Para empresas que lidam com dados pessoais, cartões de pagamento ou que precisam de certificação para fechar contratos maiores, segurança deixou de ser só uma boa prática: virou exigência escrita em lei ou em contrato. Abaixo, um resumo prático do que cada uma dessas normas pede em termos de segurança técnica, e onde o Pentest entra em cada uma delas.
A Lei Geral de Proteção de Dados regula o tratamento de dados pessoais no Brasil e é a norma que mais gera exposição jurídica para empresas de qualquer porte hoje.
A lei exige que empresas adotem medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações de destruição, perda, alteração ou vazamento. A lei não lista uma ferramenta específica ela exige que a segurança seja comprovadamente adequada ao risco, o que na prática significa testar de verdade.
Em caso de incidente de segurança que possa causar risco relevante aos titulares, a empresa deve comunicar a ANPD e os próprios titulares dos dados afetados. Sem monitoramento e detecção adequados, a empresa só descobre o incidente tarde demais para cumprir esse prazo com qualidade.
A LGPD estabelece prevenção e segurança como princípios centrais do tratamento de dados: adotar medidas para prevenir a ocorrência de danos, e utilizar medidas técnicas aptas a proteger os dados de acessos não autorizados. Isso é interpretado, na prática, como dever de testar e corrigir vulnerabilidades de forma contínua, não apenas reativa.
Em uma investigação da ANPD após um vazamento, a existência (ou ausência) de testes de segurança documentados pesa diretamente na avaliação de responsabilidade e no valor de eventual sanção aplicada à empresa.
O Pentest é a forma mais concreta de demonstrar que a empresa adotou medidas técnicas efetivas, e não apenas política de privacidade no papel. Um relatório de Pentest datado, com achados corrigidos e reteste comprovando a correção, é evidência forte de conformidade em caso de fiscalização ou incidente.
Este conteúdo é informativo e não substitui orientação jurídica. Para adequação formal à LGPD, recomendamos apoio de um advogado especializado ou encarregado de dados (DPO).
Norma internacional para Sistemas de Gestão de Segurança da Informação (SGSI). Certificar-se nela é, cada vez mais, pré-requisito para fechar contratos com empresas maiores e multinacionais.
A norma exige que a empresa identifique, avalie e trate riscos de segurança da informação de forma sistemática e documentada não é uma checklist pontual, é um processo contínuo de gestão de riscos.
A ISO 27001 segue o modelo de planejar, executar, verificar e agir (PDCA): a segurança precisa ser revisada e aprimorada periodicamente, e não tratada como um projeto que termina após a certificação inicial.
Entre os controles de referência da norma (Anexo A), estão avaliação técnica de vulnerabilidades e testes de segurança periódicos parte do que os auditores verificam é se a empresa consegue comprovar, com evidências, que testa sua própria segurança regularmente.
Durante a auditoria de certificação (ou recertificação), o auditor pede evidências concretas de gestão de vulnerabilidades. Relatórios de Pentest anteriores, planos de remediação e retestes são exatamente o tipo de evidência que essas auditorias exigem.
O Pentest alimenta diretamente o processo de gestão de riscos da ISO 27001: ele fornece dados reais sobre vulnerabilidades exploráveis, que a empresa usa para justificar e priorizar os controles de segurança implementados, exatamente o que um auditor de certificação espera ver documentado.
Payment Card Industry Data Security Standard: conjunto de exigências de segurança criado pelas bandeiras de cartão para qualquer empresa que armazena, processa ou transmite dados de cartão de pagamento.
O PCI-DSS exige explicitamente a realização de testes de penetração pelo menos uma vez por ano, e também após qualquer mudança significativa na infraestrutura ou na aplicação que processa dados de cartão. Isso não é uma sugestão de boa prática é um requisito formal da norma.
Além do Pentest anual, a norma exige varreduras de vulnerabilidade internas e externas em intervalos regulares, para identificar falhas conhecidas em servidores e serviços expostos.
Empresas que isolam o ambiente que processa cartões do restante da rede (para reduzir o escopo de conformidade) precisam comprovar, com testes técnicos, que essa segmentação realmente impede o acesso entre os ambientes.
Não basta testar: é preciso documentar o escopo do teste, os achados, as correções aplicadas e comprovar isso ao QSA (Qualified Security Assessor) ou ao adquirente responsável pela validação de conformidade.
Aqui o Pentest não é só recomendado: é um requisito formal da norma. Empresas que processam pagamentos precisam de um parceiro que entregue o teste no formato e com a documentação que o PCI-DSS exige, com reteste incluso para comprovar a correção das falhas encontradas.
Este conteúdo é informativo e não substitui orientação de um QSA credenciado para validação formal de conformidade PCI-DSS.
Sua empresa precisa comprovar conformidade com LGPD, ISO 27001 ou PCI-DSS? A gente entrega o Pentest com a documentação e as evidências que essas normas exigem.
Falar com especialista ▸Referências: Autoridade Nacional de Proteção de Dados (ANPD) · Lei nº 13.709/2018 (LGPD) · International Organization for Standardization (ISO/IEC 27001) · PCI Security Standards Council (PCI-DSS, Requisito 11).
