Pular para o conteúdo
← Learn

Geografia

Pentest no Brasil

Pentest para empresas brasileiras: o que o mercado pede, o que o Bacen exige das instituições autorizadas e o que a LGPD não nomeia. Escopo proposto, não brochure.

Rekon — cibersegurança ofensiva híbrida

O Brasil não compra pentest por moda: compra porque alguém a montante exigiu — um cliente enterprise, um board pós-incidente, ou o supervisor se a empresa está sob o Bacen. A pergunta útil não é «precisa testar?». É «isso é mandato ou evidência de diligência?».

O que o mercado pede

Compradores sérios já não aceitam o PDF do scanner. Pedem achados validados com prova de exploração, impacto de negócio e reteste do que é crítico. O diferencial não é o logo: é o relatório que o seu time reproduz sem perguntar de novo.

Mandato e diligência

A LGPD não nomeia pentest. Exige medidas de segurança e a capacidade de demonstrá-las (Lei 13.709/2018, consultada em 2026-09-17). O pentest é evidência dessa diligência, não um rito que a lei enumera. O perímetro Bacen é outro: a Resolução CMN 5.274/2025 exige testes de intrusão anuais e independentes das instituições abrangidas pelo escopo da CMN 4.893/2021. O detalhe está em LGPD vs Bacen.

Como se faz a sério

Um engagement sério começa com regras de engajamento por escrito: o que se ataca, o que não, quando, e quem autoriza cada ação intrusiva. Agentes percorrem a superfície e propõem caminhos; uma pessoa valida, explora e assina. Cada achado leva PoC reproduzível. Tentativas sem sucesso são documentadas com suas limitações; não demonstram por si só que um controle funciona. A janela de entrega se fixa no contrato, não nesta página.

Erros ao comprar

Comprar por preço e receber um scan com cara de relatório. Aceitar «tudo que tiver IP público» sem priorizar. Acordar medidas de redução de risco, sem garantias absolutas de continuidade. E tratar o relatório anual como checkbox de LGPD: a lei não nomeia isso; o valor está no que o atacante realmente consegue fazer. No Brasil, o parceiro de cibersegurança é a Lexart. Quem assina o pentest é a Rekon. O que é um teste de penetração ou escreva com o contexto: respondemos com escopo proposto.

Antes de contratar no Brasil

Confirme na proposta a disponibilidade de atendimento e relatório em português, a entidade contratante, moeda, tributos e canal de evidências. Esta página não indica um escritório brasileiro. Para Web/API, prepare perfis, tenants, integrações e ambientes de teste; não envie credenciais pelo formulário. O enquadramento regulatório depende do tipo de instituição: a CMN 4.893 não se aplica indistintamente a todas as entidades supervisionadas.

Perguntas diretas

A LGPD obriga a fazer pentest?

Não. A Lei 13.709/2018 arts. 6º, VII e X, e 46 a 50 exigem medidas técnicas e administrativas de segurança e a demonstração de que são cumpridas. Não nomeiam pentest, teste de penetração nem teste de intrusão (texto consultado em 2026-09-17 em planalto.gov.br).

O Bacen exige pentest anual independente?

Para instituições abrangidas pelo escopo da CMN 4.893/2021, sim: a Resolução CMN 5.274/2025 (18/12/2025) inseriu o art. 22-A na 4.893/2021. Os testes de intrusão têm periodicidade mínima anual, independência e imparcialidade por pessoa ou empresa contratada, e resultados documentados. Não é obrigação genérica de toda empresa brasileira.

A Rekon atua no Brasil?

Sim. O pentest é executado pela Rekon com gate humano explícito. No Brasil, o parceiro de cibersegurança é a Lexart (lexart.tech). Respondemos com escopo proposto, não com brochure.

É o momento de testar portas?

Conte o que precisa validar. Respondemos com escopo proposto, não com brochure.

Falar com a Rekon Mais no Learn