O caminho completo em 8 passos
- 01Saiba o que você quer proteger: qual sistema, quais dados, e por que agora (cliente, LGPD, lançamento, investidor).
- 02Faça uma conversa de diagnóstico com a empresa de pentest para definir o escopo.
- 03Receba a proposta por escrito e compare pelo que importa (veja abaixo).
- 04Assine contrato, acordo de confidencialidade e o termo de autorização do teste.
- 05Prepare o ambiente: contas de teste, janela de horário e um contato técnico do seu lado.
- 06Durante o teste, mantenha o canal aberto: falhas críticas costumam ser avisadas na hora.
- 07Receba o relatório e a apresentação dos resultados, e priorize as correções.
- 08Corrija e peça o reteste, que confirma que as falhas foram fechadas.
O que perguntar e exigir na proposta
- Escopo exato: o que entra e, principalmente, o que fica de fora.
- Tipo de teste: black box, gray box ou white box, e por quê.
- Quantas horas de teste manual e quem executa.
- Metodologia (por exemplo, OWASP) e um modelo de relatório para você ver antes.
- Se o reteste está incluso e em quanto tempo deve ser pedido.
- Prazo, investimento, forma de pagamento e validade da proposta.
Se a empresa não pedir um termo de autorização assinado antes de testar, desconfie. É esse documento que separa um pentest de um ataque.
O que preparar do seu lado
- Pelo menos duas contas de teste de cada perfil de usuário (para checar se um vê os dados do outro).
- Ambiente de homologação, se tiver; se o teste for em produção, uma janela combinada.
- Documentação da API, se existir (OpenAPI, Postman).
- Avisar a hospedagem ou o fornecedor de nuvem, quando o contrato deles exigir.
- Um responsável técnico para dúvidas e para receber alertas críticos.
Depois do relatório
Comece pelas falhas críticas e altas, que o resumo executivo aponta. Registre quem corrige cada uma e até quando. Depois peça o reteste e guarde o relatório final: é a evidência que clientes, auditores e a LGPD pedem. E coloque na agenda o próximo ciclo, normalmente em um ano ou depois de mudanças grandes.