Para escolher uma empresa de pentest, avalie quem executa o teste, quanto dele é manual, que relatório sai no fim, se o reteste está incluso e se o fornecedor é independente de quem opera a sua segurança. Preço e marca entram depois desses critérios.
Este artigo foi escrito por uma empresa que vende pentest. Os critérios abaixo são os que a Vultus usaria para avaliar a si mesma.
Quem executa o teste?
Pentest depende de pessoas. Ferramentas apoiam o trabalho, mas a falha de maior impacto costuma aparecer quando alguém encadeia achados que, isolados, pareciam pequenos.
Peça os nomes da equipe e as certificações de cada pessoa, com mais peso para provas práticas, em que o candidato precisa invadir um ambiente dentro de um prazo, como as certificações da OffSec (OSCP, OSEP, OSWE e outras). Confirme no contrato que a equipe apresentada na venda é a que vai executar.
A verificação da equipe ganha peso num mercado com falta de profissionais. O Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, aponta a escassez de talentos em cibersegurança como um dos desafios estruturais do setor.
Quanto do teste é manual e que relatório ele produz?
Pergunte quantas horas de teste manual estão previstas. Uma resposta vaga costuma indicar uma varredura automatizada com relatório formatado.
Peça também um relatório anonimizado de um trabalho anterior. Um bom relatório traz a cadeia de ataque com evidência, um resumo executivo que a liderança entende sem tradução e recomendações específicas, como exigir segundo fator no painel administrativo exposto, no lugar de orientações genéricas.
Metodologia e regras de engajamento
O fornecedor deve explicar como trabalha, fase a fase, e em que referências se apoia, como o OWASP Web Security Testing Guide para aplicações e o MITRE ATT&CK para táticas de adversário. Metodologia própria agrega quando complementa essas referências.
Antes do início, devem estar definidos por escrito as janelas de execução, os sistemas fora do alcance, os pontos de contato e o procedimento para achados críticos. Um fornecedor sério interrompe e avisa na hora quando encontra algo grave.
Independência de quem opera a defesa
Quando o fornecedor também monitora alertas, gerencia o firewall ou corrige vulnerabilidades, o pentest passa a avaliar o próprio trabalho dele. Isso cria um conflito de interesse que precisa ser tratado.
Para instituições autorizadas pelo Banco Central, a independência virou requisito: a Resolução BCB 538 e a Resolução CMN 5.274 exigem teste de intrusão anual feito por empresa ou profissional independente, como detalha o artigo sobre a Resolução BCB 538. Se o mesmo fornecedor atende as duas frentes, pergunte como equipes e contratos são separados e documente a resposta.
O que acontece depois do relatório
O relatório é uma etapa intermediária. Vale perguntar se há reteste incluso, plataforma para acompanhar as correções e apoio ao time técnico. No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, a governança ficou em último lugar entre os pilares de maturidade, com 1,48 numa escala de 0 a 5. Encontrar falhas é a etapa mais simples; fechar é onde a maioria das empresas trava.
Perguntas para levar à reunião com o fornecedor
Alguns sinais merecem atenção: preço fechado sem reunião de escopo, relatório prometido em 24 horas para um escopo grande, promessa de proteção total e ausência de perguntas sobre o negócio. As perguntas abaixo ajudam a comparar fornecedores:
- Equipe: quem vai executar, e quais certificações práticas essas pessoas têm?
- Teste manual: quantas horas estão previstas?
- Relatório: é possível ver um exemplo anonimizado?
- Reteste: está incluso, e em quanto tempo?
- Achados críticos: qual o procedimento durante o teste?
- Independência: o fornecedor opera alguma parte da segurança da empresa hoje?
- Contexto: o que o fornecedor precisa saber sobre o negócio para testar bem?
Pentest com equipe certificada e reteste
A Vultus executa testes manuais com equipe de segurança ofensiva e combina esse trabalho com validação recorrente por agentes autônomos. Conheça o pentesting avançado da Vultus e veja quanto custa um pentest.
