de sistema legado ou custo desproporcional ao risco. Nesses casos, o correto não é ignorar: é registrar a decisão, quem a tomou e qual controle compensatório foi adotado enquanto isso.

Esse registro tem duas funções. Internamente, evita que o item simplesmente desapareça. Externamente, demonstra a auditores e a clientes que a organização avalia risco de forma consciente, o que é bem diferente de não ter percebido o problema.

Precisa de um teste de invasão com relatório que a diretoria entende?

A Viwsec entrega relatório executivo em português, priorização por risco de negócio e reteste incluso no valor. Cotação em até 24 horas.

Solicitar cotação

Em resumo

Contratar um teste de invasão bem começa antes da cotação: definindo o que realmente importa proteger e o que não pode ser testado. Na escolha do fornecedor, os pontos que mais diferenciam são metodologia declarada, certificações da equipe, qualidade do relatório, horas de análise manual e se o reteste está incluso.

Ao receber o resultado, comece pelo sumário executivo, converta severidade técnica em prioridade de negócio e cobre recomendações específicas. E lembre que o valor do investimento não está no documento entregue, e sim nas correções executadas, validadas e sustentadas por monitoramento contínuo.

Perguntas frequentes

Teste de invasão e pentest são a mesma coisa?

Sim. Pentest é a abreviação de penetration test, que em português é teste de invasão ou teste de penetração. Documentos regulatórios brasileiros costumam usar teste de invasão, enquanto o mercado técnico usa pentest.

O que devo exigir de um fornecedor de teste de invasão?

Certificações da equipe, metodologia declarada (PTES, OWASP ou NIST), exemplo de relatório com camada executiva e técnica, política clara de tratamento de dados sensíveis, número de horas de análise manual e, principalmente, se o reteste está incluso no valor.

Como justifico o investimento para a diretoria?

Traduza risco técnico em risco de negócio: interrupção da operação, exposição de dados de clientes, custo de resposta a incidente e impacto em contratos. Vale citar também que clientes corporativos cada vez mais exigem comprovação de testes de segurança dos fornecedores.

O que fazer depois de receber o relatório?

Comece pelo sumário executivo, converta severidade técnica em prioridade de negócio, defina responsáveis e prazos, corrija e valide com reteste. O erro mais comum é arquivar o relatório sem executar as correções.

Quanto custa um teste de invasão?

Não existe valor de tabela. O preço depende do escopo, da profundidade, do tipo de ambiente e de o reteste estar ou não incluso. Ao comparar propostas, verifique quantas horas de análise manual estão previstas, porque é isso que costuma explicar diferenças grandes de preço.

Fontes

Check Point Research. Relatório de Inteligência de Ameaças, junho de 2026: média de 4.001 tentativas de ataque por semana por organização brasileira.

Fortinet. Relatório do Cenário Global de Ameaças 2026, FortiGuard Labs: volume de tentativas de ataque no Brasil e redução do tempo médio de exploração.

PTES. Penetration Testing Execution Standard.

NIST. Special Publication 800-115, Technical Guide to Information Security Testing and Assessment.

BRASIL. Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), artigo 46.